DECISIONE DELLA BANCA EUROPEA PER GLI INVESTIMENTI, 9 ottobre 2023
G.U.U.E. 5 dicembre 2023, Serie L
Decisione che stabilisce le norme interne per il trattamento dei dati personali da parte della Direzione delle Risorse umane della Banca europea per gli investimenti, in relazione alla comunicazione di informazioni alle persone interessate e alla limitazione di alcuni dei loro diritti. [2023/2717]
Note sull'entrata in vigore e sull'applicabilità
Adottata il: 9 ottobre 2023
Entrata in vigore il: 25 dicembre 2023
LA BANCA EUROPEA PER GLI INVESTIMENTI («BEI»),
visto il Trattato sul funzionamento dell'Unione europea, in particolare l'articolo 309,
visto il Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il Regolamento (CE) n. 45/2001 e la Decisione n. 1247/2002/CE (1),
considerando quanto segue:
1) A norma dell'articolo 38 dei Regolamenti del Personale della BEI I e II, possono essere adottate misure disciplinari nei confronti dei membri del personale che non adempiono ai propri obblighi nei confronti della BEI secondo la procedura di cui all'articolo 40 di detti Regolamenti. A norma dell'articolo 41 dei Regolamenti del Personale della BEI I e II, i membri del personale possono presentare una richiesta di riesame per gli atti lesivi nei loro confronti. Nel contesto di tale richiesta, la BEI, in determinati casi, può proporre una composizione amichevole con il membro del personale dinanzi a una Commissione di conciliazione. L'ambito di applicazione del meccanismo di riesame amministrativo e la procedura da seguire sono ulteriormente specificati nelle Norme di attuazione del riesame amministrativo. Conformemente alla Politica della BEI in materia di dignità sul posto di lavoro la BEI deve occuparsi delle denunce di molestie.
2) Sono di competenza primaria della Direzione delle Risorse umane della BEI sia l'organizzazione che la gestione delle procedure stabilite dagli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II nonché dalla Politica della BEI in materia di dignità sul posto di lavoro e dalle Norme di attuazione del riesame amministrativo.
3) Nello svolgimento dei propri compiti la Direzione delle Risorse umane è tenuta a rispettare i diritti delle persone fisiche con riguardo al trattamento dei dati personali riconosciuti dall'articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell'Unione europea e dall'articolo 16, paragrafo 1, del Trattato sul funzionamento dell'Unione europea, nonché dagli atti giuridici che si fondano su tali disposizioni. Al tempo stesso, la Direzione delle Risorse umane deve rispettare le rigorose norme in materia di riservatezza e di segreto d'ufficio di cui ai Regolamenti del Personale della BEI e al Codice di condotta del personale della BEI e assicurare il rispetto dei diritti procedurali delle persone interessate e dei testimoni, in particolare il diritto delle persone interessate a un processo equo, ai diritti di difesa e alla presunzione d'innocenza.
4) In determinate circostanze è necessario conciliare i diritti degli interessati a norma del Regolamento (UE) 2018/1725 con gli scopi e le esigenze relativi ai compiti della Direzione delle Risorse umane, nonché con il pieno rispetto dei diritti e delle libertà fondamentali degli altri interessati. A tal fine, l'articolo 25 del suddetto Regolamento garantisce alla Direzione delle Risorse umane la possibilità di limitare l'applicazione degli articoli da 14 a 21 e dell'articolo 35, nonché dell'articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 21.
5) Al fine di garantire l'efficacia delle procedure svolte dalla Commissione di disciplina istituita a norma dell'articolo 40 dei Regolamenti del Personale della BEI I e II, dal servizio responsabile del riesame amministrativo di cui all'articolo 41 dei Regolamenti del Personale della BEI I e II e, se del caso, dalla Commissione di conciliazione istituita per giungere ad un accordo amichevole, nonché dal Comitato d'inchiesta istituito in virtù della Politica della BEI in materia di dignità sul posto di lavoro nel rispetto delle norme di protezione dei dati personali di cui al Regolamento (UE) 2018/1725, occorre adottare norme interne secondo le quali la Direzione delle Risorse umane può limitare i diritti degli interessati conformemente all'articolo 25, paragrafo 1, lettere c), g) e h), del Regolamento (UE) 2018/1725.
6) Le norme interne dovrebbero applicarsi a tutte le operazioni di trattamento effettuate dalla Direzione delle Risorse umane nell'esercizio del suo mandato ai sensi degli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II e conformemente alla Politica della BEI in materia di dignità sul posto di lavoro. Tali norme dovrebbero applicarsi alle operazioni di trattamento effettuate prima dell'avvio delle procedure di competenza della Commissione di disciplina, del servizio responsabile del riesame amministrativo e/o della Commissione di conciliazione nonché del Comitato d'inchiesta, mentre tali procedure sono in corso e nell'ambito del seguito dato all'esito di tali procedure.
7) Al fine di ottemperare agli articoli 14, 15 e 16 del Regolamento (UE) 2018/1725, il responsabile del trattamento dei dati dovrebbe informare tutte le persone interessate in merito alle proprie attività che comportano il trattamento dei loro dati personali e ai loro diritti in modo trasparente e coerente, mediante informative sulla protezione dei dati pubblicate sul sito Intranet della BEI, nonché informare singolarmente i soggetti che sono interessati dalle sue attività, vale a dire le persone interessate, le parti e i testimoni.
8) Inoltre, al fine di mantenere una cooperazione efficace, la Direzione delle Risorse umane può dover applicare limitazioni ai diritti degli interessati per tutelare le informazioni contenenti dati personali provenienti da altre istituzioni e da altri organi e organismi dell'Unione, dalle autorità competenti degli Stati membri e di paesi terzi, nonché da organizzazioni internazionali. A tal fine, la Direzione delle Risorse umane dovrebbe consultare tali altre istituzioni o altri organi e organismi dell'Unione, autorità e organizzazioni internazionali riguardo ai motivi pertinenti nonché alla necessità e alla proporzionalità delle limitazioni.
9) La Direzione delle Risorse umane dovrebbe gestire tutte le limitazioni in modo trasparente e registrare ogni applicazione delle limitazioni nel corrispondente sistema di registrazione.
10) A norma dell'articolo 25, paragrafo 8, del Regolamento (UE) 2018/1725, i titolari del trattamento possono rinviare, omettere o rifiutare di fornire alla persona interessata i motivi dell'applicazione di una limitazione se ciò compromette in qualche modo lo scopo della limitazione. E' il caso, in particolare, delle limitazioni ai diritti di cui agli articoli 16 e 35 del Regolamento (UE) 2018/1725. Al fine di garantire che il diritto dell'interessato ad essere informato in conformità degli articoli 16 e 35 del Regolamento (UE) 2018/1725 sia limitato solo durante il periodo in cui permangono i motivi per il rinvio della comunicazione, la Direzione delle Risorse umane dovrebbe riesaminare periodicamente la propria posizione.
11) Qualora sia applicata una limitazione dei diritti di altri interessati, la Direzione delle Risorse umane dovrebbe valutare caso per caso se la comunicazione della limitazione ne comprometterebbe la finalità.
12) Il Responsabile della protezione dei dati della BEI può effettuare un riesame indipendente dell'applicazione delle limitazioni, nell'intento di garantirne la conformità alla presente Decisione.
HA ADOTTATO LA PRESENTE DECISIONE:
GU L 295 del 21.11.2018.
Oggetto e ambito di applicazione
1. La presente Decisione stabilisce le modalità che il titolare del trattamento dei dati competente, ai sensi dell'articolo 2, paragrafo 1, è tenuto a seguire per informare gli interessati in merito al trattamento dei loro dati a norma degli articoli 14, 15 e 16 del Regolamento (UE) 2018/1725.
Essa stabilisce altresì le condizioni alle quali il titolare del trattamento dei dati può limitare l'applicazione degli articoli da 14 a 21 e dell'articolo 35, nonché dell'articolo 4 del Regolamento, in conformità dell'articolo 25, paragrafo 1, lettere c), g) e h) del Regolamento stesso.
2. La presente Decisione si applica al trattamento dei dati personali da parte della Direzione delle Risorse umane ai fini delle attività svolte per l'espletamento dei compiti di cui agli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II, nonché alla Politica della BEI in materia di dignità sul posto di lavoro e successive modifiche, ovvero in relazione alle attività stesse.
3. Nell'ambito del suo mandato, la Direzione delle Risorse umane tratta diverse categorie di dati personali, in particolare quelli riguardanti l'identità, il recapito, l'attività professionale e il ruolo svolto nel caso in esame.
Specificazione del responsabile del trattamento e misure di salvaguardia
1. Il responsabile del trattamento dei dati è il Direttore generale delle Risorse umane.
2. I dati personali sono conservati in un ambiente elettronico e fisico sicuro, volto ad impedire la consultazione o il trasferimento illeciti di dati a persone che non hanno necessità di sapere.
3. I dati personali possono essere conservati nei fascicoli per almeno sei mesi a partire dalla data stabilita nel Piano di conservazione. Maggiori informazioni sull'esatta durata dei periodi di conservazione per ciascuna procedura sono contenute nel Piano di conservazione della Direzione delle Risorse umane.
Eccezioni e limitazioni applicabili
1. Qualora la Direzione delle Risorse umane eserciti le proprie funzioni in relazione ai diritti degli interessati a norma del Regolamento (UE) 2018/1725, essa valuta se si applichi una delle eccezioni stabilite in detto Regolamento.
2. Fatti salvi gli articoli da 4 a 7 della presente Decisione, la Direzione delle Risorse umane può limitare l'applicazione degli articoli da 14 a 21, e dell'articolo 35 del Regolamento (UE) 2018/1725, nonché dell'articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22 di detto Regolamento, qualora l'esercizio di tali diritti e obblighi possa compromettere la finalità delle procedure di cui agli articoli 40 e 41 dei Regolamenti del Personale della BEI I e II, nonché alla Politica della BEI in materia di dignità sul posto di lavoro, o ledere i diritti e le libertà di altri interessati.
3. Fatti salvi gli articoli da 4 a 7 della presente Decisione, la Direzione delle Risorse umane può limitare i diritti e gli obblighi di cui al paragrafo 2 del presente articolo in relazione ai dati personali ottenuti da altre istituzioni ed altri organi e organismi dell'Unione, dalle autorità competenti degli Stati membri o da organizzazioni internazionali, nelle seguenti circostanze:
a) quando l'esercizio di tali diritti e obblighi potrebbe essere limitato da altre istituzioni o altri organi e organismi dell'Unione sulla base di altri atti di cui all'articolo 25 del Regolamento o in conformità del capo IX di detto Regolamento;
b) quando l'esercizio di tali diritti e obblighi potrebbe essere limitato dalle autorità competenti degli Stati membri sulla base degli atti di cui all'articolo 23 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (1), o a norma delle misure nazionali di recepimento dell'articolo 13, paragrafo 3, dell'articolo 15, paragrafo 3, o dell'articolo 16, paragrafo 3, della Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio (2);
c) quando l'esercizio di tali diritti e obblighi potrebbe compromettere la cooperazione tra la Direzione delle Risorse umane e i paesi terzi o le organizzazioni internazionali nell'esercizio delle sue funzioni.
Prima di applicare limitazioni nelle circostanze di cui al primo comma, lettere a) e b), la Direzione delle Risorse umane consulta le istituzioni, gli organi e gli organismi competenti dell'Unione o le autorità competenti degli Stati membri, a meno che non sia chiaro alla Direzione delle Risorse umane che l'applicazione di una limitazione è prevista da uno degli atti di cui alle lettere in questione.
La lettera c) del primo comma non si applica qualora sull'interesse dell'Unione a cooperare con paesi terzi od organizzazioni internazionali prevalgano gli interessi o i diritti e le libertà fondamentali degli interessati.
4. I paragrafi 1, 2 e 3 lasciano impregiudicata l'applicazione di altre decisioni della BEI (3) che stabiliscono norme interne riguardanti la comunicazione di informazioni agli interessati e la limitazione di taluni diritti di cui all'articolo 25 del Regolamento (UE) 2018/1725.
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016).
Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la Decisione quadro 2008/977/GAI del Consiglio (GU L 119 del 4.5.2016).
Ad esempio, le analoghe decisioni adottate da altre Direzioni della BEI.
Comunicazione di informazioni agli interessati
1. La Direzione delle Risorse umane pubblica sul sito Intranet della BEI informative sulla privacy con le quali rende note a tutti gli interessati le proprie attività che comportano il trattamento dei loro dati personali, compresa un'informativa generale sulla privacy riguardante le potenziali limitazioni dei diritti degli interessati stessi che deve includere informazioni sui diritti assoggettabili a limitazione, sulle possibili motivazioni alla base della relativa applicazione e sulla potenziale durata.
2. La Direzione delle Risorse umane informa singolarmente gli interessati che siano parti di una procedura, le persone interessate da una procedura o i testimoni mediante specifica informativa sulla privacy comprendente informazioni sui diritti assoggettabili a una o più limitazioni, sulle possibili motivazioni alla base della relativa applicazione e sulla potenziale durata della o delle limitazioni stesse.
3. Allorché la Direzione delle Risorse umane limita, integralmente o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 2, essa registra i motivi della limitazione, compresa una valutazione della relativa necessità e proporzionalità. Tale valutazione documenta altresì i rischi per la corrispondente procedura nonché per i diritti e le libertà degli interessati.
In particolare, la registrazione indica in quale modo la comunicazione delle informazioni renderebbe inefficaci la o le limitazioni applicate a norma dell'articolo 3, paragrafi 2 e 3, oppure lederebbe i diritti e le libertà di altri interessati.
Detta registrazione e, se del caso, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.
4. La limitazione di cui al paragrafo 3 continua ad applicarsi finché permangono i motivi che la giustificano.
Qualora i motivi della limitazione non siano più applicabili, la Direzione delle Risorse umane fornisce all'interessato le informazioni in questione e i motivi della limitazione. Nel contempo la Direzione delle Risorse umane informa l'interessato in merito alla possibilità di proporre in qualsiasi momento reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell'Unione europea.
La Direzione delle Risorse umane riesamina l'applicazione della limitazione almeno ogni sei mesi dalla sua adozione e all'atto della chiusura della procedura pertinente. Successivamente, il titolare del trattamento valuterà la necessità di mantenere eventuali limitazioni ogni sei mesi.
Diritto di accesso dell'interessato
1. Allorché la Direzione delle Risorse umane limita, integralmente o in parte, il diritto di accesso di cui all'articolo 17 del Regolamento (UE) 2018/1725, essa procede nel modo seguente:
a) informa l'interessato, nella propria risposta alla richiesta di accesso, in merito alla limitazione applicata, ai principali motivi della stessa, alla durata della limitazione e alla possibilità di proporre reclamo al Garante europeo della protezione dei dati o di proporre un ricorso giurisdizionale dinanzi alla Corte di giustizia dell'Unione europea;
b) registra i motivi della limitazione, compresa una valutazione della necessità e della proporzionalità della stessa; a tal fine, indica in quale modo la concessione dell'accesso e l'esercizio del diritto comprometterebbero la finalità della rispettiva procedura o renderebbero inefficaci le limitazioni applicate a norma dell'articolo 3, paragrafi 2 e 3, oppure lederebbero i diritti e le libertà di altri interessati.
La comunicazione di informazioni di cui alla lettera a) può essere rinviata, omessa o negata in conformità dell'articolo 25, paragrafo 8, del Regolamento (UE) 2018/1725.
2. La registrazione di cui al paragrafo 2, primo comma, lettera b), e, se del caso, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati. Si applica l'articolo 25, paragrafo 7, del Regolamento (UE) 2018/1725.
3. La limitazione di cui al paragrafo 1 continua ad applicarsi finché permangono i motivi che la giustificano.
Qualora i motivi della limitazione non siano più applicabili, la Direzione delle Risorse umane fornisce all'interessato le informazioni in questione e i motivi della limitazione. Nel contempo la Direzione delle Risorse umane informa l'interessato in merito alla possibilità di proporre in qualsiasi momento reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell'Unione europea.
La Direzione delle Risorse umane riesamina l'applicazione della limitazione almeno ogni sei mesi dalla sua adozione e all'atto della chiusura della procedura pertinente. Successivamente, il titolare del trattamento valuterà la necessità di mantenere eventuali limitazioni ogni sei mesi.
Diritto di rettifica, cancellazione e limitazione di trattamento
Qualora la Direzione delle Risorse umane limiti, integralmente o in parte, l'applicazione del diritto di rettifica, cancellazione o limitazione di trattamento di cui all'articolo 18, all'articolo 19, paragrafo 1, e all'articolo 20, paragrafo 1, del Regolamento (UE) 2018/1725, essa adotta le misure di cui all'articolo 5, paragrafi 2 e 3, della presente Decisione.
Comunicazione di una violazione dei dati personali all'interessato
Allorché la Direzione delle Risorse umane limita la comunicazione all'interessato di una violazione dei dati personali di cui all'articolo 35 del Regolamento (UE) 2018/1725, essa registra i motivi della limitazione e conserva la registrazione in un registro conformemente all'articolo 4, paragrafo 3, della presente Decisione. Si applica l'articolo 4, paragrafo 4, della Decisione stessa.
Riesame da parte del Responsabile della protezione dei dati
La Direzione delle Risorse umane informa, senza indebito ritardo, il Responsabile della protezione dei dati prima che i diritti degli interessati siano limitati in conformità della presente Decisione. Il Responsabile della protezione dei dati riesamina la documentazione e la valutazione della necessità e proporzionalità della limitazione. Il riesame del Responsabile della protezione dei dati viene documentato.
Il Responsabile della protezione dei dati può chiedere per iscritto alla Direzione delle Risorse umane di riesaminare l'applicazione delle limitazioni. La Direzione delle Risorse umane informa il Responsabile della protezione dei dati per iscritto dell'esito del riesame richiesto.
Entrata in vigore
La presente Decisione è stata approvata dal Consiglio di amministrazione della Banca europea per gli investimenti in data 9 ottobre 2023 e sostituisce la decisione della BEI che stabilisce le norme interne per il trattamento dei dati personali da parte della Direzione delle Risorse umane della Banca europea per gli investimenti, in relazione alla comunicazione di informazioni alle persone interessate e alla limitazione di alcuni dei loro diritti approvata dal Consiglio di amministrazione della stessa BEI il 26 febbraio 2019. Essa entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Fatto a Lussemburgo, il 9 ottobre 2023.