
REGOLAMENTO DI ESECUZIONE (UE) 2024/2639 DELLA COMMISSIONE, 9 ottobre 2024
G.U.U.E. 10 ottobre 2024, Serie L
Regolamento recante modalità di applicazione del regolamento (UE) 2023/988 del Parlamento europeo e del Consiglio per quanto riguarda i ruoli e i compiti dei punti di contatto nazionali unici del sistema di allarme rapido Safety Gate. (Testo rilevante ai fini del SEE)
Note sull'entrata in vigore e sull'applicabilità
Entrata in vigore il: 30 ottobre 2024
Applicabile dal: 13 dicembre 2024
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell'Unione europea,
visto il regolamento (UE) 2023/988 del Parlamento europeo e del Consiglio, del 10 maggio 2023, relativo alla sicurezza generale dei prodotti, che modifica il regolamento (UE) n. 1025/2012 del Parlamento europeo e del Consiglio e la direttiva (UE) 2020/1828 del Parlamento europeo e del Consiglio, e che abroga la direttiva 2001/95/CE del Parlamento europeo e del Consiglio e la direttiva 87/357/CEE del Consiglio (1), in particolare l'articolo 25, paragrafo 2, secondo comma,
considerando quanto segue:
1) Conformemente al regolamento (UE) 2023/988, il sistema di allarme rapido Safety Gate serve per lo scambio di informazioni sulle misure correttive riguardanti i prodotti pericolosi. Al fine di garantire un flusso di informazioni efficiente e il corretto funzionamento del sistema di allarme rapido Safety Gate, ciascuno Stato membro è tenuto, a norma dell'articolo 25, paragrafo 2, primo comma, del regolamento (UE) 2023/988, a designare un unico punto di contatto nazionale per il sistema di allarme rapido Safety Gate («punto di contatto Safety Gate»). A norma dell'articolo 25, paragrafo 2, primo comma, del regolamento (UE) 2023/988, il punto di contatto Safety Gate è responsabile almeno di controllare la completezza delle notifiche trasmesse alla Commissione per convalida e di comunicare con la Commissione in merito ai compiti di cui all'articolo 26, paragrafi da 1 a 6, di tale regolamento. La designazione del punto di contatto nazionale Safety Gate non dovrebbe pregiudicare la competenza degli Stati membri a organizzare il proprio sistema di vigilanza del mercato.
2) La decisione di esecuzione (UE) 2019/417 della Commissione (2) reca le linee guida per la gestione del sistema d'informazione rapida dell'Unione europea (RAPEX) istituito dall'abrogata direttiva 2001/95/CE del Parlamento europeo e del Consiglio (3). Tale decisione di esecuzione stabilisce i compiti dei punti di contatto nazionali RAPEX, tra cui organizzare e dirigere il lavoro delle autorità nazionali competenti, assicurarsi che tutti i compiti siano svolti correttamente e in particolare che tutte le informazioni necessarie siano comunicate senza indugio alla Commissione e coordinare tutte le attività e le iniziative nazionali in relazione col sistema. Data l'esperienza positiva nel funzionamento dei punti di contatto nazionali RAPEX, è opportuno che tra i ruoli e i compiti dei punti di contatto Safety Gate figurino, ove appropriato, quelli stabiliti nella decisione di esecuzione (UE) 2019/417.
3) Per garantire un flusso efficiente di informazioni tra il punto di contatto Safety Gate e le varie autorità che partecipano al sistema di allarme rapido Safety Gate in un determinato Stato membro, il punto di contatto Safety Gate dovrebbe organizzare e dirigere il lavoro della propria rete di autorità nazionali che intervengono nel sistema di allarme rapido Safety Gate («rete nazionale Safety Gate»).
4) In linea con i loro attuali compiti a norma della decisione di esecuzione (UE) 2019/417 e al fine di garantire l'uso efficiente del sistema di allarme rapido Safety Gate e la coerenza delle informazioni trasmesse, i punti di contatto Safety Gate dovrebbero addestrare all'uso del sistema, e assistere, le autorità nazionali.
5) Per evitare doppioni nel sistema di allarme rapido Safety Gate, i punti di contatto Safety Gate, prima di trasmettere una notifica, dovrebbero verificare, se del caso con la collaborazione delle autorità nazionali, se una data misura relativa a un prodotto non sia già stata notificata nel sistema.
6) Il Product Safety eSurveillance Webcrawler, un'applicazione informatica sviluppata e gestita dalla Commissione, mira a individuare i prodotti che sono stati notificati nel sistema di allarme rapido Safety Gate e che sono ancora venduti o ricompaiono nei negozi e mercati online. Per migliorare l'efficacia della vigilanza del mercato online, è opportuno promuovere ampiamente l'utilizzo di tale applicazione, se del caso unitamente ad altri strumenti analoghi utilizzati dalle autorità.
7) La Commissione e le autorità nazionali agiscono in qualità di contitolari del trattamento dei dati nel sistema di allarme rapido Safety Gate a norma dell'articolo 26 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (4) e dell'articolo 28 del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (5). E' pertanto opportuno specificare i ruoli e le responsabilità di ciascun contitolare del trattamento.
8) Il presente regolamento dovrebbe applicarsi a decorrere dalla stessa data di applicazione del regolamento (UE) 2023/988.
9) Le misure di cui al presente regolamento sono conformi al parere del comitato istituito dal regolamento (UE) 2023/988 relativo alla sicurezza generale dei prodotti conformemente all'articolo 46, paragrafo 1, dello stesso regolamento,
HA ADOTTATO IL PRESENTE REGOLAMENTO:
GU L 135 del 23.5.2023, ELI: http://data.europa.eu/eli/reg/2023/988/oj.
Decisione di esecuzione (UE) 2019/417 della Commissione, dell'8 novembre 2018, recante linee guida per la gestione del sistema d'informazione rapida dell'Unione europea (RAPEX) istituito a norma dell'articolo 12 della direttiva 2001/95/CE relativa alla sicurezza generale dei prodotti e del suo sistema di notifica (GU L 73 del 15.3.2019, ELI: http://data.europa.eu/eli/dec/2019/417/oj).
Direttiva 2001/95/CE del Parlamento europeo e del Consiglio, del 3 dicembre 2001, relativa alla sicurezza generale dei prodotti (GU L 11 del 15.1.2002, ELI: http://data.europa.eu/eli/dir/2001/95/oj).
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU L 119 del 4.5.2016, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU L 295 del 21.11.2018, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
I ruoli e i compiti dei punti di contatto nazionali unici di cui all'articolo 25, paragrafo 2, del regolamento (UE) 2023/988 («punti di contatto Safety Gate») sono i seguenti:
a) verificare e convalidare la completezza delle notifiche ricevute da altre autorità nazionali nel proprio Stato membro prima di trasmetterle alla Commissione tramite il sistema di allarme rapido Safety Gate a norma dell'articolo 25, paragrafo 2, primo comma, del regolamento (UE) 2023/988;
b) verificare, prima dell'invio di una notifica tramite il sistema di allarme rapido Safety Gate, se il prodotto interessato è già stato notificato in tale sistema e, in caso affermativo e ove appropriato, in cooperazione con l'autorità nazionale pertinente, trasmettere una notifica di follow-up conformemente all'articolo 26, paragrafo 7, del regolamento (UE) 2023/988;
c) garantire che le notifiche degli altri Stati membri nel sistema di allarme rapido Safety Gate convalidate dalla Commissione pervengano alle autorità nazionali competenti, comprese le autorità preposte ai controlli alle frontiere esterne, nel proprio Stato membro per un seguito adeguato a livello nazionale;
d) promuovere l'uso dell'applicazione Product Safety eSurveillance Webcrawler e, se del caso, di altri strumenti analoghi all'interno del proprio Stato membro, in particolare il follow-up dei risultati pertinenti da parte delle autorità nazionali;
e) addestrare all'uso del sistema di allarme rapido Safety Gate, e assistere, tutte le autorità nazionali;
f) facilitare nel proprio Stato membro l'esecuzione dei compiti relativi al sistema di allarme rapido Safety Gate previsti dal regolamento (UE) 2023/988 e dal regolamento delegato (UE) della Commissione, del 27 agosto 2024, che integra il regolamento (UE) 2023/988 del Parlamento europeo e del Consiglio per quanto riguarda l'accesso al sistema di allarme rapido Safety Gate e il suo funzionamento, le informazioni da inserire in tale sistema, i requisiti delle notifiche e i criteri per la valutazione del livello di rischio (1), in particolare la comunicazione di tutte le informazioni necessarie alla Commissione conformemente al regolamento (UE) 2023/988;
g) cooperare e scambiare le informazioni pertinenti per la sicurezza dei prodotti con gli altri punti di contatto Safety Gate e partecipare alle discussioni tra i punti di contatto Safety Gate coordinate dalla Commissione;
h) scambiare le informazioni pertinenti per la sicurezza dei prodotti a livello nazionale con l'autorità che è membro della rete per la sicurezza dei consumatori di cui all'articolo 30 del regolamento (UE) 2023/988, qualora sia un'autorità diversa dal punto di contatto Safety Gate;
i) scambiare le informazioni pertinenti per la sicurezza dei prodotti a livello nazionale con l'ufficio unico di collegamento designato a norma dell'articolo 10 del regolamento (UE) 2019/1020 del Parlamento europeo e del Consiglio (2) e dell'articolo 23, paragrafo 1, del regolamento (UE) 2023/988, qualora tale ufficio sia un'autorità diversa dal punto di contatto Safety Gate;
j) informare senza indugio la Commissione di ogni problema tecnico nel funzionamento del sistema di allarme rapido Safety Gate;
k) gestire le richieste di accesso alle applicazioni collegate al sistema di allarme rapido Safety Gate da parte degli utenti della propria rete nazionale Safety Gate e informare la Commissione di ogni modifica del personale che incida sui diritti di accesso;
l) rispondere alle richieste relative al funzionamento del sistema di allarme rapido Safety Gate nel proprio Stato membro da parte dei portatori di interessi, compresi gli operatori economici e i fornitori di mercati online;
m) se del caso, mettersi in contatto con l'autorità del proprio Stato membro che ha trasmesso la pertinente notifica del sistema di allarme rapido Safety Gate, in relazione a qualsiasi informazione supplementare che possa considerarsi da aggiungere a tale notifica, su richiesta di operatori economici o fornitori di mercati online, in particolare qualora tali imprese possano essere danneggiate dalla natura incompleta di una notifica nel sistema di allarme rapido Safety Gate.
Non ancora pubblicato nella Gazzetta ufficiale.
Regolamento (UE) 2019/1020 del Parlamento europeo e del Consiglio, del 20 giugno 2019, sulla vigilanza del mercato e sulla conformità dei prodotti e che modifica la direttiva 2004/42/CE e i regolamenti (CE) n. 765/2008 e (UE) n. 305/2011 (GU L 169 del 25.6.2019, ELI: http://data.europa.eu/eli/reg/2019/1020/oj).
La Commissione e le autorità nazionali, in qualità di contitolari del trattamento dei dati nel sistema di allarme rapido Safety Gate a norma dell'articolo 26 del regolamento (UE) 2016/679 e dell'articolo 28 del regolamento (UE) 2018/1725, hanno i ruoli e le responsabilità specificati nell'allegato del presente regolamento.
Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea.
Esso si applica a decorrere dal 13 dicembre 2024.
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Fatto a Bruxelles, il 9 ottobre 2024
Per la Commissione
La presidente
URSULA VON DER LEYEN
ALLEGATO
CONTITOLARITA' DEL SISTEMA DI ALLARME RAPIDO SAFETY GATE
1. OGGETTO E DESCRIZIONE DEL TRATTAMENTO
Il sistema di allarme rapido Safety Gate è un sistema di notifica gestito dalla Commissione, che consente lo scambio rapido di informazioni tra le autorità nazionali degli Stati membri, i tre Stati dello Spazio economico europeo/Associazione europea di libero scambio (SEE/EFTA) (Islanda, Liechtenstein e Norvegia) e la Commissione sulle misure adottate in relazione ai prodotti pericolosi reperiti sul mercato dell'Unione e/o del SEE/EFTA.
Scopo del sistema di allarme rapido Safety Gate è permettere lo scambio rapido di informazioni riguardanti le misure correttive adottate in tutta l'Unione nei confronti di prodotti che presentano un rischio.
Lo scambio di informazioni riguarda le misure correttive adottate in relazione a prodotti professionali e di consumo pericolosi che rientrano nell'ambito di applicazione dei regolamenti (UE) 2023/988 o (UE) 2019/1020.
Il sistema di allarme rapido Safety Gate copre sia le misure disposte dalle autorità nazionali sia quelle prese volontariamente dagli operatori economici.
2. PORTATA DELLA CONTITOLARITA'
La Commissione e le autorità nazionali agiscono in qualità di contitolari del trattamento dei dati nel sistema di allarme rapido Safety Gate. Per «autorità nazionali» si intendono tutte le autorità che intervengono in materia di sicurezza dei prodotti negli Stati membri e/o nei paesi EFTA/SEE e che partecipano alla rete dei punti di contatto Safety Gate dell'UE, comprese le autorità di vigilanza del mercato responsabili del controllo della conformità dei prodotti ai requisiti di sicurezza e le autorità preposte ai controlli alle frontiere esterne.
Ai fini dell'articolo 26 del regolamento (UE) 2016/679 e dell'articolo 28 del regolamento (UE) 2018/1725, rientrano nella responsabilità della Commissione, quale contitolare del trattamento dei dati personali, le attività di trattamento seguenti:
1) il trattamento da parte della Commissione delle informazioni relative alle misure prese in relazione a prodotti che presentano rischi gravi, importati nell'Unione e nello Spazio economico europeo o esportati a partire da tali territori, al fine di trasmetterle ai punti di contatto nazionali unici del sistema di allarme rapido Safety Gate («punti di contatto Safety Gate»);
2) il trattamento da parte della Commissione delle informazioni ricevute da paesi terzi, istituzioni internazionali, imprese o altri sistemi di allerta rapida riguardanti prodotti originari di Stati membri o di paesi terzi che presentano un rischio per la salute e la sicurezza dei consumatori, al fine di trasmetterle alle autorità nazionali.
Nello svolgimento di tali attività la Commissione garantisce il rispetto degli obblighi e delle condizioni applicabili di cui al regolamento (UE) 2018/1725.
Rientrano nella responsabilità delle autorità nazionali, quali contitolari del trattamento dei dati personali, le attività di trattamento seguenti:
1) il trattamento da parte delle autorità nazionali delle informazioni a norma dell'articolo 26 del regolamento (UE) 2023/988 relativo alla sicurezza generale dei prodotti e dell'articolo 20 del regolamento (UE) 2019/1020 al fine di notificare tali informazioni alla Commissione e agli altri Stati membri e ai paesi EFTA/SEE;
2) il trattamento da parte delle autorità nazionali delle informazioni successive alle loro attività di follow-up in relazione alle notifiche del sistema di allarme rapido Safety Gate al fine di notificarle alla Commissione e agli altri Stati membri e ai paesi EFTA/SEE.
Nello svolgimento di tali attività le autorità nazionali garantiscono il rispetto degli obblighi e delle condizioni applicabili di cui al regolamento (UE) 2016/679.
3. RESPONSABILITA', RUOLI E RAPPORTI DEI CONTITOLARI DEL TRATTAMENTO NEI CONFRONTI DEGLI INTERESSATI
3.1. Categorie di interessati e dati personali
I contitolari del trattamento trattano congiuntamente le categorie di dati personali seguenti:
a) le coordinate degli utenti del sistema di allarme rapido Safety Gate.
Possono essere trattati i dati seguenti:
- il nome degli utenti del sistema di allarme rapido Safety Gate;
- il cognome degli utenti del sistema di allarme rapido Safety Gate;
- l'indirizzo di posta elettronica degli utenti del sistema di allarme rapido Safety Gate;
- il paese degli utenti del sistema di allarme rapido Safety Gate;
- la lingua preferita degli utenti del sistema di allarme rapido Safety Gate;
b) le coordinate degli autori e dei validatori delle notifiche e delle reazioni trasmesse tramite il sistema di allarme rapido Safety Gate.
Tra questi autori e validatori figurano:
- i punti di contatto Safety Gate e gli ispettori delle autorità di vigilanza del mercato degli Stati membri e dei paesi EFTA/SEE o delle autorità nazionali preposte ai controlli alle frontiere esterne, implicati nella procedura di notifica;
- il personale della Commissione, tra cui funzionari, agenti temporanei, agenti contrattuali, tirocinanti e fornitori esterni di servizi.
Possono essere trattati i dati seguenti:
- il nome degli autori e dei validatori delle notifiche e delle reazioni trasmesse tramite il sistema di allarme rapido Safety Gate;
- il cognome degli autori e dei validatori delle notifiche e delle reazioni trasmesse tramite il sistema di allarme rapido Safety Gate;
- il nome dell'autorità autrice o validatrice delle notifiche e delle reazioni trasmesse tramite il sistema di allarme rapido Safety Gate;
- l'indirizzo dell'autorità autrice o validatrice delle notifiche e delle reazioni trasmesse tramite il sistema di allarme rapido Safety Gate;
- l'indirizzo di posta elettronica degli autori e dei validatori delle notifiche e delle reazioni trasmesse tramite il sistema di allarme rapido Safety Gate;
- il numero di telefono degli autori e dei validatori delle notifiche e delle reazioni trasmesse tramite il sistema di allarme rapido Safety Gate;
c) nel sistema di allarme rapido Safety Gate possono inoltre essere accessoriamente inclusi due tipi di dati personali:
i) ove necessario per tracciare i prodotti pericolosi, quali definiti all'articolo 3, punto 3), del regolamento (UE) 2023/988, i dati personali eventualmente contenuti nelle coordinate di operatori economici. Possono inserire questi dati nel sistema di allarme rapido Safety Gate soltanto le autorità nazionali sulla base delle informazioni raccolte nel corso delle indagini. Possono essere trattati i dati seguenti:
- il nome degli operatori economici;
- l'indirizzo degli operatori economici;
- la città degli operatori economici;
- il paese degli operatori economici;
- i dati di contatto degli operatori economici [1];
- l'indirizzo di contatto degli operatori economici;
ii) se inclusi accessoriamente in altri documenti, come i verbali di prova, i nomi delle persone che hanno effettuato le prove sui prodotti pericolosi e/o hanno autenticato i verbali di prova.
3.2. Comunicazione di informazioni agli interessati
La Commissione fornisce le informazioni di cui agli articoli 15 e 16 ed effettua le comunicazioni di cui agli articoli da 17 a 24 e all'articolo 35 del regolamento (UE) 2018/1725 in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. La Commissione prende inoltre le misure appropriate per assistere le autorità nazionali a fornire le informazioni di cui agli articoli 13 e 14 ed effettuare le comunicazioni di cui agli articoli da 19 a 26 e all'articolo 37 del regolamento (UE) 2016/679 in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro per quanto riguarda i dati seguenti:
- i dati relativi agli utenti del sistema di allarme rapido Safety Gate;
- i dati relativi agli autori e ai validatori delle notifiche e delle reazioni.
Gli utenti del sistema di allarme rapido Safety Gate sono informati dei loro diritti attraverso l'informativa sulla privacy disponibile nel sistema di allarme rapido Safety Gate.
Le autorità nazionali prendono le misure appropriate per fornire le informazioni di cui agli articoli 13 e 14 ed effettuare le comunicazioni di cui agli articoli da 19 a 26 e all'articolo 37 del regolamento (UE) 2016/679 in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro per quanto riguarda i dati seguenti:
- informazioni sulle persone giuridiche che permettono di identificare una persona fisica;
- nomi e altri dati delle persone che hanno effettuato le prove sui prodotti pericolosi e/o hanno autenticato i verbali di prova.
Le informazioni sono fornite per iscritto, anche per via elettronica.
Nell'adempimento dei loro obblighi nei confronti degli interessati le autorità nazionali utilizzano il modello di informativa sulla privacy fornito dalla Commissione.
3.3. Gestione delle richieste degli interessati
Gli interessati possono esercitare i loro diritti ai sensi, rispettivamente, del regolamento (UE) 2018/1725 e del regolamento (UE) 2016/679, contro la Commissione o contro le autorità nazionali in qualità di contitolari del trattamento.
I contitolari del trattamento gestiscono le richieste degli interessati secondo la procedura da essi istituita a tal fine. La procedura dettagliata per l'esercizio dei diritti degli interessati è spiegata nell'informativa sulla privacy.
I contitolari del trattamento cooperano e, ove richiesto, si prestano rapida ed efficiente assistenza reciproca nel gestire le richieste degli interessati.
Se un contitolare del trattamento riceve una richiesta di un interessato che non rientra nelle sue responsabilità, la trasmette prontamente, al più tardi entro sette giorni di calendario dal ricevimento, al contitolare del trattamento che ne è effettivamente responsabile. Quest'ultimo, entro tre giorni di calendario dal ricevimento della richiesta inoltratagli, invia all'interessato un avviso di ricevimento, informandone nel contempo il contitolare del trattamento che ha ricevuto inizialmente la richiesta.
Nella risposta alla richiesta dell'interessato di accesso ai dati personali il contitolare del trattamento non divulga né rende in altro modo disponibile alcun dato personale trattato congiuntamente senza prima consultare l'altro contitolare del trattamento.
4. ALTRE RESPONSABILITA' E RUOLI DEI CONTITOLARI DEL TRATTAMENTO
4.1. Sicurezza del trattamento
Ciascun contitolare del trattamento mette in atto misure tecniche e organizzative adeguate per:
a) garantire e tutelare la sicurezza, l'integrità e la riservatezza dei dati personali trattati congiuntamente, in linea, rispettivamente, con la decisione (UE, Euratom) 2017/46 della Commissione [2] e con il pertinente atto giuridico dello Stato membro dell'UE o del paese EFTA/SEE;
b) proteggere i dati personali in suo possesso da trattamenti, perdite, usi, comunicazioni, acquisizioni o accessi non autorizzati o illeciti;
c) non divulgare i dati personali o consentirne l'accesso a persone diverse dai destinatari o responsabili del trattamento precedentemente concordati.
Ciascun contitolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire la sicurezza del trattamento a norma, rispettivamente, dell'articolo 33 del regolamento (UE) 2018/1725 e dell'articolo 32 del regolamento (UE) 2016/679.
I contitolari del trattamento si prestano rapida ed efficiente assistenza reciproca in caso di incidenti di sicurezza, comprese le violazioni dei dati personali.
4.2. Gestione degli incidenti di sicurezza, comprese le violazioni dei dati personali
I contitolari del trattamento gestiscono gli incidenti di sicurezza, comprese le violazioni dei dati personali, conformemente alle loro procedure interne e alla legislazione applicabile.
In particolare, i contitolari del trattamento si prestano rapida ed efficiente assistenza reciproca nella misura necessaria ad agevolare l'individuazione e la gestione di eventuali incidenti di sicurezza, comprese le violazioni dei dati personali, connessi al trattamento congiunto.
I contitolari del trattamento si notificano reciprocamente:
a) eventuali rischi potenziali o effettivi per la disponibilità, la riservatezza e/o l'integrità dei dati personali oggetto di trattamento congiunto;
b) eventuali incidenti di sicurezza connessi al trattamento congiunto;
c) qualsiasi violazione dei dati personali (ad esempio violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali oggetto del trattamento congiunto), le probabili conseguenze della violazione dei dati personali, la valutazione del rischio per i diritti e le libertà delle persone fisiche, e tutte le misure adottate per porre rimedio alla violazione di dati personali e per attenuare il rischio per i diritti e le libertà delle persone fisiche;
d) eventuali violazioni delle garanzie tecniche e/o organizzative del trattamento congiunto.
Ciascun contitolare del trattamento è responsabile del trattamento di tutti gli incidenti di sicurezza, comprese le violazioni dei dati personali, cagionati da inadempimento degli obblighi che gli derivano dal presente regolamento di esecuzione, dal regolamento (UE) 2018/1725 e dal regolamento (UE) 2016/679, a seconda dei casi.
I contitolari del trattamento documentano gli incidenti di sicurezza (comprese le violazioni dei dati personali) e si notificano reciprocamente detti incidenti (comprese le violazioni dei dati personali), senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne sono venuti a conoscenza.
Il contitolare del trattamento responsabile di una violazione dei dati personali documenta detta violazione e ne informa il Garante europeo della protezione dei dati o l'autorità di controllo nazionale competente. Esso vi provvede senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Il contitolare del trattamento responsabile informa l'altro contitolare del trattamento di tale notifica.
Il contitolare del trattamento responsabile della violazione dei dati personali comunica la violazione all'interessato qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà di tale persona fisica. Il contitolare del trattamento responsabile informa l'altro contitolare del trattamento di tale comunicazione.
4.3. Localizzazione dei dati personali
I dati personali raccolti ai fini della procedura di notifica tramite il sistema di allarme rapido Safety Gate sono conservati e raccolti in detto sistema al fine di garantire che l'accesso all'applicazione sia limitato alle persone chiaramente identificate e che quindi i dati conservati nell'applicazione siano ben protetti.
I dati personali raccolti ai fini del trattamento sono trattati esclusivamente all'interno del territorio dell'UE/SEE e non usciranno da tale territorio, a meno che non siano conformi agli articoli 45, 46 o 49 del regolamento (UE) 2016/679 o agli articoli 47, 48 o 50 del regolamento (UE) 2018/1725.
Conformemente all'articolo 40 del regolamento (UE) 2023/988, la Commissione può fornire ai paesi terzi o alle organizzazioni internazionali informazioni selezionate dal sistema di allarme rapido Safety Gate e ricevere informazioni pertinenti sulla sicurezza dei prodotti e sulle misure preventive, restrittive e correttive adottate da tali paesi terzi o organizzazioni internazionali. Qualsiasi scambio di informazioni ai sensi dell'articolo 40 del regolamento (UE) 2023/988, nella misura in cui riguarda dati personali, è effettuato in conformità delle norme dell'Unione in materia di protezione dei dati.
4.4. Destinatari dei dati personali
L'accesso ai dati personali è consentito solo al personale autorizzato e ai contraenti della Commissione e delle autorità nazionali ai fini della gestione e del funzionamento del sistema di allarme rapido Safety Gate, che facilita il trattamento. L'accesso è soggetto ai seguenti requisiti in materia di identificativi e password:
- il sistema di allarme rapido Safety Gate è aperto solo alla Commissione e agli utenti specificamente nominati dalle autorità degli Stati membri dell'UE e dalle autorità dei paesi EFTA/SEE nonché del Regno Unito per quanto riguarda gli utenti dell'Irlanda del Nord;
- l'accesso ai dati personali raccolti nel sistema di allarme rapido Safety Gate è concesso solo agli utenti designati e autorizzati dell'applicazione che dispongono di un ID utente/password. L'accesso all'applicazione e la concessione di una password sono possibili solo su richiesta dell'autorità nazionale competente, sotto la supervisione generale del Team Safety Gate della Commissione;
- l'accesso ai dati personali raccolti è consentito al personale della Commissione incaricato dello specifico trattamento e alle persone autorizzate in base al principio della «necessità di sapere». Tale personale è tenuto a rispettare le norme di legge e altri eventuali accordi in materia di riservatezza.
Le persone che hanno accesso ai dati personali raccolti sono:
a) il personale e i contraenti della Commissione;
b) i punti di contatto e gli ispettori identificati delle autorità di vigilanza del mercato degli Stati membri e dei paesi EFTA/SEE nonché delle autorità del Regno Unito nei confronti degli utenti dell'Irlanda del Nord;
c) gli ispettori identificati delle autorità preposte ai controlli alle frontiere esterne degli Stati membri e dei paesi EFTA/SEE.
Le persone che hanno accesso a tutti i dati personali raccolti e possono modificarli su richiesta sono:
a) i membri del Team Safety Gate della Commissione;
b) i membri dell'Helpdesk Safety Gate della Commissione.
Sul portale Safety Gate [3] è disponibile l'elenco di tutti i punti di contatto Safety Gate, con le rispettive coordinate (cognome, nome, nome dell'autorità, indirizzo dell'autorità, telefono, indirizzo di posta elettronica). La gestione degli utenti a livello nazionale è controllata dai punti di contatto Safety Gate attraverso il sistema di allarme rapido Safety Gate.
Tutti gli utenti hanno accesso al contenuto delle notifiche aventi lo status «EC validated» (convalidata dalla CE). Solo gli utenti nazionali del sistema di allarme rapido Safety Gate hanno accesso al progetto delle loro notifiche (prima della presentazione alla Commissione europea). Il personale della Commissione e le persone autorizzate hanno accesso alle notifiche aventi lo status «EC submitted» (presentata alla CE).
Ciascun contitolare del trattamento informa tutti gli altri contitolari del trattamento di eventuali trasferimenti di dati personali a destinatari di paesi terzi o organizzazioni internazionali.
5. RESPONSABILITA' SPECIFICHE DEI CONTITOLARI DEL TRATTAMENTO
La Commissione procura e ha la responsabilità di:
a) decidere i mezzi, i requisiti e le finalità del trattamento;
b) registrare i trattamenti;
c) facilitare l'esercizio dei diritti degli interessati;
d) gestire le richieste degli interessati;
e) decidere di limitare l'applicazione dei diritti dell'interessato o di derogarvi, ove necessario e proporzionato;
f) garantire la protezione dei dati fin dalla progettazione e la privacy by default;
g) individuare e valutare la liceità, la necessità e la proporzionalità delle trasmissioni e dei trasferimenti di dati personali;
h) svolgere una consultazione preventiva con il Garante europeo della protezione dei dati, se del caso;
i) garantire che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
j) cooperare con il Garante europeo della protezione dei dati, su richiesta, nello svolgimento dei suoi compiti.
Le autorità nazionali procurano e hanno la responsabilità di:
a) registrare i trattamenti;
b) assicurare che i dati personali oggetto di trattamento siano adeguati, esatti, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati;
c) assicurare informazioni e comunicazioni trasparenti agli interessati in merito ai loro diritti;
d) facilitare l'esercizio dei diritti degli interessati;
e) ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del regolamento (UE) 2016/679 e assicuri la tutela dei diritti dell'interessato;
f) disciplinare i trattamenti da parte di un responsabile del trattamento mediante un contratto o altro atto giuridico a norma del diritto dell'Unione o degli Stati membri conformemente all'articolo 28 del regolamento (UE) 2016/679;
g) svolgere una consultazione preventiva con l'autorità di controllo nazionale, se del caso;
h) garantire che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
i) cooperare con l'autorità di controllo nazionale, su richiesta, nello svolgimento dei suoi compiti.
6. DURATA DEL TRATTAMENTO
I contitolari del trattamento non conservano né trattano i dati personali più a lungo di quanto necessario per perseguire le finalità e gli obblighi concordati enunciati nel presente regolamento, ossia per il tempo necessario per perseguire la finalità della raccolta o dell'ulteriore trattamento. In particolare:
a) le coordinate degli utenti del sistema di allarme rapido Safety Gate sono conservate nel sistema finché questi rimangono utenti. Le coordinate sono cancellate dal sistema di allarme rapido Safety Gate non appena perviene l'informazione che la persona in questione non è più utente del sistema;
b) le coordinate degli ispettori delle autorità di vigilanza del mercato degli Stati membri e dei paesi EFTA/SEE, nonché delle autorità preposte ai controlli alle frontiere esterne, figuranti nelle notifiche e nelle reazioni sono conservate nel sistema per un periodo di cinque anni a decorrere dalla convalida della notifica o della reazione;
c) i dati personali di altre persone fisiche eventualmente inclusi nel sistema sono conservati in una forma che consente l'identificazione per 30 anni dal momento in cui sono stati inseriti nel sistema di allarme rapido Safety Gate, periodo che corrisponde al ciclo di vita massimo stimato di categorie di prodotti quali elettrodomestici o veicoli a motore.
La Commissione darà seguito alle legittime richieste degli interessati di bloccare, rettificare o cancellare i loro dati entro un mese dal ricevimento della richiesta.
7. RESPONSABILITA' PER INOSSERVANZA
La Commissione è responsabile per inosservanza conformemente al capo VIII del regolamento (UE) 2018/1725.
Le autorità degli Stati membri dell'UE sono responsabili per inosservanza conformemente al capo VIII del regolamento (UE) 2016/679.
8. COOPERAZIONE TRA CONTITOLARI DEL TRATTAMENTO
Ciascun contitolare del trattamento, ove richiesto, presta rapida ed efficiente assistenza agli altri contitolari del trattamento nell'esecuzione del presente regolamento, nel rispetto di tutti i requisiti applicabili dei regolamenti (UE) 2018/1725 e (UE) 2016/679 e di altre norme applicabili in materia di protezione dei dati.
9. COMPOSIZIONE DELLE CONTROVERSIE
I contitolari del trattamento si adoperano per comporre in via amichevole qualsiasi controversia derivante dall'interpretazione o dall'applicazione del presente regolamento o ad essa relativa.
Qualora sorga in qualsiasi momento una questione, una controversia o una divergenza tra i contitolari del trattamento, in relazione o in connessione al presente regolamento, i contitolari del trattamento faranno tutto il possibile per risolverla mediante un processo di consultazione.
La preferenza è che tutte le controversie siano composte al livello operativo al momento in cui sorgono e che ad occuparsene siano i punti di contatto di cui al punto 10 del presente allegato ed elencati nel portale Safety Gate.
Obiettivo della consultazione è esaminare e concordare per quanto possibile l'azione per risolvere il problema. Nel perseguire tale obiettivo i contitolari del trattamento negoziano tra loro in buona fede. Ciascun contitolare del trattamento risponde a una richiesta di composizione amichevole entro sette giorni lavorativi dal ricevimento della richiesta. Il periodo per giungere a una composizione amichevole è di 30 giorni lavorativi dalla data di ricevimento della richiesta.
Qualora la controversia non possa essere composta in via amichevole, ciascun contitolare del trattamento può ricorrere alla mediazione e/o al procedimento giudiziario nella maniera seguente:
a) in caso di mediazione, i contitolari del trattamento nominano congiuntamente un Mediatore accettabile da ciascuno di essi, che sarà responsabile di agevolare la composizione della controversia entro due mesi dal deferimento della controversia;
b) in caso di procedimento giudiziario, la questione è deferita alla Corte di giustizia dell'Unione europea a norma dell'articolo 272 del trattato sul funzionamento dell'Unione europea.
10. PUNTI DI CONTATTO PER LA COOPERAZIONE TRA I CONTITOLARI DEL TRATTAMENTO
Ciascun contitolare del trattamento nomina un punto di contatto unico, che gli altri contitolari del trattamento contattano in relazione alle domande, ai reclami e alla comunicazione di informazioni che rientrano nell'ambito di applicazione del presente regolamento.
Sul portale Safety Gate è disponibile l'elenco dettagliato di tutti i punti di contatto nominati dalla Commissione e dalle autorità nazionali, con le rispettive coordinate (cognome, nome, nome dell'autorità, indirizzo dell'autorità, numero di telefono e di fax, indirizzo di posta elettronica).
_________________
[1] Questo campo può riferirsi alla persona fisica che rappresenta i fabbricanti o ai rappresentanti autorizzati. Gli Stati membri sono tuttavia invitati a non inserire dati personali e privilegiare coordinate non personali come indirizzi di posta elettronica generici
[2] Decisione (UE, Euratom) 2017/46 della Commissione, del 10 gennaio 2017, sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea (GU L 6 dell'11.1.2017, ELI: http://data.europa.eu/eli/dec/2017/46/oj).
[3] https://ec.europa.eu/safety-gate/#/screen/pages/contacts.