4.5.2007

IT

Gazzetta ufficiale dell'Unione europea

L 116/64

---

DECISIONE DELLA BANCA CENTRALE EUROPEA

del 17 aprile 2007

che adotta le misure di attuazione relative alla protezione dei dati personali presso la Banca centrale europea

(BCE/2007/1)

(2007/279/CE)

IL COMITATO ESECUTIVO DELLA BANCA CENTRALE EUROPEA,

visto il trattato che istituisce la Comunità europea, in particolare l’articolo 286,

visto il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di dati (1), in particolare l’articolo 24, paragrafo 8,

considerando quanto segue:

(1)	Il regolamento (CE) n. 45/2001 stabilisce i principi della protezione dei dati personali e le regole applicabili a tutte le istituzioni e organi comunitari e istituisce la nomina di un responsabile della protezione dei dati da parte di ogni istituzione o organismo comunitario.

(2)	In virtù dell’articolo 24, paragrafo 8, del regolamento (CE) n. 45/2001, ogni istituzione o organismo della Comunità adotta altre norme di attuazione relative al responsabile della protezione dei dati nel rispetto delle disposizioni contenute nell’allegato del regolamento stesso,

DECIDE:

SEZIONE 1

DISPOSIZIONI GENERALI

Articolo 1

Oggetto e campo d’applicazione

1.   La presente decisione stabilisce le norme generali di attuazione del regolamento (CE) n. 45/2001 riguardanti la Banca centrale europea (BCE). In particolare, completa le disposizioni del regolamento (CE) n. 45/2001 sulla nomina e sullo status del responsabile della protezione dei dati, così come sui suoi compiti, doveri e poteri.

2.   La presente decisone chiarisce anche il ruolo, i compiti e i doveri dei responsabili del trattamento e dei coordinatori della protezione dei dati e attua le regole in base alle quali gli interessati possono esercitare i propri diritti.

Articolo 2

Definizioni

Ai fini della presente decisione e fatte salve le definizioni contenute nel regolamento (CE) n. 45/2001, si applicano le definizioni seguenti:

a)	per «responsabile del trattamento» s’intende il responsabile dell’unità organizzativa che determina le finalità e i mezzi dell’elaborazione dei dati personali;

b)	per «coordinatore della protezione dei dati» s’intende un membro del personale che assiste un responsabile del trattamento nell’adempimento degli obblighi di quest’ultimo relativi alla protezione dei dati. Tale persona è specialista nella gestione degli archivi.

SEZIONE 2

RESPONSABILE DELLA PROTEZIONE DEI DATI

Articolo 3

Nomina, status e questioni organizzative

1.   Il Comitato esecutivo:

a)	nomina il responsabile della protezione dei dati tra il personale della BCE con un grado sufficiente di anzianità da soddisfare le condizioni di cui all’articolo 24 del regolamento (CE) n. 45/2001;

b)	stabilisce il suo mandato in un termine compreso tra due e cinque anni; e

c)	registra il responsabile della protezione dei dati presso il Garante europeo della protezione dei dati.

2.   Il Comitato esecutivo assicura che il responsabile della protezione dei dati svolga i propri compiti e adempia ai propri doveri in maniera indipendente. Fatta salva tale indipendenza:

a)	il responsabile della protezione dei dati è soggetto alle condizioni d’impiego della BCE;

b)	a fini amministrativi, il ruolo di responsabile della protezione dei dati viene assegnato a una delle unità operative della BCE; e

c)	prima di compiere una valutazione sullo svolgimento dei compiti e sull’adempimento dei doveri da parte del responsabile della protezione dei dati, coloro che effettuano tale valutazione consultano il Garante europeo della protezione dei dati.

3.   Il responsabile del trattamento competente assicura che il responsabile della protezione dei dati sia tenuto informato senza ritardo di:

a)	questioni che abbiano o possano avere implicazioni legate alla protezione dei dati; e

b)	ogni contatto con parti esterne avvenuto in connessione all’applicazione del regolamento (CE) n. 45/2001, in particolare qualunque interazione con il Garante europeo della protezione dei dati.

4.   Il Comitato esecutivo può nominare un sostituto responsabile della protezione dei dati, a cui si applica il disposto dei paragrafi 1 e 2. Il sostituto assiste il responsabile della protezione dei dati nello svolgimento dei suoi compiti e nell’adempimento dei suoi doveri e lo sostituisce in caso di assenza.

5.   Il personale che presta assistenza al responsabile della protezione dei dati in relazione a questioni di protezione dei dati agisce esclusivamente su sue istruzioni.

Articolo 4

Compiti e doveri del responsabile della protezione dei dati

Nello svolgimento dei compiti specificati nell’articolo 24 del regolamento (CE) n. 45/2001 e nel suo allegato, il responsabile della protezione dei dati adempie ai seguenti doveri, tenendo conto del contributo delle unità operative della BCE competenti, laddove necessario:

a)

presta consulenza al Comitato esecutivo, ai responsabili del trattamento e ai coordinatori della protezione dei dati su questioni che riguardano l’applicazione delle disposizioni sulla protezione dei dati presso la BCE. Il responsabile della protezione dei dati può essere consultato dal Comitato esecutivo, da qualunque dei responsabili del trattamento interessati, dal Comitato del personale o da chiunque su qualunque questione attinente all’interpretazione o all’applicazione del regolamento (CE) n. 45/2001;

b)

su iniziativa propria del responsabile della protezione dei dati o su richiesta del Comitato esecutivo, un responsabile del trattamento, il Comitato del personale o qualunque individuo, effettua indagini su questioni o avvenimenti direttamente riguardanti i compiti e i doveri del responsabile della protezione dei dati di cui quest’ultimo venga a conoscenza, e ne fa relazione alla persona che l’ha incaricata dell’indagine. Il responsabile della protezione dei dati considera le questioni e i fatti imparzialmente e col dovuto rispetto dei diritti dell’interessato. Se il responsabile della protezione dei dati lo ritiene opportuno, esso informa le altre parti interessate di conseguenza. Se colui che richiede l’indagine è una persona fisica, o agisce per conto di una persona fisica, il responsabile della protezione dei dati assicura, nei limiti del possibile, che la richiesta rimanga riservata, a meno che l’interessato non dia il proprio univoco consenso al trattamento della richiesta in maniera differente;

c)

coopera con il responsabile della protezione dei dati di altre istituzioni o organismi comunitari, in particolare mediante lo scambio di esperienze e la condivisione di conoscenze e rappresentando la BCE in tutte le discussioni — salvo in giudizio — riguardanti questioni sulla protezione dei dati; e

d)	presenta al Comitato esecutivo e al Garante europeo della protezione dei dati un programma annuale di lavoro e una relazione annuale sulle attività del responsabile della protezione dei dati.

Articolo 5

Poteri del responsabile della protezione dei dati

Il responsabile della protezione dei dati può:

a)	richiedere un parere ad ogni unità operativa della BCE su qualunque questione relativa ai propri compiti e doveri;

b)	formulare un parere sulla legalità di operazioni di trattamento attuali o proposte o su qualunque questione riguardante la notifica di operazioni di trattamento di dati;

c)	portare all’attenzione del Comitato esecutivo qualunque mancanza di un membro del personale nel rispettare il regolamento (CE) n. 45/2001; e

d)	svolgere gli altri compiti specificati nell’allegato del regolamento (CE) n. 45/2001.

SEZIONE 3

RESPONSABILI DEL TRATTAMENTO E COORDINATORI

Articolo 6

Compiti e doveri dei responsabili del trattamento e dei coordinatori

1.   I responsabili del trattamento assicurano che tutte le operazioni di trattamento che interessano dati personali eseguite all’interno della propria area di responsabilità siano conformi al regolamento (CE) n. 45/2001.

2.   Nell’adempimento dell’obbligo di assistere il responsabile della protezione dei dati e il Garante europeo della protezione dei dati nello svolgimento dei loro compiti, i responsabili del trattamento forniscono loro piene informazioni, danno loro accesso ai dati personali e rispondono a domande entro 20 giorni lavorativi dal ricevimento della richiesta.

3.   Fatte salve le competenze dei responsabili del trattamento:

a)

I coordinatori della protezione dei dati assistono i responsabili del trattamento nell’adempimento dei loro obblighi, su richiesta di questi ultimi ovvero su propria iniziativa. Nel fare ciò, i coordinatori contattano il personale dei responsabili del trattamento, che fornisce loro tutte le informazioni necessarie. A discrezione del responsabile del trattamento in questione, ciò può includere l’accesso a dati personali trattati sotto la sua responsabilità.

b)

I coordinatori della protezione dei dati assistono il responsabile della protezione dei dati: i) nell’identificare i responsabili del trattamento di operazioni relative a dati personali; ii) nel rendere noti i suoi pareri e nel prestare supporto ai responsabili del trattamento, sulla base delle direttive del responsabile della protezione dei dati; iii) altri aspetti del programma di lavoro del responsabile della protezione dei dati, come concordato tra quest’ultimo e la gestione dei coordinatori.

Articolo 7

Procedura di notifica

1.   Prima di introdurre nuove operazioni di trattamento relative a dati personali, il responsabile del trattamento competente ne dà notifica al responsabile della protezione dei dati utilizzando l’interfaccia on line accessibile tramite il suo sito Internet, attraverso l’Intranet della BCE. Qualunque operazione di trattamento soggetta a controllo preventivo in virtù dell’articolo 27, paragrafo 3, del regolamento n. 45/2001 è notificata con un anticipo sufficiente per consentire i controlli preventivi da parte del Garante europeo della protezione dei dati.

2.   I responsabili del trattamento informano immediatamente il responsabile della protezione dei dati di qualunque modifica contenuta in una notifica già presentata al responsabile della protezione dei dati.

SEZIONE 4

DIRITTI DEGLI INTERESSATI

Articolo 8

Registro

Il registro mantenuto presso il responsabile della protezione dei dati in conformità dell’articolo 26 del regolamento (CE) n. 45/2001 è utilizzato come indice di tutte le operazioni di trattamento di dati personali condotte presso la BCE. Gli interessati possono fare uso delle informazioni contenute nel registro per esercitare i diritti di cui agli articoli da 13 a 19 del regolamento (CE) n. 45/2001.

Articolo 9

Esercizio dei diritti degli interessati

1.   Quale conseguenza del diritto di essere opportunamente informati riguardo a qualunque trattamento dei propri dati personali, gli interessati possono avvicinare il responsabile del trattamento competente al fine di esercitare i propri diritti conformemente agli articoli da 13 a 19 del regolamento (CE) n. 45/2001, come sotto specificato.

a)	Tali diritti possono essere esercitati solo da parte degli interessati o da rappresentanti da essi debitamente autorizzati. Tali persone possono esercitare qualunque di tali diritti gratuitamente.

b)

Le richieste di esercizio di tali diritti sono dirette per iscritto al responsabile del trattamento competente. Esso accoglie la richiesta solo se l’identità del richiedente e, se opportuno, il suo diritto a rappresentare l’interessato, sono stati debitamente verificati. Il responsabile del trattamento informa senza ritardo l’interessato per iscritto dell’avvenuta accettazione o meno della richiesta. Se la richiesta è stata rigettata, il responsabile del trattamento menziona le ragioni di tale rigetto.

c)

Il responsabile del trattamento, in qualunque momento nell’arco di tre mesi di calendario dal ricevimento della richiesta, concede l’accesso in conformità dell’articolo 13 del regolamento (CE) n. 45/2001, rendendo possibile per gli interessati consultare i dati sul posto o riceverne copia, a scelta del richiedente.

d)

Gli interessati possono contattare il responsabile della protezione dei dati nel caso in cui il responsabile del trattamento non rispetti uno dei limiti temporali di cui alle lettere b) o c). Nel caso di un ovvio abuso nell’esercizio dei propri diritti da parte di un interessato, il responsabile del trattamento può portarlo di fronte al responsabile della protezione dei dati. Qualora ciò avvenga, quest’ultimo deciderà nel merito della richiesta e sul suo seguito appropriato. Nel caso di disaccordo tra l’interessato e il responsabile del trattamento, entrambe le parti hanno il diritto di consultare il responsabile della protezione dei dati.

2.   I membri del personale della BCE possono consultare il responsabile della protezione dei dati prima di presentare un reclamo presso il Garante europeo della protezione dei dati, sulla base dell’articolo 33 del regolamento (CE) n. 45/2001.

Articolo 10

Esenzioni e restrizioni

1.   A condizione che il responsabile della protezione dei dati sia stato preliminarmente consultato, il responsabile del trattamento può porre limiti ai diritti di cui agli articoli da 13 a 17 del regolamento (CE) n. 45/2001 per i motivi, e in conformità delle condizioni ivi contenute, stabiliti nell’articolo 20 del regolamento (CE) n. 45/2001.

2.   Qualunque persona coinvolta può chiedere al Garante europeo della protezione dei dati di applicare il disposto dell’articolo 47, paragrafo 1, lettera c) del regolamento (CE) n. 45/2001.

Articolo 11

Procedura d’indagine

1.   Qualunque richiesta di indagine di cui all’articolo 4, lettera b), è diretta al responsabile della protezione dei dati per iscritto.

2.   Questi invia un avviso di ricevimento al richiedente entro 20 giorni lavorativi decorrenti dal ricevimento della richiesta.

3.   Il responsabile della protezione dei dati indaga sulla questione sul posto e chiede dichiarazioni scritte al responsabile del trattamento. Quest’ultimo fornisce una risposta al responsabile della protezione dei dati entro 20 giorni lavorativi dal momento in cui il responsabile del trattamento ha ricevuto la richiesta del responsabile della protezione dei dati. Esso può richiedere ulteriori informazioni o assistenza a qualunque unità operativa della BCE, che fornisce tali ulteriori informazioni o assistenza entro 20 giorni lavorativi dalla richiesta del responsabile della protezione dei dati.

4.   Il responsabile della protezione dei dati riferisce al richiedente entro tre mesi di calendario decorrenti dal ricevimento della richiesta.

Articolo 12

Mezzi di ricorso

Oltre ai mezzi di ricorso stabiliti nell’articolo 32 del regolamento (CE) n. 45/2001, a disposizione di tutti gli interessati, i mezzi di ricorso previsti nelle Condizioni di impiego della BCE sono a disposizione degli interessati che siano anche membri del personale della BCE.

SEZIONE 5

ENTRATA IN VIGORE

Articolo 13

Disposizione finale

La presente decisione entra in vigore il ventesimo giorno successivo a quello della pubblicazione nella Gazzetta ufficiale dell’Unione europea.

---

(1)  GU L 8 del 12.1.2001, pag. 1.

---