Regolamento (UE) 2024/2639

Regolamento di esecuzione (UE) 2024/2639: ruoli dei punti di contatto Safety Gate e contitolarità del trattamento

Il regolamento di esecuzione definisce le modalità di applicazione del regolamento (UE) 2023/988 in relazione al sistema di allarme rapido Safety Gate, destinato allo scambio di informazioni sulle misure correttive adottate per prodotti pericolosi. La Commissione richiama l’esperienza maturata con il precedente sistema RAPEX e mira a garantire un flusso informativo efficiente, coerente e tempestivo tra Commissione, punti di contatto nazionali e autorità competenti.

Finalità e contesto normativo

L’atto si colloca nel quadro del regolamento (UE) 2023/988 sulla sicurezza generale dei prodotti e ne attua l’articolo 25, paragrafo 2, secondo comma. I considerando evidenziano che la designazione di un unico punto di contatto nazionale non deve incidere sull’organizzazione interna della vigilanza del mercato da parte degli Stati membri, ma serve a rafforzare coordinamento, qualità delle notifiche e rapidità di diffusione delle informazioni.

Ruolo dei punti di contatto nazionali Safety Gate

L’articolo 1 attribuisce ai punti di contatto Safety Gate una funzione centrale di coordinamento operativo. Essi devono:

• verificare e convalidare la completezza delle notifiche ricevute dalle autorità nazionali prima dell’invio alla Commissione;
• controllare, prima di notificare un caso, se il prodotto sia già stato oggetto di notifica nel sistema e, se opportuno, trasmettere una notifica di follow-up ai sensi dell’articolo 26, paragrafo 7, del regolamento (UE) 2023/988;
• far pervenire alle autorità nazionali competenti, incluse quelle preposte ai controlli alle frontiere esterne, le notifiche degli altri Stati membri convalidate dalla Commissione;
• promuovere l’utilizzo del Product Safety eSurveillance Webcrawler e di strumenti analoghi;
• formare e assistere tutte le autorità nazionali nell’uso del sistema;
• facilitare l’esecuzione dei compiti connessi al Safety Gate, in particolare la comunicazione alla Commissione di tutte le informazioni necessarie;
• cooperare con gli altri punti di contatto e partecipare alle discussioni coordinate dalla Commissione;
• scambiare informazioni con la rete per la sicurezza dei consumatori e con l’ufficio unico di collegamento, ove tali soggetti siano diversi dal punto di contatto;
• informare senza indugio la Commissione di problemi tecnici del sistema;
• gestire le richieste di accesso alle applicazioni collegate al sistema e le variazioni del personale che incidono sui diritti di accesso;
• rispondere alle richieste di operatori economici, fornitori di mercati online e altri portatori di interessi;
• contattare l’autorità nazionale che ha trasmesso la notifica, su richiesta di imprese o fornitori di mercati online, quando sia opportuno integrare informazioni mancanti o supplementari.

Cooperazione e prevenzione dei duplicati

Un obiettivo esplicito del regolamento è evitare duplicazioni nel sistema. Prima dell’invio di una notifica i punti di contatto devono verificare se la misura relativa a un prodotto sia già stata notificata, anche con il supporto delle autorità nazionali. Tale impostazione rafforza la qualità del dato, la coerenza delle informazioni e l’affidabilità del sistema di allarme rapido.

Contitolarità del trattamento dei dati personali

L’articolo 2 e l’allegato disciplinano la contitolarità tra Commissione e autorità nazionali nel trattamento dei dati personali connessi al Safety Gate, ai sensi del GDPR e del regolamento (UE) 2018/1725. La Commissione tratta, tra l’altro, informazioni sulle misure riguardanti prodotti a rischio grave e dati provenienti da paesi terzi, istituzioni internazionali, imprese o altri sistemi di allerta, al fine di trasmetterli ai punti di contatto o alle autorità nazionali. Le autorità nazionali trattano le informazioni raccolte ai sensi del regolamento (UE) 2023/988 e del regolamento (UE) 2019/1020 per notificare la Commissione, gli altri Stati membri e i paesi SEE/EFTA, nonché i dati successivi al follow-up delle notifiche.

Categorie di dati, informativa e diritti degli interessati

Sono individuate tre principali categorie di dati personali: coordinate degli utenti del sistema; coordinate degli autori e validatori delle notifiche e delle reazioni; dati accessori di operatori economici o di persone coinvolte nei verbali di prova. L’allegato disciplina l’informativa agli interessati, distinguendo tra gli obblighi della Commissione e quelli delle autorità nazionali, e prescrive l’uso di un modello di informativa sulla privacy fornito dalla Commissione.

Gli interessati possono esercitare i loro diritti contro la Commissione o contro le autorità nazionali, secondo le rispettive normative applicabili. Le richieste devono essere gestite mediante una procedura condivisa; se una domanda è ricevuta dal contitolare non competente, essa va trasmessa entro 7 giorni di calendario al contitolare responsabile, che deve inviare un avviso di ricevimento entro 3 giorni di calendario. In caso di accesso ai dati, il contitolare non può divulgare dati trattati congiuntamente senza previa consultazione dell’altro contitolare.

Sicurezza del trattamento e incidenti di sicurezza

Il regolamento impone misure tecniche e organizzative adeguate per proteggere i dati da accessi non autorizzati, perdite o divulgazioni illecite. I contitolari devono assistersi reciprocamente in caso di incidenti di sicurezza e violazioni dei dati personali. Ogni incidente deve essere documentato e notificato all’altro contitolare senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza. La violazione deve essere notificata all’autorità di controllo competente entro 72 ore, salvo improbabilità di rischio per i diritti e le libertà delle persone fisiche; se il rischio è elevato, deve essere effettuata anche la comunicazione agli interessati.

Localizzazione dei dati e trasferimenti internazionali

I dati personali sono conservati e trattati nel territorio UE/SEE. Il trasferimento al di fuori di tale area è ammesso solo nel rispetto delle condizioni previste dagli articoli 45, 46 o 49 del GDPR e dagli articoli 47, 48 o 50 del regolamento (UE) 2018/1725. Inoltre, lo scambio con paesi terzi o organizzazioni internazionali previsto dall’articolo 40 del regolamento (UE) 2023/988 deve rispettare integralmente le norme dell’Unione in materia di protezione dei dati.

Conservazione dei dati

La durata del trattamento è limitata al tempo necessario per le finalità del sistema. In particolare:

• le coordinate degli utenti sono conservate finché la persona rimane utente del sistema;
• le coordinate degli ispettori figuranti nelle notifiche e nelle reazioni sono conservate per 5 anni dalla convalida;
• gli altri dati personali eventualmente inclusi sono conservati per 30 anni, in ragione del ciclo di vita massimo stimato di alcune categorie di prodotti, come elettrodomestici o veicoli a motore.

La Commissione deve dare seguito, entro un mese, alle richieste legittime di blocco, rettifica o cancellazione dei dati.

Responsabilità, controversie e punti di contatto tra contitolari

L’allegato ripartisce in modo analitico le responsabilità tra Commissione e autorità nazionali: registrazione dei trattamenti, liceità e proporzionalità, data protection by design e by default, limitazione dei diritti quando necessario, scelta dei responsabili del trattamento, consultazione preventiva delle autorità di controllo, riservatezza del personale e cooperazione con le autorità di controllo. In caso di inosservanza, la Commissione risponde secondo il capo VIII del regolamento (UE) 2018/1725, mentre le autorità degli Stati membri rispondono ai sensi del capo VIII del regolamento (UE) 2016/679.

Le controversie tra contitolari devono essere risolte in via amichevole mediante consultazione, preferibilmente a livello operativo. La risposta a una richiesta di composizione amichevole deve intervenire entro 7 giorni lavorativi e il tentativo di composizione si svolge entro 30 giorni lavorativi. In caso di mancato accordo, è possibile ricorrere alla mediazione o al giudizio dinanzi alla Corte di giustizia dell’Unione europea ai sensi dell’articolo 272 TFUE.

Decorrenza ed efficacia

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea e si applica dal 13 dicembre 2024. È vincolante in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.