Regolamento (UE) 2018/1725

Regolamento (UE) 2018/1725 sulla tutela dei dati personali nelle istituzioni, organi e organismi dell’Unione

Il regolamento costituisce il quadro generale di riferimento per il trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione europea. Esso intende garantire un livello elevato e uniforme di tutela dei diritti fondamentali, in particolare del diritto alla protezione dei dati, assicurando al contempo la libera circolazione dei dati all’interno dell’assetto istituzionale dell’Unione e verso destinatari stabiliti nell’Unione. Il testo si coordina strettamente con il regolamento (UE) 2016/679 e con la direttiva (UE) 2016/680, perseguendo un allineamento quanto più possibile coerente con il regime applicabile negli Stati membri.

Ambito di applicazione

Il regolamento si applica a tutti i trattamenti di dati personali effettuati da istituzioni, organi e organismi dell’Unione, sia in forma automatizzata sia in forma non automatizzata, purché i dati siano contenuti o destinati a figurare in un archivio. Restano fuori dal campo di applicazione i dati personali operativi trattati da Europol e dalla Procura europea fino all’adeguamento dei rispettivi atti istitutivi, nonché il trattamento svolto dalle missioni di cui all’articolo 42, paragrafo 1, e agli articoli 43 e 44 TUE nell’ambito della politica di sicurezza e di difesa comune.

Definizioni rilevanti

L’articolo 3 recepisce molte definizioni in linea con il GDPR e con la direttiva (UE) 2016/680. Tra le nozioni centrali figurano: dati personali, trattamento, consenso, profilazione, pseudonimizzazione, archivio, titolare e responsabile del trattamento, destinatario, terzo, violazione dei dati personali, dati genetici, biometrici e relativi alla salute. Particolarmente importante, nel settore operativo, è la nozione di "dati personali operativi", cioè i dati trattati dagli organi e organismi dell’Unione nell’esercizio di attività rientranti nella cooperazione giudiziaria penale e di polizia.

Principi generali del trattamento

Il capo II stabilisce i principi fondamentali: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza. Il titolare del trattamento è tenuto a rispettare tali principi e a poterne dimostrare la conformità.

La liceità del trattamento si fonda, in particolare, su una base di interesse pubblico o esercizio di pubblici poteri, su un obbligo legale, sul consenso, sull’esecuzione di un contratto o sulla tutela di interessi vitali. Il trattamento per finalità ulteriori è ammesso se compatibile con la finalità originaria, secondo criteri che includono il nesso tra finalità, il contesto di raccolta, la natura dei dati, le conseguenze per l’interessato e le garanzie disponibili.

Il consenso deve essere libero, specifico, informato e inequivocabile, e può essere revocato in qualsiasi momento con la stessa facilità con cui è stato prestato. Per i servizi della società dell’informazione offerti direttamente ai minori, il consenso è valido solo se il minore ha almeno 13 anni; sotto tale soglia occorre il consenso o l’autorizzazione del titolare della responsabilità genitoriale.

Sono previste regole specifiche per la trasmissione dei dati a destinatari stabiliti nell’Unione ma diversi dalle istituzioni e dagli organi dell’Unione, che devono dimostrare la necessità della ricezione per un compito di interesse pubblico o per l’esercizio di pubblici poteri, oppure la necessità per servire uno specifico interesse pubblico, con bilanciamento degli interessi e verifica di proporzionalità da parte del titolare.

Categorie particolari di dati e dati giudiziari

Il regolamento vieta, in linea generale, il trattamento di categorie particolari di dati personali, comprese le informazioni sull’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, i dati genetici, biometrici identificativi, i dati sulla salute, sulla vita sessuale o sull’orientamento sessuale. Il divieto non opera nei casi tassativi elencati dall’articolo 10, tra cui il consenso esplicito, gli obblighi nel diritto del lavoro e della sicurezza sociale, la tutela di interessi vitali, le attività di organismi senza scopo di lucro, i dati resi manifestamente pubblici, l’accertamento o la difesa di diritti in sede giudiziaria, motivi di interesse pubblico rilevante, finalità sanitarie, sanità pubblica e ricerca/archiviazione/statistica.

Il trattamento dei dati relativi a condanne penali e reati è consentito solo sotto il controllo dell’autorità ufficiale o sulla base di disposizioni del diritto dell’Unione che prevedano garanzie appropriate.

Trasparenza, informazione e accesso

Il capo III disciplina in modo dettagliato gli obblighi informativi. Quando i dati sono raccolti presso l’interessato, il titolare deve fornire immediatamente informazioni sull’identità del titolare, sul responsabile della protezione dei dati, sulle finalità e basi giuridiche, sui destinatari e sugli eventuali trasferimenti verso Paesi terzi o organizzazioni internazionali. Devono inoltre essere comunicati, tra l’altro, il periodo di conservazione, i diritti dell’interessato, il diritto di revoca del consenso, il diritto di reclamo e l’esistenza di processi decisionali automatizzati, inclusa la profilazione.

Se i dati non sono stati ottenuti presso l’interessato, si applicano obblighi informativi analoghi, con l’aggiunta dell’indicazione della fonte dei dati e della tempistica di comunicazione. In presenza di finalità ulteriori, l’interessato deve essere informato prima del nuovo trattamento. Il regolamento prevede eccezioni agli obblighi informativi quando l’interessato dispone già delle informazioni o quando la comunicazione è impossibile, sproporzionata o ostacolata da segreto professionale o da norme UE specifiche.

L’interessato ha diritto di accesso ai dati e a informazioni essenziali sul trattamento, compresi destinatari, tempi di conservazione, origine dei dati e logica dei trattamenti automatizzati. Il titolare deve rispondere senza indebito ritardo e comunque entro un mese, prorogabile di due mesi in casi complessi; le richieste manifestamente infondate o eccessive possono essere rifiutate.

Rettifica, cancellazione, limitazione e portabilità

L’interessato può ottenere la rettifica dei dati inesatti e l’integrazione di quelli incompleti. Ha inoltre diritto alla cancellazione dei dati quando non più necessari, quando ritira il consenso, quando si oppone al trattamento senza prevalenza di motivi legittimi, quando il trattamento è illecito o quando esiste un obbligo legale di cancellazione. Il regolamento rafforza il diritto all’oblio online, imponendo al titolare che ha reso pubblici i dati di attivarsi per informare altri titolari della richiesta di cancellazione di link, copie o riproduzioni.

La limitazione del trattamento opera, tra l’altro, in caso di contestazione dell’esattezza, illiceità del trattamento con richiesta di sola limitazione, necessità dei dati per un diritto in giudizio o opposizione in attesa del bilanciamento degli interessi. La portabilità dei dati si applica ai trattamenti basati su consenso o contratto e svolti con mezzi automatizzati, consentendo all’interessato di ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico e, ove tecnicamente possibile, di trasmetterli direttamente a un altro titolare.

Opposizione e decisioni automatizzate

L’interessato può opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, ai trattamenti fondati sull’articolo 5, paragrafo 1, lettera a), compresa la profilazione. Il titolare deve cessare il trattamento salvo che dimostri motivi legittimi cogenti o la necessità per azioni giudiziarie. Il regolamento vieta, salvo eccezioni espressamente previste, le decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o incidano significativamente sull’interessato; in tali casi sono richieste adeguate garanzie, tra cui intervento umano, possibilità di esprimere la propria opinione e di contestare la decisione.

Limitazioni dei diritti

L’articolo 25 consente limiti ai diritti di informazione, accesso, rettifica, cancellazione, portabilità, riservatezza delle comunicazioni elettroniche e notifica delle violazioni quando ciò sia necessario e proporzionato per una serie di finalità pubbliche o istituzionali: sicurezza nazionale, sicurezza pubblica, difesa, prevenzione e repressione dei reati, altri importanti obiettivi di interesse pubblico, sicurezza interna delle istituzioni UE, indipendenza della magistratura, controlli regolatori, tutela di terzi e azioni civili. Le limitazioni devono essere previste da atti UE o norme interne di alto livello, chiare e pubblicate nella Gazzetta ufficiale.

Obblighi del titolare e del responsabile del trattamento

Il capo IV attribuisce al titolare una responsabilità generale: deve mettere in atto misure tecniche e organizzative adeguate, riesaminarle e aggiornarle, e adottare politiche interne proporzionate. Deve integrare i principi di privacy by design e by default, in particolare mediante minimizzazione, pseudonimizzazione, trasparenza, controllo da parte dell’interessato e sicurezza. La certificazione conforme all’articolo 42 del regolamento (UE) 2016/679 può costituire elemento di prova della conformità.

In caso di contitolarità, le parti devono disciplinare in modo trasparente le rispettive responsabilità e il contenuto essenziale dell’accordo deve essere reso disponibile all’interessato. Il ricorso a responsabili del trattamento è consentito solo previa scelta di soggetti che offrano garanzie sufficienti; il rapporto deve essere disciplinato da contratto o altro atto giuridico che regoli oggetto, durata, natura e finalità del trattamento, categorie di dati e interessati, obblighi del responsabile e modalità di assistenza al titolare. Sono previste clausole contrattuali tipo adottabili dalla Commissione o dal Garante europeo della protezione dei dati.

Il titolare e il responsabile devono tenere registri delle attività di trattamento; i registri possono essere centralizzati e resi pubblici, salvo limiti legati alla dimensione dell’istituzione. È inoltre previsto l’obbligo di cooperazione con il Garante europeo della protezione dei dati.

Sicurezza, violazioni dei dati e riservatezza delle comunicazioni

Le istituzioni e gli organi dell’Unione devono adottare misure tecniche e organizzative adeguate al rischio, includendo, se del caso, pseudonimizzazione, cifratura, capacità di ripristino, resilienza dei sistemi e procedure di verifica periodica. Le comunicazioni elettroniche devono essere riservate e le reti di comunicazione protette; sono tutelate anche le informazioni relative alle apparecchiature terminali e agli elenchi di utenti.

In caso di violazione dei dati personali, il titolare deve notificarla al Garante europeo della protezione dei dati senza indebito ritardo e, ove possibile, entro 72 ore dalla conoscenza. La notifica deve descrivere natura della violazione, categorie e numero approssimativo di interessati e registrazioni, dati di contatto del responsabile della protezione dei dati, conseguenze probabili e misure adottate o proposte. Se la violazione comporta un rischio elevato, deve essere comunicata senza indebito ritardo all’interessato, salvo che siano state adottate misure tecniche adeguate, che il rischio sia stato successivamente neutralizzato o che la comunicazione richieda sforzi sproporzionati.

Valutazione d’impatto e consultazione preventiva

Quando un trattamento, in particolare con nuove tecnologie, può presentare un rischio elevato, il titolare deve effettuare una valutazione d’impatto sulla protezione dei dati prima dell’avvio. La valutazione deve descrivere il trattamento, valutarne necessità e proporzionalità, stimare i rischi e indicare le misure di mitigazione. Il Garante europeo della protezione dei dati pubblica elenchi di trattamenti soggetti a DPIA e, se necessario, di trattamenti esentati.

Se dalla valutazione emerge un rischio elevato non ragionevolmente attenuabile, il titolare deve consultare preventivamente il Garante. Quest’ultimo rende un parere scritto entro otto settimane, prorogabili di sei settimane, e può avvalersi dei propri poteri correttivi.

Responsabile della protezione dei dati

Ogni istituzione o organo dell’Unione deve designare un responsabile della protezione dei dati, che può essere unico per più istituzioni o organi. Il responsabile deve avere adeguate competenze, operare in modo indipendente, essere tempestivamente coinvolto nelle questioni di protezione dei dati e non ricevere istruzioni nello svolgimento delle sue funzioni. È incaricato di informare e consigliare, sorvegliare l’osservanza del regolamento, cooperare con il Garante, dare pareri su notifiche di violazione, DPIA e consultazioni preventive, e fungere da punto di contatto per interessati e autorità di controllo.

Trasferimenti verso Paesi terzi e organizzazioni internazionali

I trasferimenti internazionali sono consentiti solo se non pregiudicano il livello di tutela garantito nell’Unione. Il regolamento ammette i trasferimenti sulla base di decisione di adeguatezza della Commissione oppure, in mancanza, di garanzie adeguate: strumenti giuridicamente vincolanti tra autorità pubbliche, clausole tipo, norme vincolanti d’impresa, codici di condotta, meccanismi di certificazione, clausole contrattuali o accordi amministrativi autorizzati dal Garante. Sono previste deroghe per situazioni specifiche, tra cui consenso esplicito, contratto, interessi vitali, rilevanti motivi di interesse pubblico, azioni giudiziarie e registri accessibili al pubblico o a soggetti con interesse legittimo.

Il regolamento disciplina anche il riconoscimento delle decisioni di autorità di Paesi terzi che impongano trasferimenti o comunicazioni di dati, ammettendone l’efficacia solo in presenza di un accordo internazionale con l’Unione.

Garante europeo della protezione dei dati: ruolo, poteri e indipendenza

Il Garante europeo della protezione dei dati è l’autorità indipendente incaricata di vigilare sull’applicazione del regolamento. È nominato dal Parlamento europeo e dal Consiglio, su proposta della Commissione, per cinque anni rinnovabili una sola volta, e dispone di piena indipendenza funzionale. Il suo segretariato è alle sue dipendenze e la sede è a Bruxelles.

I poteri del Garante includono indagini, accesso a documenti e locali, avvisi, ammonimenti, ingiunzioni di conformazione, limitazioni o divieti del trattamento, ordinanze di rettifica o cancellazione, sospensione dei flussi di dati, autorizzazioni e consulenze. Può inoltre avviare reclami e azioni davanti alla Corte di giustizia e pubblicare relazioni annuali. Il regolamento gli attribuisce anche il compito di segretariato del comitato europeo per la protezione dei dati per gli aspetti pertinenti.

Reclami, ricorsi e sanzioni

Chi ritiene violato il regolamento può presentare reclamo al Garante europeo della protezione dei dati e, in caso di inerzia o decisione sfavorevole, può adire la Corte di giustizia. È riconosciuto il diritto al risarcimento del danno materiale o immateriale causato dalla violazione. Gli interessati possono farsi rappresentare da organismi, organizzazioni o associazioni senza scopo di lucro.

Sono previste sanzioni amministrative pecuniarie come extrema ratio nei confronti delle istituzioni e degli organi dell’Unione. Per alcune violazioni sono previste sanzioni fino a 25.000 EUR per violazione e 250.000 EUR annui; per violazioni dei principi di base, dei diritti degli interessati e dei trasferimenti internazionali, fino a 50.000 EUR per violazione e 500.000 EUR annui. La Corte di giustizia ha competenza anche di merito sulle sanzioni.

Disciplina speciale dei dati personali operativi

Il capo IX introduce un regime specifico per i dati personali operativi trattati da organi e organismi dell’Unione nei settori della cooperazione giudiziaria penale e di polizia. Pur richiamando principi analoghi a quelli generali, il capo tiene conto delle esigenze operative e della segretezza delle indagini. Gli atti istitutivi degli organismi interessati devono definire obiettivi, categorie di dati, finalità e termini di conservazione o revisione periodica.

Sono previste regole speciali su distinzione tra categorie di interessati, qualità e attendibilità dei dati, condizioni di trattamento specifiche, divieto di discriminazione per categorie particolari di dati operativi, limitazioni ai processi decisionali automatizzati, tenuta di registrazioni dettagliate, valutazione d’impatto, consultazione preventiva e misure di sicurezza rafforzate.

I diritti di informazione, accesso, rettifica e cancellazione possono essere limitati, in tutto o in parte, per ragioni di prevenzione, indagine, accertamento e perseguimento di reati, tutela della sicurezza pubblica, nazionale o dei diritti di terzi, purché la limitazione sia necessaria e proporzionata. In tali casi, l’interessato deve essere informato dei principali motivi della limitazione e della possibilità di reclamo, salvo che ciò ne vanifichi l’effetto.

Riesame, abrogazioni e decorrenza

Il regolamento abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE a decorrere dall’11 dicembre 2018. Entra in vigore il ventesimo giorno successivo alla pubblicazione e si applica, con specifica decorrenza, al trattamento dei dati personali da parte di Eurojust dal 12 dicembre 2019. La Commissione deve presentare una relazione di riesame entro il 30 aprile 2022 e successivamente ogni cinque anni, anche al fine di valutare la coerenza della disciplina dei dati personali operativi e proporre eventuali adeguamenti legislativi.