Decisione (UE) 15 ottobre 2020, n. 2020/1502

Decisione (UE) 2020/1502 della Commissione del 15 ottobre 2020 che stabilisce le norme interne riguardanti la comunicazione di informazioni agli interessati e la limitazione di alcuni loro diritti nel contesto del trattamento dei dati personali da parte della Commissione nell’ambito del meccanismo di cooperazione istituito dal regolamento (UE) 2019/452 del Parlamento europeo e del Consiglio.

(Decisione 15/10/2020, n. 2020/1502, pubblicata in G.U.U.E. 16 ottobre 2020, n. L 342) 

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 249, paragrafo 1,

considerando quanto segue:

(1) Il regolamento (UE) 2019/452 del Parlamento europeo e del Consiglio ha istituito un meccanismo di cooperazione tra la Commissione e gli Stati membri sugli investimenti esteri diretti. Tale meccanismo si basa su uno scambio di informazioni che possono comprendere dati personali ai sensi dell’articolo 3, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio. La finalità del meccanismo di cooperazione è consentire a ciascuno Stato membro di esaminare se un investimento estero diretto in un altro Stato membro possa incidere sulla sua sicurezza o sul suo ordine pubblico e alla Commissione di esaminare se un investimento estero diretto possa incidere sulla sicurezza o sull’ordine pubblico in più di uno Stato membro.

(2) Le categorie di dati personali trattati dalla Commissione ai fini del controllo degli investimenti esteri diretti da parte degli Stati membri e per garantire l’efficacia del meccanismo di cooperazione istituito dal regolamento (UE) 2019/452 comprendono dati identificativi e di contatto, dati professionali e dati attinenti agli investimenti esteri diretti.

(3) I dati personali saranno conservati dai servizi della Commissione incaricati dell’attività di controllo finché sarà necessario ai fini del controllo degli investimenti esteri diretti da parte degli Stati membri e per garantire il funzionamento del meccanismo di cooperazione e saranno conservati in un ambiente elettronico sicuro per prevenire la consultazione illecita o il trasferimento dei dati a persone esterne alla Commissione.

(4) Nello svolgimento dei suoi compiti la Commissione è tenuta a rispettare i diritti delle persone fisiche in relazione al trattamento dei dati di carattere personale riconosciuti dall’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea, nonché i diritti previsti dal regolamento (UE) 2018/1725. Al tempo stesso la Commissione deve rispettare le rigorose norme di riservatezza di cui all’articolo 10 del regolamento (UE) 2019/452.

(5) In determinate circostanze è necessario conciliare i diritti degli interessati ai sensi del regolamento (UE) 2018/1725 con l’esigenza di efficacia del meccanismo di cooperazione nonché con il pieno rispetto dei diritti e delle libertà fondamentali di altri interessati. A tal fine l’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725 dà alla Commissione la possibilità di limitare l’applicazione degli articoli da 14 a 17 e degli articoli 19, 20 e 35 dello stesso regolamento, nonché del principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), del medesimo regolamento, nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19 e 20 di tale regolamento.

(6) La politica commerciale comune dell’Unione impone alla Commissione di svolgere in modo efficace ed efficiente i suoi compiti nell’ambito del meccanismo di cooperazione. A tal fine, nel rispetto delle norme in materia di protezione dei dati personali ai sensi del regolamento (UE) 2018/1725, è necessario adottare norme interne secondo le quali la Commissione può limitare i diritti degli interessati conformemente all’articolo 25 di tale regolamento.

(7) È opportuno che tali norme interne riguardino tutte le operazioni di trattamento dei dati effettuate dalla Commissione nell’esercizio delle sue funzioni nell’ambito del meccanismo di cooperazione istituito dal regolamento (UE) 2019/452, dal momento in cui riceve informazioni sugli investimenti esteri diretti in questione.

(8) Al fine di ottemperare agli articoli 14, 15 e 16 del regolamento (UE) 2018/1725, la Commissione dovrebbe informare tutte le persone interessate in merito alle attività da essa svolte che comportano il trattamento dei loro dati personali e ai loro diritti in modo trasparente e coerente attraverso informative sulla protezione dei dati pubblicate sul suo sito web. Se del caso, la Commissione dovrebbe prevedere ulteriori garanzie affinché gli interessati siano informati individualmente secondo modalità adeguate.

(9) Fatti salvi l’articolo 14, paragrafo 5, e l’articolo 16, paragrafo 5, del regolamento (UE) 2018/1725, la Commissione, sulla base dell’articolo 25 di tale regolamento, ha la possibilità di limitare la comunicazione di informazioni agli interessati in merito al trattamento dei loro dati personali e all’applicazione degli altri loro diritti al fine di tutelare i poteri di cui essa dispone per svolgere le analisi e le procedure inerenti al controllo degli investimenti esteri diretti o al meccanismo di cooperazione a norma del regolamento (UE) 2019/452. A tale riguardo, può essere necessario che la Commissione limiti l’applicazione di tali diritti e obblighi ai sensi dell’articolo 25, paragrafo 1, lettere a), c), d), g) e h), di tale regolamento. Ciò può essere necessario qualora sia altrimenti compromessa la finalità delle analisi e delle procedure della Commissione inerenti al controllo degli investimenti esteri diretti o al meccanismo di cooperazione in relazione all’efficace attuazione della politica commerciale comune dell’Unione.

(10) Inoltre, per mantenere una cooperazione efficace, può essere necessario che la Commissione limiti l’applicazione dei diritti degli interessati al fine di proteggere le operazioni di trattamento dei dati effettuate da altre istituzioni, altri organi e organismi dell’Unione o dalle autorità degli Stati membri. La Commissione può agire in tal senso qualora la finalità perseguita da un altro organo, organismo o istituzione dell’Unione o da un’autorità di uno Stato membro mediante l’introduzione di una tale limitazione sia compromessa dalla mancata applicazione di una limitazione equivalente da parte della Commissione in relazione agli stessi dati personali. A tal fine è opportuno che la Commissione consulti tali istituzioni, organi, organismi e autorità sui motivi che determinano l’imposizione di limitazioni e sulla necessità e proporzionalità di dette limitazioni.

(11) La Commissione può dover limitare la comunicazione di informazioni agli interessati e l’applicazione di altri loro diritti in relazione ai dati personali ricevuti dagli Stati membri o da altri, siano essi fonti anonime o identificate, se ciò è necessario per salvaguardare la sicurezza nazionale, la sicurezza pubblica o la difesa degli Stati membri, come previsto dall’articolo 25, paragrafo 1, lettera a), del regolamento (UE) 2018/1725, o per salvaguardare la sicurezza interna delle istituzioni e degli organi dell’Unione, come previsto dall’articolo 25, paragrafo 1, lettera d), di tale regolamento. La sicurezza interna delle istituzioni e degli organi dell’Unione può essere a rischio in particolare nei casi di investimento estero diretto che possono incidere su progetti o programmi di interesse per l’Unione per motivi di sicurezza o di ordine pubblico.

(12) La Commissione può inoltre dover limitare la comunicazione di informazioni agli interessati e l’applicazione di altri loro diritti in relazione ai dati personali ricevuti dagli Stati membri, da paesi terzi o da organizzazioni internazionali, al fine di cooperare con tali Stati membri, paesi terzi o organizzazioni e salvaguardare in questo modo un importante obiettivo di interesse pubblico generale dell’Unione, come previsto dall’articolo 25, paragrafo 1, lettera c), del regolamento (UE) 2018/1725. Tuttavia, in alcune circostanze, l’interesse dei diritti fondamentali dell’interessato può prevalere sull’interesse della cooperazione internazionale.

(13) Di conseguenza, se necessario per una funzione di controllo, d’ispezione o di regolamentazione connessa all’esercizio di pubblici poteri nello svolgimento dei suoi compiti nell’ambito del meccanismo di cooperazione istituito dal regolamento (UE) 2019/452, la Commissione può dover limitare la comunicazione di informazioni agli interessati e l’applicazione di altri diritti, come previsto dall’articolo 25, paragrafo 1, lettera g), del regolamento (UE) 2018/1725.

(14) La Commissione può dover limitare anche la comunicazione di informazioni agli interessati e l’applicazione di altri loro diritti in relazione ai dati personali ricevuti da fonti anonime o identificate, quali gli informatori, i cui diritti e libertà devono essere tutelati ai sensi dell’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725.

(15) La Commissione ha pertanto ravvisato nei motivi di cui all’articolo 25, paragrafo 1, lettere a), c), d), g) e h), del regolamento (UE) 2018/1725 i motivi in base ai quali può essere necessario applicare limitazioni alle operazioni di trattamento dei dati effettuate nel quadro delle analisi e delle procedure della Commissione inerenti al controllo degli investimenti esteri diretti o al meccanismo di cooperazione istituito dal regolamento (UE) 2019/452.

(16) È opportuno che qualsiasi limitazione applicata sulla base della presente decisione sia necessaria e proporzionata tenuto conto dei rischi per i diritti e le libertà degli interessati.

(17) La Commissione dovrebbe gestire tutte le limitazioni in modo trasparente e registrare ogni applicazione nel corrispondente sistema di registrazione.

(18) La Commissione tratta i dati personali a norma del regolamento (UE) 2019/452 congiuntamente con le autorità competenti degli Stati membri. La valutazione e le procedure della Commissione inerenti al controllo degli investimenti esteri diretti o al meccanismo di cooperazione sono svolte attraverso diversi servizi, tuttavia la responsabilità primaria del coordinamento spetta alla direzione generale responsabile del Commercio.

(19) Ai sensi dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, i titolari del trattamento possono rinviare, omettere o negare la comunicazione all’interessato delle informazioni sui motivi dell’applicazione di una limitazione qualora ciò annulli in qualsiasi modo l’effetto della limitazione. Ciò vale, in particolare, per le limitazioni di cui agli articoli 16 e 35 di tale regolamento.

(20) La Commissione dovrebbe riesaminare periodicamente le limitazioni imposte al fine di garantire che i diritti dell’interessato ad essere informato conformemente agli articoli 16 e 35 del regolamento (UE) 2018/1725 siano limitati solo fino a quando tali limitazioni siano necessarie per consentire alla Commissione di svolgere le analisi e le procedure inerenti al controllo degli investimenti esteri diretti o al meccanismo di cooperazione.

(21) Qualora si applichi una limitazione ad altri diritti degli interessati, è opportuno che il titolare del trattamento valuti caso per caso se la comunicazione della limitazione ne comprometterebbe la finalità.

(22) È opportuno che il responsabile della protezione dei dati della Commissione effettui un riesame indipendente dell’applicazione delle limitazioni nell’intento di garantire la conformità alla presente decisione.

(23) Al fine di consentire immediatamente alla Commissione di limitare l’applicazione di determinati diritti e obblighi conformemente all’articolo 25 del regolamento (UE) 2018/1725 e per non compromettere le analisi e le procedure inerenti al controllo degli investimenti esteri diretti o al meccanismo di cooperazione istituito dal regolamento (UE) 2019/452, la presente decisione dovrebbe entrare in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

(24) Il Garante europeo della protezione dei dati è stato consultato e ha espresso il suo parere il 29 luglio 2020,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

Oggetto e ambito di applicazione

1. La presente decisione stabilisce le norme che la Commissione deve rispettare nell’informare gli interessati in merito al trattamento dei loro dati personali conformemente agli articoli 14, 15 e 16 del regolamento (UE) 2018/1725 nel quadro del meccanismo di cooperazione istituito dal regolamento (UE) 2019/452.

Essa stabilisce inoltre le condizioni alle quali la Commissione può limitare l’applicazione dell’articolo 4, degli articoli da 14 a 17 e degli articoli 19, 20 e 35 del regolamento (UE) 2018/1725, conformemente all’articolo 25, paragrafo 1, lettere a), c), d), g) e h), di tale regolamento, nel quadro del suddetto meccanismo di cooperazione.

2. La presente decisione si applica al trattamento di dati personali da parte della Commissione ai fini delle attività o in relazione alle attività da essa svolte per assolvere i propri compiti ai sensi del regolamento (UE) 2019/452.

 

Articolo 2

Eccezioni e limitazioni applicabili

1. Allorché esercita le proprie funzioni con riguardo ai diritti degli interessati a norma del regolamento (UE) 2018/1725, la Commissione valuta se si applichi una delle eccezioni previste in tale regolamento.

2. Fatti salvi gli articoli da 3 a 7 della presente decisione, qualora l’esercizio dei diritti e degli obblighi di cui agli articoli da 14 a 17 e agli articoli 19, 20 e 35 del regolamento (UE) 2018/1725 in relazione ai dati personali trattati dalla Commissione comprometta la finalità delle analisi e delle procedure della Commissione con riguardo al controllo degli investimenti esteri diretti o al meccanismo di cooperazione istituito ai sensi del regolamento (UE) 2019/452, ad esempio rivelandone gli strumenti e i metodi, o leda i diritti e le libertà di altri interessati, la Commissione può limitare l’applicazione:

a) degli articoli da 14 a 17 e degli articoli 19, 20 e 35 del regolamento (UE) 2018/1725; e

b) del principio di trasparenza di cui all’articolo 4, paragrafo 1, lettera a), del regolamento (UE) 2018/1725 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 17 e agli articoli 19, 20 e 35 di tale regolamento.

3. Fatti salvi gli articoli da 3 a 7, la Commissione può limitare i diritti e gli obblighi di cui al paragrafo 2 del presente articolo:

a) quando l’esercizio di tali diritti e obblighi in relazione ai dati personali ottenuti da un altro organo, organismo o istituzione dell’Unione potrebbe essere limitato da tale altro organo, organismo o istituzione dell’Unione sulla base degli atti giuridici di cui all’articolo 25 del regolamento (UE) 2018/1725 o conformemente al capo IX di tale regolamento, o conformemente al regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio o al regolamento (UE) 2017/1939 del Consiglio;

b) quando l’esercizio di tali diritti e obblighi in relazione ai dati personali ottenuti da un’autorità competente di uno Stato membro potrebbe essere limitato dalle autorità competenti di detto Stato membro sulla base degli atti di cui all’articolo 23 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio o a norma delle misure nazionali di recepimento dell’articolo 13, paragrafo 3, dell’articolo 15, paragrafo 3, o dell’articolo 16, paragrafo 3, della direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio;

c) quando l’esercizio di tali diritti e obblighi comprometterebbe la cooperazione tra la Commissione e i paesi terzi o le organizzazioni internazionali con riguardo al controllo degli investimenti esteri diretti.

Prima di applicare le limitazioni nei casi di cui al primo comma, lettere a) e b), la Commissione consulta le istituzioni, gli organi e gli organismi pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che alla Commissione non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno degli atti di cui alle suddette lettere.

La lettera c) del primo comma non si applica qualora sull’interesse della Commissione a cooperare con paesi terzi o organizzazioni internazionali prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato.

4. I paragrafi 1, 2 e 3 non pregiudicano:

a) l’applicazione di altre decisioni della Commissione che stabiliscono norme interne riguardanti la comunicazione di informazioni agli interessati e le limitazioni di determinati diritti a norma dell’articolo 25 del regolamento (UE) 2018/1725;

b) l’articolo 23 del regolamento interno della Commissione.

5. Qualsiasi limitazione dei diritti e degli obblighi di cui al paragrafo 2 è necessaria e proporzionata tenuto conto dei rischi per i diritti e le libertà degli interessati.

Articolo 3

Comunicazione di informazioni agli interessati

1. La Commissione pubblica sul suo sito web informative sulla protezione dei dati con le quali rende note a tutti gli interessati le attività da essa svolte che comportano il trattamento dei loro dati personali ai fini delle analisi e delle procedure con riguardo al controllo degli investimenti esteri diretti o al meccanismo di cooperazione a norma del regolamento (UE) 2019/452. La Commissione provvede affinché gli interessati siano informati individualmente secondo modalità adeguate, laddove ciò sia possibile senza compromettere il funzionamento del meccanismo di cooperazione.

2. Allorché limita, in tutto o in parte, la comunicazione di informazioni agli interessati i cui dati sono trattati ai fini delle analisi e delle procedure con riguardo al controllo degli investimenti esteri diretti o al meccanismo di cooperazione a norma del regolamento (UE) 2019/452, la Commissione registra i motivi della limitazione conformemente all’articolo 6 della presente decisione.

Articolo 4

Diritto di accesso degli interessati, diritto alla cancellazione e diritto di limitazione del trattamento

1. Allorché limita, in tutto o in parte, il diritto di accesso ai dati personali da parte degli interessati, il diritto alla cancellazione o il diritto di limitazione del trattamento di cui, rispettivamente, agli articoli 17, 19 e 20 del regolamento (UE) 2018/1725, la Commissione, nel rispondere alla richiesta di accesso, cancellazione o limitazione del trattamento, informa l’interessato:

a) della limitazione applicata e dei principali motivi della stessa; e

b) della possibilità di proporre reclamo al Garante europeo della protezione dei dati o di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

2. La comunicazione di informazioni riguardanti i motivi della limitazione di cui al paragrafo 1 può essere rinviata, omessa o negata fino a quando comprometterebbe la finalità della limitazione stessa.

3. La Commissione registra i motivi della limitazione conformemente all’articolo 6.

4. Qualora il diritto di accesso sia limitato, in tutto o in parte, l’interessato può esercitare il suo diritto di accesso tramite il Garante europeo della protezione dei dati, conformemente all’articolo 25, paragrafi 6, 7 e 8, del regolamento (UE) 2018/1725.

Articolo 5

Comunicazione di violazioni dei dati personali agli interessati

Allorché limita la comunicazione di una violazione dei dati personali all’interessato ai sensi dell’articolo 35 del regolamento (UE) 2018/1725, la Commissione registra i motivi della limitazione conformemente all’articolo 6 della presente decisione.

Articolo 6

Registrazione delle limitazioni

1. La Commissione registra i motivi di qualsiasi limitazione applicata ai sensi della presente decisione, compresa una valutazione della sua necessità e proporzionalità, tenendo conto degli elementi pertinenti di cui all’articolo 25, paragrafo 2, del regolamento (UE) 2018/1725.

2. La registrazione indica in che modo l’esercizio di un diritto da parte dell’interessato comprometterebbe la finalità delle analisi e delle procedure della Commissione con riguardo al controllo degli investimenti esteri diretti o al meccanismo di cooperazione a norma del regolamento (UE) 2019/452, o delle limitazioni applicate ai sensi dell’articolo 2, paragrafi 2 o 3, della presente decisione, o lederebbe i diritti e le libertà di altri interessati.

3. La registrazione e, se del caso, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.

Articolo 7

Durata delle limitazioni

1. Le limitazioni di cui agli articoli 3, 4 e 5 continuano ad applicarsi finché i motivi che le giustificano restano applicabili.

2. Qualora i motivi di una limitazione di cui all’articolo 3 o 5 non siano più applicabili, la Commissione revoca la limitazione e illustra all’interessato i motivi principali della limitazione.

La Commissione informa contestualmente l’interessato della possibilità di proporre in qualsiasi momento reclamo al Garante europeo della protezione dei dati o di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

3. La Commissione riesamina l’applicazione delle limitazioni di cui agli articoli 3 e 5 un anno dopo l’adozione e all’atto della chiusura delle analisi e delle procedure pertinenti da essa svolte con riguardo al controllo degli investimenti esteri diretti o al meccanismo di cooperazione a norma del regolamento (UE) 2019/452. Successivamente la Commissione valuta la necessità di mantenere in vigore eventuali limitazioni. Il riesame comprende una valutazione della necessità e della proporzionalità della limitazione tenendo conto degli elementi pertinenti di cui all’articolo 25, paragrafo 2, del regolamento (UE) 2018/1725.

Articolo 8

Riesame da parte del responsabile della protezione dei dati della Commissione

1. Il responsabile della protezione dei dati della Commissione è informato senza indebito ritardo ogniqualvolta i diritti degli interessati sono limitati a norma della presente decisione. Su richiesta, al responsabile della protezione dei dati è garantito l’accesso alla registrazione e a tutti i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base.

2. Il responsabile della protezione dei dati può chiedere un riesame della limitazione. Il responsabile della protezione dei dati è informato dell’esito del riesame richiesto.

3. La Commissione documenta il coinvolgimento del responsabile della protezione dei dati in ciascun caso in cui l’applicazione dei diritti e degli obblighi di cui all’articolo 2, paragrafo 2, è limitata.

Articolo 9

Entrata in vigore

La presente decisione entra in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

Fatto a Bruxelles, il 15 ottobre 2020

Per la Commissione

La presidente

Ursula VON DER LEYEN