(1)

Il regolamento (UE) 2022/2560 del Parlamento europeo e del Consiglio (2) conferisce alla Commissione il potere di raccogliere informazioni a fini di indagine, esecuzione e monitoraggio attraverso diversi mezzi, quali richieste di informazioni, ispezioni e audizioni. Tale regolamento impone inoltre alle imprese e agli operatori economici di notificare alla Commissione le concentrazioni e le procedure di appalto pubblico che comportano contributi finanziari esteri, a condizione che siano soddisfatte determinate soglie. Ai fini di un’indagine, un’esecuzione e un monitoraggio efficaci a norma del regolamento (UE) 2022/2560 è necessaria la cooperazione tra gli Stati membri e la Commissione, nonché uno scambio di informazioni senza soluzione di continuità tra gli Stati membri e la Commissione.

(2)

I compiti a norma del regolamento (UE) 2022/2560 sono svolti dalla direzione generale della Concorrenza e dalla direzione generale del Mercato interno, dell’industria, dell’imprenditoria e delle PMI.

(3)

Nell’esercizio dei suoi compiti di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/2560, la Commissione tratta informazioni. Queste possono includere dati personali di persone fisiche quali informatori, personale delle imprese oggetto di indagine, nonché persone fisiche i cui dati personali sono contenuti in documenti ottenuti in relazione alle attività di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/2560.

(4)

Il trattamento di dati personali ai sensi dell’articolo 3, punto 3, del regolamento (UE) 2018/1725, effettuato nel corso delle attività di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/2560, può aver luogo anche prima che la Commissione avvii formalmente un esame preliminare, può continuare per tutto lo svolgimento dell’indagine approfondita e può proseguire anche dopo la chiusura formale dell’indagine, ad esempio per attività di sorveglianza regolamentare o di controllo al fine di valutare la necessità di avviare nuove attività d’indagine o procedimenti giudiziari.

(5)

Al fine di adempiere ai propri compiti a norma del regolamento (UE) 2022/2560, la Commissione, in qualità di titolare del trattamento, raccoglie e tratta diverse categorie di dati personali, quali dati identificativi, dati di contatto e altre informazioni relative al caso (quali i dati personali contenuti in documenti, dichiarazioni, pareri e registri). Per quanto improbabile, le categorie di dati personali trattati potrebbero includere anche le categorie particolari di dati personali di cui all’articolo 10, paragrafo 1, del regolamento (UE) 2018/1725, come pure i dati personali relativi a condanne penali e reati di cui all’articolo 11 del regolamento (UE) 2018/1725.

(6)

Nello svolgimento dei suoi compiti a norma del regolamento (UE) 2022/2560 la Commissione è tenuta a rispettare i diritti delle persone fisiche in relazione al trattamento dei dati di carattere personale riconosciuti dall’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e dall’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea, nonché i requisiti previsti dal regolamento (UE) 2018/1725. Allo stesso tempo, nel contesto delle sue attività a norma del regolamento (UE) 2022/2560 la Commissione è tenuta a rispettare le norme rigorose in materia di riservatezza e segreto professionale di cui all’articolo 43 di tale regolamento.

(7)

In determinate circostanze potrebbe essere necessario conciliare i diritti degli interessati a norma del regolamento (UE) 2018/1725 con la necessità di garantire che la Commissione possa efficacemente svolgere i propri compiti di indagine, esecuzione e monitoraggio a norma del regolamento (UE) 2022/2560, anche in cooperazione con le autorità competenti degli Stati membri, o con i diritti e le libertà fondamentali degli altri interessati. A tal fine l’articolo 25, paragrafo 1, del regolamento (UE) 2018/1725 offre alla Commissione la possibilità di limitare, a rigide condizioni, l’applicazione degli articoli da 14 a 22, 35 e 36 del medesimo regolamento, nonché dell’articolo 4 dello stesso regolamento nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22 di detto regolamento.

(8)

In determinate circostanze è necessario conciliare i diritti degli interessati con la necessità di salvaguardare la funzione di indagine, esecuzione e monitoraggio che la Commissione svolge a norma del regolamento (UE) 2022/2560 esercitando pubblici poteri nell’interesse pubblico dell’Unione ai sensi dell’articolo 25, paragrafo 1, lettera g), in combinato disposto con la lettera c), del regolamento (UE) 2018/1725. La Commissione potrebbe applicare limitazioni qualora, ad esempio, l’esercizio di tali diritti comprometterebbe un’indagine in corso, ad esempio qualora vi sia il rischio di distruzione o manomissione delle prove o di interferenza con soggetti chiave nel corso di un’indagine.

(9)

In determinate circostanze, è necessario trovare un equilibrio tra i diritti degli interessati e i diritti e le libertà fondamentali di altre persone interessate, quali gli informatori o qualsiasi altra persona fisica che abbia comunicato informazioni alla Commissione nell’ambito delle attività di indagine, esecuzione e monitoraggio di quest’ultima a norma del regolamento (UE) 2022/2560. In tali casi, la Commissione potrebbe trovarsi nella necessità di limitare l’accesso all’identità, alle dichiarazioni e ad altri dati personali di dette persone al fine di tutelare i diritti e le libertà di tutte le persone coinvolte a norma dell’articolo 25, paragrafo 1, lettera h), del regolamento (UE) 2018/1725. La Commissione può decidere di agire in tal senso in particolare per proteggere le persone in questione da possibili ritorsioni. La Commissione può rivelare l’identità della persona che ha comunicato le informazioni solo se questa ne dà autorizzazione. L’identità deve essere resa nota dalla Commissione se previsto per legge o richiesto da un’autorità giudiziaria.

(10)

Se gli interessati presentano una richiesta di accesso ai propri dati personali, l’accesso dovrebbe essere consentito ed esteso anche ai dati trasmessi dalla persona che ha comunicato le informazioni. Per tutelare la riservatezza delle persone segnalanti e far sì che i loro diritti non siano lesi, la Commissione dovrebbe avere la facoltà di rifiutare di comunicare all’interessato il nome della persona segnalante e qualsiasi altra informazione che ne consentirebbe l’identificazione diretta o indiretta.

(11)

Inoltre, nello svolgimento dei suoi compiti volti a garantire l’applicazione efficace del regolamento (UE) 2022/2560, in particolare nel quadro della cooperazione tra la Commissione e le autorità competenti degli Stati membri, la Commissione può limitare l’applicazione dei diritti degli interessati per salvaguardare l’esercizio di pubblici poteri nell’interesse pubblico ai sensi dell’articolo 25, paragrafo 1, lettera g), in combinato disposto con la lettera c), del regolamento (UE) 2018/1725. La Commissione può agire in tal senso in una situazione in cui la finalità di una limitazione imposta da un’autorità di uno Stato membro sarebbe compromessa se la Commissione non applicasse una limitazione equivalente per gli stessi dati personali. Nell’applicare tale limitazione la Commissione dovrebbe consultare lo Stato membro interessato in merito ai potenziali motivi per l’imposizione di limitazioni e alla necessità e proporzionalità di tali limitazioni, a meno che ciò non comprometta le attività della Commissione.

(12)

Quando impone limitazioni ai diritti degli interessati, la Commissione dovrebbe far sì che tali limitazioni rispettino l’essenza dei diritti e delle libertà fondamentali, siano strettamente necessarie e costituiscano una misura proporzionata in una società democratica. La Commissione dovrebbe fornire una giustificazione per le limitazioni applicabili.

(13)

L’articolo 25, paragrafo 6, del regolamento (UE) 2018/1725 prevede che il titolare del trattamento informi gli interessati dei principali motivi della limitazione e del loro diritto di proporre reclamo al Garante europeo della protezione dei dati.

(14)

A norma dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, la Commissione può rinviare, omettere o negare la comunicazione all’interessato delle informazioni sui principali motivi per l’applicazione di una limitazione qualora la comunicazione di tali informazioni annulli in qualsiasi modo l’effetto della limitazione. La Commissione dovrebbe valutare caso per caso se la comunicazione della limitazione e i suoi motivi ne annullerebbero l’effetto.

(15)

La Commissione dovrebbe revocare la limitazione non appena le condizioni che la giustificano non siano più validi, e dovrebbe valutare periodicamente tali condizioni.

(16)

Al fine di ottemperare agli articoli 14, 15 e 16 del regolamento (UE) 2018/1725 la Commissione dovrebbe informare, in modo trasparente e coerente, tutti gli interessati riguardo alle sue attività che comportano il trattamento dei loro dati personali e ai loro diritti mediante un avviso sulla protezione dei dati pubblicato sul proprio sito web. La Commissione dovrebbe informare individualmente, con mezzi appropriati, i rappresentanti legali e i membri del personale delle imprese oggetto di indagine, gli informatori e le altre persone fisiche che forniscono informazioni alla Commissione riguardo al trattamento dei loro dati personali.

(17)

L’articolo 16, paragrafo 5, del regolamento (UE) 2018/1725 prevede eccezioni al diritto di informazione degli interessati se i dati personali non sono stati ottenuti presso di essi. Qualora tali eccezioni trovino applicazione, la Commissione non è tenuta ad applicare una limitazione al diritto di informazione ai sensi della presente decisione. Le eccezioni di cui all’articolo 16, paragrafo 5, lettera b), del regolamento (UE) 2018/1725 sono applicabili nei casi in cui la comunicazione delle informazioni di cui all’articolo 16, paragrafi da 1 a 4, del medesimo regolamento risulterebbe impossibile, implicherebbe uno sforzo sproporzionato o rischierebbe di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento, come nel caso di interessati non rilevanti per l’indagine i cui dati personali siano contenuti in documenti ottenuti nell’ambito dell’indagine, dell’esecuzione e del monitoraggio a norma del regolamento (UE) 2022/2560.

(18)

Conformemente ai principi di trasparenza, correttezza e responsabilizzazione, la Commissione dovrebbe trattare tutte le eccezioni e le limitazioni in modo trasparente e tenere annotazioni dell’applicazione di tali eccezioni e limitazioni.

(19)

Per garantire la protezione dei diritti e delle libertà degli interessati e in conformità dell’articolo 44, paragrafo 1, del regolamento (UE) 2018/1725, la Commissione dovrebbe coinvolgere il coordinatore per la protezione dei dati della direzione generale della Concorrenza o della direzione generale del Mercato interno, dell’industria, dell’imprenditoria e delle PMI durante il processo di applicazione delle limitazioni e documentare tale consultazione. In particolare, il coordinatore responsabile per la protezione dei dati dovrebbe essere consultato a tempo debito in merito a eventuali limitazioni che possono essere applicate e dovrebbe verificarne la conformità alla presente decisione.

(20)

Il responsabile della protezione dei dati della Commissione dovrebbe effettuare un riesame indipendente dell’applicazione delle limitazioni al fine di garantire la conformità alla presente decisione.

(21)

Il Garante europeo della protezione dei dati è stato consultato a norma dell’articolo 41, paragrafo 2, del regolamento (UE) 2018/1725 e ha formulato il suo parere il 16 aprile 2026,