1.   La presente decisione stabilisce le norme relative alle condizioni alle quali l’impresa comune S2R, nel quadro delle sue procedure stabilite al paragrafo 2, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 21 e negli articoli 35 e 36, nonché nell’articolo 4, in base all’articolo 25 del regolamento (UE) 2018/1725.

2.   Nel quadro del funzionamento amministrativo dell’impresa comune S2R, la presente decisione si applica ai trattamenti dei dati personali svolti dall’ufficio di programma ai fini di condurre indagini amministrative, procedimenti disciplinari e attività preliminari riguardanti casi di potenziali irregolarità segnalate all’OLAF, trattare denunce di irregolarità, procedure (formali e informali) di molestie e reclami interni ed esterni, effettuare audit interni, indagini svolte dal responsabile della protezione dei dati conformemente all’articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, nonché indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE).

3.   Le categorie di dati interessate comprendono dati d’identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico, nonché dati riguardanti il caso, quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all’oggetto del procedimento o dell’attività.

4.   Quando esercita le sue funzioni rispetto ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l’impresa comune S2R valuta se sia applicabile una delle deroghe stabilite in tale regolamento.

1.   L’impresa comune S2R predispone le seguenti garanzie destinate a prevenire abusi, accessi o trasferimenti illeciti di dati personali:

2.   Conformemente all’articolo 6, paragrafo 3, le garanzie di cui al paragrafo 1 devono essere soggette a una revisione periodica.

3.   Il periodo di conservazione dei dati personali di cui all’articolo 1, paragrafo 3, è indicato nelle relative comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri di cui all’articolo 7, paragrafo 1. Il periodo di conservazione non sarà in ogni caso più lungo di quanto necessario e sarà appropriato per le finalità per le quali i dati sono trattati (5).

1.   Eventuali limitazioni sono applicate dall’impresa comune S2R esclusivamente per salvaguardare:

2.   Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l’impresa comune S2R può applicare limitazioni nei seguenti casi:

Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l’impresa comune S2R consulta i servizi della Commissione, le istituzioni, gli organi e gli organismi pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che all’impresa comune S2R non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno dei motivi di cui alle summenzionate lettere.

1.   In casi debitamente giustificati e alle condizioni stabilite nella presente decisione, i diritti che seguono possono essere limitati dal titolare del trattamento nel contesto delle operazioni di trattamento di cui all’articolo 1, paragrafo 2, e al paragrafo 2 seguente, laddove necessario e proporzionato:

2.   In casi debitamente giustificati e al fine di salvaguardare le finalità di cui all’articolo 4, paragrafo 1, il titolare del trattamento può applicare limitazioni nell’ambito delle seguenti operazioni di trattamento di cui all’articolo 1, paragrafo 2:

3.   Nell’ambito della procedura per i casi di molestie, i diritti di cui al paragrafo 1 possono essere limitati alle stesse condizioni, ad eccezione del diritto di comunicare la violazione dei dati personali all’interessato di cui al paragrafo 1, lettera d).

4.   Nell’ambito della procedura di gestione delle sovvenzioni o di aggiudicazione degli appalti, i diritti di cui al paragrafo 1 possono essere limitati alle stesse condizioni, ad eccezione del diritto di rettifica, cancellazione e limitazione del trattamento di cui al paragrafo 1, lettera c).

5.   In casi debitamente giustificati e alle condizioni stabilite nella presente decisione, il diritto di rettifica, cancellazione e limitazione del trattamento può essere limitato dal titolare del trattamento, ad eccezione di quanto previsto ai paragrafi 3 e 4.

6.   Qualora l’impresa comune S2R limiti, in tutto o in parte, l’applicazione dei diritti di cui ai paragrafi 1, 3, 4 e 5, essa adotta le misure di cui agli articoli 6 e 7 della presente decisione.

7.   Qualora, a norma dell’articolo 17 del regolamento (UE) 2018/1725, gli interessati chiedano l’accesso ai propri dati personali trattati nell’ambito di uno o più casi specifici o di particolari trattamenti, l’impresa comune S2R limita la propria valutazione della richiesta esclusivamente a tali dati personali.

1.   Le eventuali limitazioni ai sensi dell’articolo 4 sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.

2.   Se si considera l’applicazione di limitazioni, si effettua una verifica della necessità e della proporzionalità sulla base delle presenti regole. La verifica deve essere condotta anche nell’ambito della revisione periodica, dopo aver valutato se le ragioni di fatto e di diritto di una restrizione siano ancora valide. Tale procedura è documentata mediante una nota di valutazione interna ai fini della rendicontabilità ed è effettuata caso per caso.

3.   Le restrizioni sono temporanee e continuano ad applicarsi finché sussistono i motivi che le giustificano, in particolare laddove si ritenga che l’esercizio del diritto ristretto non annullerebbe più l’effetto della limitazione imposta o lederebbe i diritti e le libertà degli altri interessati.

L’impresa comune S2R riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta, della procedura o dell’indagine pertinente. Successivamente, il titolare del trattamento valuta la necessità di mantenere eventuali limitazioni ogni sei mesi.

4.   Qualora l’impresa comune S2R applichi, in tutto o in parte, le limitazioni ai sensi dell’articolo 4 della presente decisione, essa registra le ragioni della limitazione, il motivo giuridico conformemente al precedente paragrafo 1, inclusa la valutazione della necessità e della proporzionalità della limitazione.

La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.

1.   Nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri, ai sensi dell’articolo 31 del regolamento (UE) 2018/1725, pubblicati sul proprio sito web e/o sull’Intranet, che informano gli interessati sui loro diritti nel quadro di una determinata procedura, l’impresa comune S2R include informazioni riguardanti le potenziali limitazioni di questi diritti. Tali informazioni riguardano i diritti che possono essere limitati, le ragioni e la durata potenziale della limitazione.

Fatte salve le disposizioni di cui all’articolo 6, paragrafo 4, se proporzionato, l’impresa comune S2R informa anche singolarmente tutti gli interessati, considerati persone interessate nella specifica operazione di trattamento, dei loro diritti riguardanti le limitazioni attuali o future senza indebito ritardo e in forma scritta.

2.   Qualora l’impresa comune S2R limiti, in tutto o in parte, i diritti di cui all’articolo 5, essa informa l’interessato in merito alla limitazione applicata e ai principali motivi della stessa, nonché della possibilità di presentare reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

La comunicazione di informazioni di cui al precedente paragrafo 2 può essere rinviata, omessa o negata se annullasse l’effetto della limitazione in conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725.

1.   L’impresa comune S2R informa senza indebito ritardo il proprio responsabile della protezione dei dati (RPD) ogniqualvolta il titolare del trattamento limiti l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione. Il titolare del trattamento fornisce al RPD l’accesso al registro che contiene la valutazione della necessità e della proporzionalità della limitazione e documenta nel registro la data in cui ha informato il RPD.

2.   Il RPD può chiedere al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto il RPD circa l’esito del riesame richiesto.

3.   Il RPD viene coinvolto durante l’intera procedura. Il titolare del trattamento informa il RPD quando la limitazione cessa di sussistere.