1.   La presente decisione stabilisce le norme relative alle condizioni alle quali l’impresa comune IMI 2, nel quadro delle sue procedure stabilite al paragrafo 2, può limitare l’applicazione dei diritti sanciti negli articoli da 14 a 22 e negli articoli 35 e 36, nonché nell’articolo 4, del regolamento (UE) 2018/1725 in base all’articolo 25 di detto regolamento.

2.   Nel quadro del funzionamento amministrativo dell’impresa comune IMI 2, la presente decisione si applica ai trattamenti dei dati personali svolti dall’ufficio di programma al fine di condurre indagini amministrative, procedimenti disciplinari, attività preliminari riguardanti casi di potenziali irregolarità segnalate all’OLAF, trattare denunce di irregolarità (whistleblowing), procedure (formali e informali) per molestie, reclami interni ed esterni, effettuare audit interni, indagini svolte dal responsabile della protezione dei dati, conformemente all’articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, e indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-UE).

3.   Le categorie di dati interessate sono i dati controllati (dati «oggettivi» quali dati d’identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico) e dati non controllati (dati «soggettivi» riguardanti il caso, quali motivazione, dati comportamentali, valutazioni, dati su attività e prestazioni e dati relativi o presentati in relazione all’oggetto della procedura o dell’attività).

4.   Quando esercita le sue funzioni rispetto ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l’impresa comune IMI 2 valuta se sia applicabile una delle deroghe previste in tale regolamento.

5.   Fatte salve le condizioni stabilite nella presente decisione, le limitazioni possono essere applicate ai seguenti diritti: comunicazione di informazioni agli interessati, diritto di accesso, rettifica, cancellazione, limitazione del trattamento, comunicazione di una violazione dei dati personali all’interessato o riservatezza delle comunicazioni.

1.   L’impresa comune IMI 2 predispone le seguenti garanzie destinate a prevenire abusi, accessi o trasferimenti illeciti di dati personali (4):

2.   Il periodo di conservazione dei dati personali di cui all’articolo 1, paragrafo 3, non deve essere più lungo di quanto necessario e adeguato per le finalità del trattamento. In ogni caso, non deve superare il periodo di conservazione specificato nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri di cui all’articolo 6.

3.   Qualora l’impresa comune IMI 2 consideri di applicare una limitazione, viene valutato il rischio per i diritti e le libertà dell’interessato, in particolare rispetto al rischio per i diritti e le libertà degli altri interessati e al rischio di annullare gli effetti delle indagini o delle procedure dell’impresa comune IMI 2, ad esempio distruggendo elementi di prova. I rischi per i diritti e le libertà dell’interessato riguardano principalmente, ma non esclusivamente, i rischi legati alla reputazione e i rischi per il diritto di difesa e il diritto di essere ascoltato.

1.   Eventuali limitazioni sono applicate dall’impresa comune IMI 2 esclusivamente per salvaguardare:

2.   Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l’impresa comune IMI 2 può applicare limitazioni nei seguenti casi:

Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l’impresa comune IMI 2 consulta i servizi della Commissione, le istituzioni, gli organi, gli organismi o gli uffici pertinenti dell’Unione o le autorità competenti degli Stati membri, a meno che all’impresa comune IMI 2 non risulti evidente che l’applicazione di una limitazione è prevista in virtù di uno dei motivi di cui alle lettere summenzionate.

1.   In casi debitamente giustificati e alle condizioni stabilite nella presente decisione, i seguenti diritti possono essere limitati dal titolare del trattamento, laddove necessario e proporzionato, nel contesto dei trattamenti elencati al successivo paragrafo 2:

2.   A norma dell’articolo 25, paragrafo 2, lettera a), del regolamento (UE) 2018/1725, in casi debitamente giustificati e alle condizioni stabilite dalla presente decisione, il responsabile del trattamento può applicare limitazioni nel contesto dei seguenti trattamenti:

La limitazione continua ad applicarsi finché permangono i motivi che la giustificano.

3.   Qualora limiti, in tutto o in parte, l’applicazione dei diritti di cui al paragrafo 1, l’impresa comune IMI 2 adotta le misure di cui agli articoli 6 e 7 della presente decisione.

4.   Qualora, a norma dell’articolo 17 del regolamento (UE) 2018/1725, gli interessati chiedano l’accesso ai propri dati personali trattati nell’ambito di uno o più casi specifici o di un’operazione di trattamento specifica, l’impresa comune IMI 2 limita la propria valutazione della richiesta esclusivamente a tali dati personali.

1.   Le eventuali limitazioni di cui all’articolo 5 sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l’essenza dei diritti e delle libertà fondamentali in una società democratica.

2.   Se si considera l’applicazione di limitazioni, va effettuata una verifica della necessità e della proporzionalità sulla base delle presenti norme. La verifica va condotta anche nell’ambito del riesame periodico, dopo aver valutato se le ragioni di fatto e di diritto di una restrizione siano ancora applicabili. Il risultato di tale valutazione è documentato mediante una nota di valutazione interna al fine di rendere conto, caso per caso, del proprio operato.

3.   Le limitazioni sono temporanee e revocate non appena le condizioni che le giustificano cessano di sussistere. Ciò vale in particolare laddove si ritenga che l’effetto della limitazione imposta non sia più annullato o che i diritti e le libertà di altri interessati non siano più lesi dall’esercizio del diritto limitato.

L’impresa comune IMI 2 riesamina l’applicazione della limitazione ogni sei mesi dalla sua adozione e all’atto della chiusura dell’inchiesta, della procedura o dell’indagine pertinente. Successivamente, il titolare del trattamento valuta, ogni sei mesi, la necessità di mantenere eventuali limitazioni.

4.   Qualora l’impresa comune IMI 2 applichi, integralmente o in parte, le limitazioni di cui all’articolo 5 della presente decisione, essa registra i motivi della limitazione, il motivo giuridico conformemente al precedente paragrafo 1, compresa una valutazione della necessità e della proporzionalità della limitazione.

La registrazione e, ove applicabile, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.

1.   Nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri, ai sensi dell’articolo 31 del regolamento (UE) 2018/1725, pubblicati sul proprio sito web e/o sull’Intranet, che informano gli interessati sui loro diritti nel quadro di una determinata procedura, l’impresa comune IMI 2 include informazioni riguardanti le potenziali limitazioni di questi diritti. Tali informazioni riguardano i diritti che possono essere limitati, le ragioni e la durata potenziale della limitazione.

Fatte salve le disposizioni di cui all’articolo 6, paragrafo 4, se ciò è proporzionato, l’impresa comune IMI 2 informa anche singolarmente tutti gli interessati, considerati persone interessate nella specifica operazione di trattamento, dei loro diritti riguardanti le limitazioni attuali o future senza indebito ritardo e per iscritto.

2.   Qualora l’impresa comune IMI 2 limiti, in tutto o in parte, i diritti di cui all’articolo 5, essa informa l’interessato in merito alla limitazione applicata e ai principali motivi della stessa, come pure alla possibilità di presentare reclamo al Garante europeo della protezione dei dati o di proporre un ricorso giurisdizionale dinanzi alla Corte di giustizia dell’Unione europea.

In conformità dell’articolo 25, paragrafo 8, del regolamento (UE) 2018/1725, la comunicazione di informazioni di cui al precedente paragrafo 2 può essere rinviata, omessa o negata qualora annulli l’effetto della limitazione.

1.   L’impresa comune IMI 2 informa senza indebito ritardo il proprio responsabile della protezione dei dati (RPD) ogniqualvolta il titolare del trattamento limiti l’applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione. Il titolare del trattamento fornisce all’RPD l’accesso al registro che contiene la valutazione della necessità e della proporzionalità della limitazione e documenta nel registro la data in cui ha informato l’RPD.

2.   L’RPD può chiedere al titolare del trattamento di riesaminare l’applicazione della limitazione. Il titolare del trattamento informa per iscritto l’RPD circa l’esito del riesame richiesto.

3.   Il RPD viene coinvolto durante l’intera procedura. Il titolare del trattamento informa l’RPD quando la limitazione viene revocata.