1.   La presente decisione definisce le norme relative alle condizioni alle quali Eurojust può limitare l’applicazione dell’articolo 4, degli articoli da 14 a 22 nonché 35 e 36, in base all’articolo 25 del regolamento.

2.   Fatte salve le condizioni stabilite in questa decisione, le limitazioni si possono applicare ai seguenti diritti: comunicazione di informazioni agli interessati, diritto di accesso, rettifica, cancellazione, limitazione del trattamento, comunicazione di una violazione dei dati personali all’interessato o riservatezza delle comunicazioni elettroniche.

3.   La presente decisione si applica al trattamento dei dati personali da parte di Eurojust nella misura in cui esso tratta i dati personali per finalità inerenti a indagini amministrative, procedimenti predisciplinari e disciplinari e procedimenti di sospensione, attività preliminari riguardanti casi di potenziali irregolarità segnalate all’OLAF, trattamento di denunce di irregolarità, procedure (formali e informali) di molestie, reclami interni ed esterni, svolgimento di audit interni, indagini svolte dal responsabile della protezione dei dati, conformemente all’articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, nonché indagini sulla sicurezza (informatica) gestite internamente o mediante intervento esterno (ad esempio CERT-UE).

4.   Le categorie di dati personali interessate dalla presente decisione comprendono dati identificativi, comportamentali e finanziari.

5.   Eurojust, in qualità di titolare del trattamento, è rappresentato dal direttore amministrativo.

1.   Eurojust può limitare l’applicazione degli articoli da 14 a 22, degli articoli 35 e 36, nonché dell’articolo 4, nella misura in cui le proprie disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 20:

2.   Eventuali limitazioni rispettano l’essenza dei diritti e delle libertà fondamentali e rappresentano una misura necessaria e proporzionata in una società democratica.

3.   Prima dell’applicazione di eventuali limitazioni è effettuata, caso per caso, una verifica della necessità e della proporzionalità della misura. Le limitazioni sono circoscritte a quanto strettamente necessario per conseguire i loro obiettivi.

4.   Eurojust redige, a fini di rendicontazione, un resoconto delle motivazioni alla base delle limitazioni attuate, quali motivi trovano applicazione tra quelli elencati al paragrafo 1 e l’esito della verifica della necessità e della proporzionalità. Tali resoconti fanno parte di un registro, che deve essere messo a disposizione del GEPD su richiesta. Eurojust elabora relazioni periodiche sull’applicazione dell’articolo 25 del regolamento.

5.   In sede di trattamento dei dati personali ricevuti da altre organizzazioni nell’ambito dei propri compiti, Eurojust consulta tali organizzazioni sui potenziali motivi per l’imposizione di limitazioni e sulla necessità e proporzionalità delle stesse, salvo che ciò pregiudichi le proprie attività.

1.   Le valutazioni dei rischi per i diritti e le libertà degli interessati derivanti dall’imposizione di limitazioni e i dettagli del periodo di applicazione di tali limitazioni sono riportati nel registro delle pertinenti attività di trattamento tenuto da Eurojust a norma dell’articolo 31 del regolamento. Tali elementi sono inoltre riportati nelle valutazioni d’impatto sulla protezione dei dati relative a tali limitazioni basate sull’articolo 39 del regolamento.

2.   Qualora valuti la necessità e la proporzionalità di una limitazione, Eurojust considera i potenziali rischi per i diritti e le libertà dell’interessato. Qualora consideri di applicare una limitazione, Eurojust valuta il rischio per i diritti e le libertà dell’interessato, in particolare rispetto al rischio per i diritti e le libertà degli altri interessati e al rischio di annullare gli effetti delle proprie indagini o procedure, ad esempio distruggendo gli elementi di prova. I rischi per i diritti e le libertà dell’interessato riguardano principalmente, ma non esclusivamente, i rischi legati alla reputazione e i rischi per il diritto di difesa e il diritto di essere ascoltato.

1.   Eurojust mette in atto garanzie per prevenire gli abusi e l’accesso o il trasferimento illeciti di dati personali che sono o possono essere soggetti a limitazioni. Tali garanzie, che includono misure tecniche e organizzative, sono specificate, ove necessario, nelle decisioni, procedure e norme di attuazione interne di Eurojust. Tra le garanzie figurano:

Le revisioni di cui alla lettera d) sono effettuate almeno ogni sei mesi.

2.   Le limitazioni sono revocate non appena le condizioni che le giustificano cessino di sussistere.

3.   Il periodo di conservazione dei dati personali di cui all’articolo 1, paragrafo 4, non deve essere più lungo di quanto necessario e opportuno per le finalità del trattamento. I dati sono ritenuti conformemente alle norme di Eurojust applicabili in materia di conservazione di cui all’articolo 18 e all’allegato del regolamento interno relativo al trattamento e alla protezione dei dati personali presso Eurojust (3), che devono essere definite nei registri relativi alla protezione dei dati tenuti a norma dell’articolo 31 del regolamento. Al termine del periodo di conservazione, i dati personali sono cancellati, resi anonimi o trasferiti agli archivi ai sensi dell’articolo 13 del regolamento.

1.   Il RPD presso Eurojust è informato senza indebito ritardo ogniqualvolta i diritti dell’interessato siano soggetti a limitazione in conformità della presente decisione. Al RPD è dato accesso ai relativi registri e a tutti i documenti riguardanti il contesto di fatto o di diritto.

2.   Il RPD presso Eurojust può chiedere di riesaminare l’applicazione di una limitazione. Eurojust informa per iscritto il proprio RPD circa l’esito del riesame.

3.   Eurojust documenta la partecipazione del RPD per quanto riguarda l’applicazione delle limitazioni, comprese quali informazioni sono state con questi condivise.

1.   Nelle comunicazioni sulla protezione dei dati pubblicate sul proprio sito Internet/Intranet, Eurojust include una sezione relativa alle informazioni generali a uso degli interessati sulle potenziali limitazioni di tutti i loro diritti di cui all’articolo 2, paragrafo 1. Tali informazioni riguardano i diritti che possono essere oggetto di limitazioni, i motivi per cui possono essere applicate tali limitazioni e la durata potenziale delle stesse.

2.   Eurojust, senza indebito ritardo e per iscritto, informa i singoli interessati in merito alle limitazioni presenti o future dei loro diritti. Eurojust informa gli interessati in merito ai principali motivi sui quali si basa l’applicazione della limitazione, al loro diritto di consultare il RPD al fine di impugnare la limitazione e al loro diritto di proporre reclamo presso il GEPD.

3.   Eurojust può rinviare, omettere o negare la comunicazione di informazioni sui motivi di una limitazione e del diritto di proporre reclamo presso il GEPD soltanto nella misura in cui tale comunicazione annullerebbe l’effetto della limitazione stessa. La valutazione se ciò sia giustificato è effettuata caso per caso. Nel momento in cui l’effetto della limitazione non possa essere annullato, Eurojust fornisce le informazioni all’interessato.

1.   Qualora abbia l’obbligo di comunicare una violazione dei dati a norma dell’articolo 35, paragrafo 1, del regolamento, Eurojust può, in circostanze eccezionali, limitare tale comunicazione in tutto o in parte. Eurojust documenta in una nota i motivi della limitazione, il suo motivo giuridico conformemente all’articolo 2 e una valutazione della sua necessità e proporzionalità. La nota è trasmessa al GEPD al momento della notifica della violazione dei dati personali.

2.   Qualora cessino di sussistere i motivi della limitazione, Eurojust comunica la violazione dei dati personali all’interessato e lo informa in merito ai principali motivi della limitazione e al suo diritto di proporre reclamo presso il GEPD.

1.   In circostanze eccezionali, Eurojust può limitare il diritto alla riservatezza delle comunicazioni elettroniche di cui all’articolo 36 del regolamento. Tali limitazioni sono conformi alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio (4).

2.   Laddove limiti il diritto alla riservatezza delle comunicazioni elettroniche, Eurojust informa l’interessato, nella risposta a una sua richiesta, dei principali motivi sui quali si basa l’applicazione della limitazione e del suo diritto di proporre reclamo presso il GEPD.

3.   Eurojust può rinviare, omettere o negare la comunicazione di informazioni sui motivi di una limitazione e del diritto di proporre reclamo presso il GEPD soltanto nella misura in cui tale comunicazione annullerebbe l’effetto della limitazione stessa. La valutazione se ciò sia giustificato è effettuata caso per caso.