1.   La presente decisione stabilisce le norme generali di attuazione del regolamento (UE) 2018/1725 per quanto riguarda la BCE. In particolare, specifica le norme relative alla nomina e al ruolo del responsabile della protezione dei dati della BCE (data protection officer, DPO), inclusi le funzioni, i doveri e le competenze dello stesso.

2.   La presente decisione specifica inoltre i ruoli, le funzioni e i doveri dei titolari del trattamento e del coordinatore della protezione dei dati e attua le norme in base alle quali gli interessati possono esercitare i propri diritti.

1.   Il Comitato esecutivo:

2.   Il comitato esecutivo assicura che il responsabile della protezione dei dati sia in grado di adempiere i compiti e i doveri di cui all’articolo 45 del regolamento (UE) 2018/1725 in maniera indipendente, senza ricevere istruzioni su come assolvere i propri compiti. Fatta salva tale indipendenza:

3.   Il Comitato esecutivo può nominare un vice responsabile della protezione dei dati cui si applicano i paragrafi 1 e 2. Il vice responsabile della protezione dei dati assiste il responsabile nell’adempimento dei suoi compiti e doveri e lo sostituisce in caso di assenza.

4.   Qualsiasi membro del personale della BCE che presta assistenza al responsabile della protezione dei dati in relazione a questioni relative alla protezione dei dati agisce unicamente su sue istruzioni ed è vincolato dal segreto professionale e dalla riservatezza conformemente all’articolo 44, paragrafo 5, del regolamento (UE) 2018/1725, in combinato disposto con l’articolo 37 dello statuto del SEBC.

5.   A norma dell’articolo 43, paragrafo 2, del regolamento (UE) 2018/1725, su richiesta del CERS, il responsabile della protezione dei dati può essere altresì autorizzato a svolgere i compiti di cui all’articolo 45 del regolamento (UE) 2018/1725 anche con riguardo al CERS.

1.   Qualunque richiesta di indagine di cui all’articolo 4, lettera b), è rivolta al responsabile della protezione dei dati per iscritto.

2.   Entro sette giorni lavorativi dal ricevimento della richiesta di cui al paragrafo 1, il responsabile della protezione dei dati invia un avviso di ricevimento al richiedente.

3.   Il responsabile della protezione dei dati può indagare sulla questione oggetto della richiesta in loco e richiedere una dichiarazione scritta a un titolare del trattamento. Il titolare del trattamento competente risponde al responsabile della protezione dei dati entro 20 giorni lavorativi dal ricevimento della richiesta da parte di quest’ultimo. Il responsabile della protezione dei dati può chiedere ulteriori informazioni o assistenza a qualsiasi area operativa della BCE in qualsiasi momento. L’area operativa coinvolta fornisce tali ulteriori informazioni o assistenza entro 20 giorni lavorativi dalla richiesta del responsabile della protezione dei dati.

4.   Il responsabile della protezione dei dati considera le questioni e i fatti relativi all’indagine in modo imparziale e con il dovuto rispetto dei diritti degli interessati. Se ritenuto opportuno e fatto salvo il paragrafo 5, il responsabile della protezione dei dati informa dell’inchiesta tutte le altre parti interessate.

5.   Il responsabile della protezione dei dati assicura che la richiesta rimanga riservata e che sia comunicata solo nella misura necessaria ai fini dell’indagine, a meno che l’interessato dia il proprio consenso alla richiesta di non riservatezza.

6.   Il responsabile della protezione dei dati riferisce al richiedente entro tre mesi di calendario dal ricevimento della richiesta.

1.   Un titolare del trattamento assicura che tutte le operazioni di trattamento che interessano dati personali eseguite nell’ambito della propria sfera di responsabilità siano conformi alle disposizioni del regolamento (UE) 2018/1725 e a qualsiasi altra disposizione dell’Unione in materia di protezione dei dati applicabile alla BCE.

2.   Un titolare del trattamento assicura che il responsabile della protezione dei dati sia informato, senza indebito ritardo, in merito a:

3.   Un titolare del trattamento, in particolare:

4.   Nell’assistere il responsabile della protezione dei dati e il GEPD nell’esercizio delle loro funzioni, un titolare del trattamento fornisce loro informazioni complete, dà accesso ai dati personali e risponde alle domande entro 20 giorni lavorativi dal ricevimento di una richiesta.

1.   I coordinatori della protezione dei dati assistono i titolari del trattamento nell’adempimento dei loro obblighi, su richiesta di questi ultimi ovvero di propria iniziativa. I coordinatori della protezione dei dati contattano i titolari del trattamento, che forniscono loro tutte le informazioni necessarie.

2.   I coordinatori della protezione dei dati assistono il responsabile della protezione dei dati:

3.   In genere, un coordinatore della protezione dei dati è uno specialista della gestione delle informazioni oppure ha le competenze e/o la formazione pertinenti.

1.   I titolari del trattamento presentano i propri registri delle attività di trattamento al responsabile della protezione dei dati che mantiene i registri in un registro centrale.

2.   Il registro centrale funge da repertorio di tutte le attività di trattamento dei dati personali svolte presso la BCE. Il registro centrale costituisce una fonte d’informazione per gli interessati e agevola l’esercizio dei diritti di cui godono a norma degli articoli da 17 a 24 del regolamento (UE) 2018/1725. Il registro centrale è reso accessibile al pubblico. Il registro centrale contiene almeno le informazioni di cui all’articolo 31, paragrafo 1, lettere da a) a g), del regolamento (UE) 2018/1725.

1.   I rispettivi obblighi in materia di protezione dei dati per ogni contitolare del trattamento sono stabiliti a norma dell’articolo 28 del regolamento (UE) 2018/1725.

2.   Nel caso in cui la BCE agisca in qualità di contitolare del trattamento insieme a uno o più titolari del trattamento, le responsabilità dei contitolari riguardo all’osservanza degli obblighi in materia di protezione dei dati sono determinate mediante un accordo tra i contitolari, salvo che e nella misura in cui tali responsabilità siano determinate dal diritto dell’Unione o dello Stato membro cui sono soggetti i contitolari del trattamento.

1.   Gli interessati possono contattare il titolare del trattamento competente al fine di esercitare i loro diritti a norma degli articoli da 17 a 24 del regolamento (UE) 2018/1725.

2.   I diritti degli interessati possono essere esercitati solo dagli interessati o dal loro rappresentante debitamente autorizzato. Tali persone possono esercitare tali diritti gratuitamente.

3.   Le richieste di esercizio dei diritti degli interessati sono presentate al titolare del trattamento competente per iscritto o, se del caso, per via elettronica. Una volta ricevuta la richiesta da parte di un interessato, il titolare del trattamento competente invia all’interessato un avviso di ricevimento entro cinque giorni lavorativi, gli comunica i dati di contatto del responsabile della protezione dei dati e li informa della possibilità di proporre reclamo al GEPD e di proporre ricorso giurisdizionale.

4.   Se il titolare del trattamento competente nutre ragionevoli dubbi circa l’identità dell’interessato, o del suo rappresentante autorizzato, può richiedere ulteriori informazioni necessarie per identificare l’interessato o il suo rappresentante autorizzato. Se l’interessato è rappresentato da un rappresentante autorizzato, il titolare del trattamento competente verifica anche la relativa autorizzazione. Il titolare del trattamento competente può chiedere ulteriori informazioni all’interessato al fine di chiarire la richiesta dell’interessato e affrontarla in modo efficace.

5.   Conformemente all’articolo 14, paragrafi 3 e 4, del regolamento (UE) 2018/1725, il titolare del trattamento competente fornisce all’interessato le informazioni relative a qualsiasi azione intrapresa in relazione a una richiesta senza indebito ritardo e al più tardi entro un mese dal ricevimento della richiesta. Ove necessario, tale periodo può essere prorogato di altri due mesi, tenendo conto della complessità e del numero di richieste degli interessati ricevute dal titolare del trattamento competente. Il titolare del trattamento competente informa l’interessato di qualsiasi proroga entro un mese dal ricevimento della richiesta e indica i motivi del ritardo.

6.   Il titolare del trattamento competente risponde alla richiesta dell’interessato per iscritto, se del caso, e se la richiesta dell’interessato è stata presentata con mezzi elettronici, il titolare del trattamento in questione fornisce anche le informazioni richieste per via elettronica.

7.   L’interessato può contattare in qualsiasi momento il responsabile della protezione dei dati, in particolare se:

Il responsabile della protezione dei dati informa il titolare del trattamento competente in merito all’opportuna linea d’azione.

8.   Qualora le richieste dell’interessato siano manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento competente può, previa consultazione del responsabile della protezione dei dati, rifiutare di soddisfare la richiesta conformemente all’articolo 14, paragrafo 5, del regolamento (UE) 2018/1725, dandone informazione all’interessato.