(1)

Il regolamento (UE) 2016/679 stabilisce le norme per il trasferimento di dati personali da titolari del trattamento o responsabili del trattamento nell’Unione verso paesi terzi e organizzazioni internazionali, nella misura in cui tale trasferimento rientri nel suo ambito di applicazione. Le norme sui trasferimenti internazionali di dati sono stabilite nel capo V (articoli da 44 a 50) di detto regolamento. Sebbene la circolazione di dati personali verso e da paesi e organizzazioni internazionali al di fuori dell’Unione sia essenziale per l’espansione degli scambi transfrontalieri e della cooperazione internazionale, occorre garantire che il livello di protezione offerto ai dati personali nell’Unione non sia compromesso dai trasferimenti verso paesi terzi e organizzazioni internazionali (2).

(2)

Ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 la Commissione può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale garantiscono un livello di protezione adeguato. Nel rispetto di tale condizione, i trasferimenti di dati personali verso un’organizzazione internazionale possono avvenire senza la necessità di ottenere ulteriori autorizzazioni, come previsto dall’articolo 45, paragrafo 1, e illustrato dal considerando 103 del richiamato regolamento.

(3)

Come specificato all’articolo 45, paragrafo 2, del regolamento (UE) 2016/679, l’adozione di una decisione di adeguatezza deve basarsi su un’analisi completa del regime giuridico dell’organizzazione internazionale, per quanto riguarda tanto le norme applicabili agli importatori di dati quanto le limitazioni e le garanzie relative all’accesso ai dati personali da parte delle autorità pubbliche. Nella propria valutazione la Commissione deve stabilire se l’organizzazione internazionale in questione assicura un livello di protezione «sostanzialmente equivalente» a quello garantito all’interno dell’Unione (3). Il criterio rispetto al quale viene valutata l’«equivalenza sostanziale» è quello stabilito dalla legislazione dell’Unione, in particolare il regolamento (UE) 2016/679, nonché dalla giurisprudenza della Corte di giustizia dell’Unione europea (4). Anche i «criteri di riferimento per l’adeguatezza» del comitato europeo per la protezione dei dati (EDPB) sono importanti al riguardo, al fine di chiarire ulteriormente tale criterio e fornire orientamenti (5).

(4)

Come chiarito dalla Corte di giustizia, un paese terzo o un’organizzazione internazionale non può essere tenuto ad assicurare un livello di protezione identico a quello garantito nell’ordinamento giuridico dell’Unione (6). In particolare gli strumenti dei quali il paese terzo o l’organizzazione internazionale in questione si avvale per proteggere i dati personali possono essere diversi da quelli attuati all’interno dell’Unione, purché si rivelino efficaci, nella prassi, al fine di assicurare un livello di protezione adeguato (7). Il livello di adeguatezza non comporta pertanto una riproduzione pedissequa delle norme dell’Unione. Si tratta piuttosto di determinare se il sistema straniero nel suo insieme, tramite il contenuto essenziale dei diritti alla riservatezza e delle garanzie in materia di protezione dei dati (compresi l’attuazione, l’azionabilità e il controllo effettivi), nonché tramite le circostanze relative ad un trasferimento di dati personali, offre il necessario livello di protezione (8).

(5)

La Commissione ha analizzato il quadro giuridico e la prassi dell’Organizzazione europea dei brevetti. Sulla base delle risultanze illustrate nei considerando da 7 a 100, la Commissione conclude che l’Organizzazione europea dei brevetti assicura un livello di protezione adeguato per i dati personali trasferiti dall’Unione all’Organizzazione stessa nell’ambito di applicazione del regolamento (UE) 2016/679.

(6)

Ai sensi della presente decisione, i trasferimenti dai titolari del trattamento e dai responsabili del trattamento nell’Unione all’Organizzazione europea dei brevetti possono avvenire senza la necessità di ottenere ulteriori autorizzazioni. La presente decisione non dovrebbe incidere sull’applicazione diretta del regolamento (UE) 2016/679 a tali soggetti qualora siano soddisfatte le condizioni relative all’ambito di applicazione territoriale di cui all’articolo 3 di detto regolamento.

(7)

L’Organizzazione europea dei brevetti (OEB) è un’organizzazione intergovernativa che è stata istituita il 7 ottobre 1977 sulla base della convenzione sul brevetto europeo (CBE). L’OEB ha sede a Monaco di Baviera e conta 39 Stati contraenti, tra cui tutti gli Stati membri dell’Unione, l’Islanda, la Norvegia e il Liechtenstein, nonché l’Albania, la Macedonia del Nord, Monaco, San Marino, la Serbia, la Svizzera, il Montenegro, il Regno Unito e la Turchia (9).

(8)

L’OEB è dotata di personalità giuridica (10) ed è composta da due organi (11): l’Ufficio europeo dei brevetti (Ufficio) e il Consiglio d’amministrazione. Il compito principale dell’OEB è il rilascio di brevetti europei (12) conformemente alla CBE, che è effettuato dall’Ufficio sotto il controllo del Consiglio d’amministrazione. Il Consiglio d’amministrazione si compone dei rappresentanti degli Stati contraenti ed esercita poteri legislativi per conto dell’OEB. È inoltre responsabile delle questioni in materia di politiche e supervisiona le attività dell’Ufficio (13). L’Ufficio, che funge da braccio esecutivo dell’OEB, è guidato da un Presidente (14) che gestisce l’Ufficio e risponde al Consiglio d’amministrazione (15). Il Presidente, tra l’altro, prepara ed esegue il bilancio dell’Ufficio, nomina e supervisiona il personale dell’Ufficio, esercita il potere disciplinare sul personale, garantisce il funzionamento dell’Ufficio, comprese l’adozione di norme amministrative interne e la pubblicazione di comunicazioni destinate al pubblico, e può sottoporre al Consiglio d’amministrazione proposte di modifica della convenzione, di regolamenti generali o di decisioni che sono di competenza del Consiglio d’amministrazione (16). L’Ufficio è composto da diversi servizi, tra cui una sezione di deposito, una divisione giuridica, divisioni di esame e d’opposizione e le commissioni di ricorso (un organo interno indipendente dinanzi al quale possono essere impugnate le decisioni adottate dall’OEB nell’ambito della procedura di rilascio dei brevetti) (17).

(9)

Nello svolgimento dei suoi compiti, l’OEB riceve dati personali da diversi attori nell’Unione. Su base continuativa, le domande di brevetto europeo (18) sono depositate presso l’OEB dai richiedenti o trasmesse all’OEB dagli uffici nazionali dei brevetti degli Stati membri (19). L’OEB riceve e tratta dati personali anche nel contesto dei compiti ad essa affidati a norma del regolamento (UE) n. 1257/2012 del Parlamento europeo e del Consiglio (20). Tali compiti comprendono il ricevimento e l’esame delle richieste di effetto unitario dei brevetti europei, la riscossione di tasse annuali e la registrazione dell’effetto unitario (21). In tale contesto, l’OEB riceve anche richieste dal tribunale unificato dei brevetti su ricorsi in corso dinanzi alla commissione di ricorso dell’Ufficio (22), che possono includere dati personali necessari per individuare il caso in questione (23).

(10)

Analogamente, l’OEB riceve i dati personali contenuti nelle domande di brevetto internazionali quando agisce ai sensi del trattato di cooperazione in materia di brevetti (TCB), un trattato internazionale che consente ai richiedenti di ottenere brevetti con effetti in tutti gli Stati contraenti del trattato medesimo (24). L’OEB agisce in qualità di amministrazione incaricata della ricerca internazionale nell’ambito del TCB e, in tale veste, esamina la brevettabilità delle invenzioni divulgate nelle domande internazionali, il che aiuta i richiedenti a decidere se presentare o meno una domanda di esame nel merito a livello nazionale/dell’Unione (25).

(11)

Inoltre l’OEB coopera strettamente con gli uffici nazionali dei brevetti di tutti gli Stati membri nel contesto di una «rete europea dei brevetti» e, in tale contesto, scambia con loro dati personali, ad esempio quando fornisce corsi di formazione e servizi informatici per sostenere e rafforzare la cooperazione nell’ambito della CBE. Analogamente, ha concluso accordi di cooperazione bilaterale con gli Stati membri che prevedono lo scambio di dati personali, ad esempio nel contesto dell’istituzione di gruppi di lavoro, del distacco e dell’invio di esperti tecnici ecc. Essa collabora inoltre strettamente con l’Ufficio dell’Unione europea per la proprietà intellettuale (EUIPO), ad esempio organizzando corsi di formazione congiunti ed eventi di sensibilizzazione e distaccando esperti.

(12)

Infine l’OEB ha contratti con diversi prestatori di servizi dell’Unione che agiscono in qualità di responsabili del trattamento ai sensi dell’articolo 4, punto 8), del regolamento (UE) 2016/679 e trasferiscono dati personali all’OEB.

(13)

Il diritto primario che disciplina le attività dell’OEB è istituito da un trattato internazionale, vale a dire la convenzione sul brevetto europeo e, quando l’OEB agisce in forza del trattato di cooperazione in materia di brevetti, da quest’ultimo. A un secondo livello della gerarchia delle norme applicabili all’OEB si trovano gli atti giuridici adottati dal Consiglio d’amministrazione o, per quanto riguarda il TCB, dall’Assemblea del TCB. Il diritto derivato dell’OEB comprende il regolamento di esecuzione della CBE e il cosiddetto statuto (che disciplina gli aspetti relativi al personale dell’OEB, compresi i diritti e gli obblighi del personale) (26). Il diritto alla protezione dei dati personali è sancito dall’articolo 1 ter dello statuto (27), che contiene anche alcune disposizioni fondamentali del quadro in materia di protezione dei dati dell’OEB, relative all’ambito di applicazione di tale quadro, alla protezione di categorie particolari di dati e all’esercizio dei diritti da parte delle persone fisiche. L’articolo 2, paragrafo 1, e l’articolo 32 bis dello statuto istituiscono meccanismi di vigilanza indipendenti (il responsabile della protezione dei dati (DPO) e il comitato per la protezione dei dati (DPB)) per controllare il rispetto delle norme in materia di protezione dei dati (28).

(14)

Le stesse condizioni sostanziali che disciplinano la protezione dei dati personali si applicano al Consiglio d’amministrazione e all’Ufficio, nonché a tutti i loro servizi. In particolare, il trattamento dei dati personali da parte dell’Ufficio è disciplinato dal documento «Implementing Rules for Articles 1B and 32A of the Service Regulations for Permanent and Other Employees of the European Patent Office on the Protection of Personal Data» (Data Protection Rules (DPR)), adottato dal Consiglio d’amministrazione (29). Il trattamento dei dati personali da parte del Consiglio d’amministrazione è soggetto al documento «Administrative Council Data Protection Rules» (AC DPR), che applica le DPR mutatis mutandis (30). Nei casi in cui la presente decisione fa riferimento alle DPR, i riferimenti comprendono le prescrizioni corrispondenti che si applicano al Consiglio d’amministrazione, alla sua segreteria e ai suoi comitati. La struttura e il contenuto delle DPR sono strettamente allineati al quadro dell’Unione in materia di protezione dei dati (31). In particolare, molti aspetti comuni sono condivisi con il regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (32), che stabilisce requisiti in materia di protezione dei dati per le istituzioni e gli organi dell’Unione ed è pertanto adatto alla struttura e alle caratteristiche specifiche delle organizzazioni internazionali, rispecchiando al contempo strettamente il regolamento (UE) 2016/679.

(15)

Per quanto riguarda il trattamento dei dati da parte dell’Ufficio, il Presidente ha emanato ulteriori strumenti giuridicamente vincolanti, quali circolari, decisioni e istruzioni amministrative interne (33). In particolare, le DPR sono integrate dai documenti «Decision of the President of the European Patent Office dated 13 December 2021 concerning the processing of personal data in patent-grant and related proceeding» (decisione PGP (34)); «Decision of the President of the European Patent Office dated 7 December 2022 concerning the processing of personal data in proceedings related to European patents with unitary effect» (decisione UP) (35); «Decision of the President of the European Patent Office of 17 November 2022 concerning countries and entities considered to ensure adequate protection of personal data» (36); «Decision of the President of the European Patent Office dated 2 maggio 2024 identifying the operational units of the Office acting as delegated controllers within the meaning of the Data Protection Rules» (37); e «Circular No. 420 Implementing Article 25 of the Data Protection Rules» (circolare n. 420) (38). Per quanto riguarda specificamente il trattamento dei dati nell’ambito delle procedure di rilascio dei brevetti, è importante osservare che le prescrizioni in materia di trattamento dei dati personali previste direttamente dalla CBE e dal TCB prevalgono sulle DPR. L’interazione tra CBE e TCB, da un lato, e le DPR, dall’altro, è chiarita nella decisione PGP (39) e nella decisione UP. Le prescrizioni specifiche in materia di protezione dei dati derivanti direttamente dalla CBE e dal TCB sono esaminate nei considerando da 55 a 59. Le DPR e i loro strumenti complementari sono giuridicamente vincolanti e applicabili e possono essere invocati dai singoli dinanzi ai meccanismi di ricorso indipendenti, come descritto nei considerando da 89 a 96.

(16)

Le norme previste negli strumenti giuridici di cui al considerando 15 sono rese ulteriormente operative in strumenti emessi dal responsabile della protezione dei dati (cfr. considerando da 83 a 88) (40), che si applicano al Consiglio d’amministrazione e all’Ufficio, nonché a tutti i loro servizi (41).

(17)

Ai sensi delle DPR e dello statuto (42), tutti i dipendenti dell’OEB sono tenuti a rispettare le DPR quando trattano dati personali. L’ambito di applicazione materiale e personale delle DPR è determinato dai termini «dati personali», «trattamento», «titolare del trattamento», «titolare del trattamento delegato» e «responsabile del trattamento» ivi definiti.

(18)

Le definizioni di «dati personali» e di «trattamento» nelle DPR sono identiche a quelle del regolamento (UE) 2016/679 (43). Le DPR si applicano a qualsiasi trattamento di dati personali da parte dell’OEB, indipendentemente dal fatto che il trattamento riguardi dati personali dei propri dipendenti o dati di altre persone fisiche (44). Anche i dati sottoposti a pseudonimizzazione (45) sono considerati dati personali, mentre i dati di persone decedute o di persone giuridiche o le informazioni anonime (46) non sono trattati come dati personali ai sensi delle DPR (47).

(19)

Le DPR si applicano al trattamento interamente o parzialmente automatizzato di dati personali da parte dell’OEB e al trattamento non automatizzato di dati personali contenuti in un archivio (48) o destinati a figurarvi.

(20)

Le DPR definiscono il «titolare del trattamento» come «un’entità, vale a dire l’Ufficio europeo dei brevetti, che, da sola o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali» (49). In linea di principio, il Presidente agisce in qualità di titolare del trattamento per le operazioni di trattamento dei dati effettuate dall’Ufficio (50). Lo stesso vale per il Consiglio d’amministrazione (in cui il Presidente agisce in qualità di titolare del trattamento), le commissioni di ricorso nell’esercizio delle loro funzioni giurisdizionali (in cui il Presidente agisce in qualità di titolare del trattamento (51)) e il Comitato ristretto (in cui il Presidente agisce in qualità di titolare del trattamento (52)). Il titolare del trattamento può delegare questo potere a unità operative rappresentate da un dirigente di alto livello (53). In tali casi, le unità operative agiscono in qualità di «titolari del trattamento delegati» (54) che definiscono la finalità (ad esempio motivo, giustificazione ed esigenze operative), i mezzi di un’operazione di trattamento e garantiscono che tutte le operazioni di trattamento che implicano dati personali siano conformi alle norme delle DPR (55). In tali casi, il titolare del trattamento rimane responsabile del trattamento dei dati personali. Le DPR prevedono inoltre uno scenario di «contitolarità del trattamento» in cui un titolare del trattamento determina la finalità e i mezzi del trattamento insieme a uno o più titolari del trattamento al di fuori dell’OEB (56).

(21)

La definizione di «responsabile del trattamento» nelle DPR è identica a quella di cui all’articolo 4, punto 8), del regolamento (UE) 2016/679, vale a dire la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altra entità che tratta dati personali per conto del titolare del trattamento (57). Il titolare del trattamento è autorizzato a ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti che saranno messe in atto misure tecniche e organizzative adeguate per garantire che il trattamento soddisfi le prescrizioni delle DPR (58). Il rapporto tra il titolare del trattamento e il responsabile del trattamento deve essere disciplinato da un contratto o da un atto giuridico che vincoli il responsabile del trattamento e in cui siano stipulati, tra l’altro, la materia disciplinata, la durata, la natura e la finalità del trattamento (59). Il responsabile del trattamento è autorizzato a trattare i dati soltanto su istruzione documentata del titolare del trattamento. Il responsabile del trattamento è tenuto ad assistere il titolare del trattamento nell’adempimento dei suoi obblighi ai sensi delle DPR. Il responsabile del trattamento non può ricorrere a sub-responsabili del trattamento senza la preventiva autorizzazione del titolare del trattamento (60). Un accordo standard sul trattamento dei dati è disponibile per i titolari del trattamento delegati (61). Inoltre, se un responsabile del trattamento è ubicato in un paese terzo, qualsiasi condivisione di dati personali con tale responsabile del trattamento deve rispettare anche le prescrizioni delle DPR per i trasferimenti internazionali, come descritto nei considerando da 68 a 73 della presente decisione (62).

(22)

I dati personali dovrebbero essere trattati in maniera lecita e corretta.

(23)

Tali principi generali sono stabiliti all’articolo 4, paragrafo 2, lettera a), DPR in un modo che può essere considerato identico all’articolo 5, paragrafo 1, lettera a), del regolamento (UE) 2016/679.

(24)

Il principio di liceità è ulteriormente sviluppato nell’articolo 5 DPR, che elenca le basi giuridiche sulle quali i dati personali possono essere trattati. Tali basi giuridiche sono a) la necessità di svolgere un compito nell’esercizio delle attività ufficiali dell’OEB (63) o nell’esercizio legittimo dei pubblici poteri di cui è investito il titolare del trattamento, compreso il trattamento necessario per la gestione e il funzionamento dell’Ufficio (64); b) la necessità di rispettare un obbligo giuridico cui è soggetto il titolare del trattamento (ad esempio pubblicare le informazioni menzionate in una domanda di brevetto nel registro europeo dei brevetti) (65); c) la necessità di eseguire un contratto di cui l’interessato è parte o di eseguire misure precontrattuali adottate su richiesta dello stesso; d) il consenso dell’interessato; o e) la necessità di salvaguardare gli interessi vitali dell’interessato o di un’altra persona fisica.

(25)

Nelle DPR il consenso è definito nello stesso modo di cui al regolamento (UE) 2016/679, ossia come qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento (66). Spetta al titolare del trattamento dimostrare che l’interessato ha acconsentito (67). Nel valutare se il consenso sia stato liberamente prestato, si dovrebbe tenere conto dell’eventualità che l’esecuzione di un contratto sia condizionata alla prestazione del consenso al trattamento di dati non necessario all’esecuzione di tale contratto (68). Il consenso non può essere considerato liberamente espresso se l’interessato non è in grado di operare una scelta autenticamente libera o è nell’impossibilità di rifiutare o revocare il consenso senza subire pregiudizio (69). Inoltre, ai fini di un consenso informato, le DPR prevedono che l’interessato sia posto a conoscenza almeno dell’identità del titolare del trattamento e delle finalità del trattamento cui sono destinati i dati personali (70). Infine l’interessato ha il diritto di revocare il consenso in qualsiasi momento (71).

(26)

Garanzie specifiche dovrebbero essere applicate al trattamento di «categorie particolari» di dati.

(27)

Le DPR contengono norme specifiche per quanto riguarda il trattamento di categorie particolari di dati personali (72), che sono definite nello stesso modo di cui al regolamento (UE) 2016/679, ossia come «dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, dati genetici (73) o dati biometrici (74) intesi a identificare in modo univoco una persona fisica e dati relativi alla salute (75) o alla vita sessuale o all’orientamento sessuale della persona» (76). Ai sensi delle DPR, il trattamento di categorie particolari di dati è in linea di principio vietato, a meno che non si applichi una deroga specifica (77).

(28)

Le deroghe specifiche elencate all’articolo 11, paragrafo 2, DPR sono simili a quelle di cui all’articolo 9, paragrafi 2 e 3, del regolamento (UE) 2016/679, con alcuni adeguamenti al quadro giuridico in cui opera l’OEB. Il trattamento di categorie particolari di dati personali è consentito solo in circostanze specifiche e limitate (78), vale a dire se 1) l’interessato ha prestato il proprio consenso esplicito; 2) il trattamento è necessario per tutelare un interesse vitale di una persona (qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso); 3) i dati personali sono stati resi manifestamente pubblici dall’interessato; 4) il trattamento è necessario per una finalità specifica connessa all’esercizio delle attività ufficiali dell’OEB o all’esercizio dei legittimi poteri di cui è investito il titolare del trattamento (79); o 5) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria.

(29)

Oltre alle categorie particolari di dati personali di cui al considerando 27, le DPR prevedono anche tutele specifiche per il trattamento di dati personali relativi alle condanne penali e ai reati, consentendo tale trattamento solo previa consultazione del DPB o qualora il trattamento sia imposto da uno strumento giuridicamente vincolante che prevede garanzie adeguate per i diritti e le libertà delle persone fisiche (80).

(30)

I dati personali dovrebbero essere trattati per una finalità specifica e, di conseguenza, dovrebbero essere utilizzati soltanto nella misura in cui l’uso non sia incompatibile con la finalità del trattamento.

(31)

Tale principio è garantito dall’articolo 4, paragrafo 2, lettera b), DPR, ai sensi del quale i dati personali devono essere «raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in un modo che non sia incompatibile con tali finalità».

(32)

Analogamente al regolamento (UE) 2016/679, le DPR consentono un ulteriore trattamento (indipendentemente dalla compatibilità della finalità dell’ulteriore trattamento con quella originaria) sulla base del consenso esplicito dell’interessato o sulla base delle disposizioni giuridiche applicabili dell’OEB (81). In quest’ultimo caso, le DPR richiedono che il trattamento sia una misura necessaria e proporzionata per la salvaguardia di un obiettivo di interesse pubblico generale (82).

(33)

Qualora l’ulteriore trattamento non si basi sui suddetti due motivi, le DPR stabiliscono gli elementi da prendere in considerazione per valutare la compatibilità della finalità dell’ulteriore trattamento con la finalità per la quale i dati personali sono stati originariamente raccolti (83). Tale approccio e i fattori elencati nelle DPR sono identici a quelli di cui all’articolo 6, paragrafo 4, del regolamento (UE) 2016/679 e all’articolo 6 del regolamento (UE) 2018/1725 (84).

(34)

I dati personali dovrebbero essere esatti e, se necessario, dovrebbero essere aggiornati. Dovrebbero inoltre essere adeguati, pertinenti e non eccessivi rispetto alle finalità per le quali sono trattati; inoltre, in linea di principio, dovrebbero essere conservati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati.

(35)

Tali principi sono stabiliti all’articolo 4, paragrafo 2, lettere c), d) ed e), DPR nello stesso modo di cui al regolamento (UE) 2016/679.

(36)

I dati personali dovrebbero inoltre essere trattati in maniera da garantirne la sicurezza, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali. A tal fine gli operatori economici dovrebbero adottare misure tecniche od organizzative per proteggere i dati personali da possibili minacce. Tali misure dovrebbero essere valutate tenendo conto dello stato dell’arte e dei costi connessi.

(37)

La sicurezza dei dati è sancita nel quadro giuridico dell’OEB attraverso il principio di integrità e riservatezza di cui all’articolo 4, paragrafo 2, lettera f), e all’articolo 33 DPR, in modo quasi identico a quello del regolamento (UE) 2016/679. In particolare, le DPR richiedono che sia garantito un livello di sicurezza adeguato al rischio attraverso misure tecniche e organizzative adeguate, tenendo conto dello stato dell’arte, dei costi di attuazione e della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché della probabilità e gravità diverse di eventuali rischi per i diritti e le libertà delle persone fisiche.

(38)

Inoltre le DPR contengono prescrizioni specifiche per il trattamento e la notifica di una violazione dei dati (85). In primo luogo, il titolare del trattamento è tenuto a notificare una violazione dei dati al DPO senza ingiustificato ritardo (e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza), a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche (86). Analogamente, il responsabile del trattamento è tenuto a notificare una violazione al titolare del trattamento senza ingiustificato ritardo (87). La notifica deve descrivere in particolare la natura della violazione, le sue probabili conseguenze e le misure adottate o di cui si propone l’adozione per porvi rimedio (88). Quando una violazione dei dati è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento è tenuto altresì a comunicare la violazione all’interessato senza ingiustificato ritardo (89). La comunicazione all’interessato deve descrivere la natura della violazione dei dati personali con un linguaggio semplice e chiaro (90) e non è richiesta se il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un elevato rischio per i diritti e le libertà degli interessati (91).

(39)

Gli interessati dovrebbero essere informati dei principali aspetti del trattamento dei dati personali che li riguardano.

(40)

Conformemente alle DPR, il titolare del trattamento è tenuto, al momento dell’ottenimento dei dati personali, a fornire alle persone fisiche informazioni, in particolare, sulla sua identità e i suoi recapiti (nonché i recapiti del DPO), sulla finalità del trattamento e sulla relativa base giuridica, sui destinatari o sulle categorie di destinatari, sul fatto che intende trasferire i dati al di fuori dell’OEB, nonché sui diritti applicabili e sulla possibilità di ottenere riparazione (92). Lo stesso vale quando i dati personali sono trattati per una finalità diversa da quella per la quale sono stati raccolti (93). Entrambi gli obblighi si applicano solo nella misura in cui la persona interessata non disponga ancora delle informazioni (94).

(41)

Le stesse informazioni devono essere fornite agli interessati quando i dati personali non sono raccolti direttamente presso di loro, unitamente a informazioni supplementari sulla fonte dei dati personali e sulle categorie di dati in questione (95). Tali informazioni devono essere fornite entro un termine ragionevole dall’ottenimento dei dati (ma al più tardi entro un mese), in considerazione delle specifiche circostanze in cui i dati sono trattati (96). Nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, le stesse informazioni dovrebbero essere fornite al più tardi al momento della prima comunicazione con la persona (97). Le informazioni di cui al considerando 40 devono inoltre essere fornite prima di qualsiasi ulteriore trattamento o, qualora sia prevista una comunicazione a un altro destinatario, al più tardi quando i dati personali sono comunicati a terzi (98). Tale obbligo non si applica in una serie di casi, in particolare quando l’interessato dispone già delle informazioni in questione; qualora tali informazioni debbano rimanere riservate a causa di un obbligo di segreto professionale disciplinato sulla base della CBE e/o di altre disposizioni giuridiche applicabili all’OEB (99); se la comunicazione di tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato, in particolare per il trattamento a fini di archiviazione, di ricerca scientifica o storica o a fini statistici, nella misura in cui renderebbe impossibile o pregiudicherebbe gravemente il conseguimento delle finalità del trattamento; o qualora l’ottenimento o la divulgazione di tali informazioni sia espressamente previsto dalla CBE o da altre disposizioni giuridiche applicabili che prevedono misure adeguate per tutelare i legittimi interessi dell’interessato (100).

(42)

Gli interessati dovrebbero disporre di determinati diritti azionabili nei confronti del titolare del trattamento o del responsabile del trattamento, in particolare il diritto di accesso ai dati, il diritto di rettifica, il diritto di opporsi al trattamento e il diritto di far cancellare i dati. Allo stesso tempo tali diritti possono essere soggetti a limitazioni, purché queste siano necessarie e proporzionate per salvaguardare obiettivi importanti di interesse pubblico generale.

(43)

La necessità di agevolare l’esercizio dei diritti individuali è stabilita all’articolo 1 ter, paragrafo 4, dello statuto. Per attuare ulteriormente tale prescrizione, le DPR conferiscono alle persone gli stessi diritti previsti dal regolamento (UE) 2016/679, vale a dire il diritto di accesso (articolo 18 DPR), il diritto di rettifica (articolo 19 DPR), il diritto alla cancellazione (articolo 20 DPR), il diritto di limitazione del trattamento (articolo 21 DPR), il diritto alla portabilità dei dati (articolo 22 DPR), il diritto di opposizione (articolo 23 DPR) e il diritto di non essere sottoposti a un processo decisionale automatizzato (articolo 24 DPR).

(44)

Le DPR stabiliscono inoltre disposizioni generali per il trattamento delle richieste di esercizio dei diritti delle persone fisiche, imponendo al titolare del trattamento di comunicare con gli interessati utilizzando un linguaggio semplice e chiaro, in forma concisa, trasparente, intelligibile e facilmente accessibile (per iscritto o con altri mezzi) (101). Il titolare del trattamento deve fornire alle persone fisiche informazioni sulle misure adottate in risposta a una richiesta senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa (detto termine può essere prorogato di due mesi, se necessario alla luce della complessità e del numero delle richieste) (102). Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può rifiutare di soddisfare la richiesta (103). Il titolare del trattamento, se non dà seguito a una richiesta, deve informarne il richiedente e fornire informazioni sulla possibilità di presentare ricorso (104).

(45)

In primo luogo, per quanto riguarda il diritto di accesso, le DPR conferiscono ai singoli il diritto di ottenere dall’OEB la conferma che i dati personali che li riguardano sono trattati o meno e, in caso affermativo, di accedere facilmente (105) e a intervalli ragionevoli a tali dati (106). Inoltre le persone fisiche hanno il diritto di ottenere informazioni, in particolare, sulla finalità del trattamento, sulle categorie di dati interessate, sui destinatari con cui i dati sono condivisi e sul periodo previsto per la conservazione dei dati (107).

(46)

In secondo luogo, le DPR stabiliscono che il diritto di rettifica da esse contemplato consente ai singoli di ottenere la rettifica di dati inesatti o l’integrazione di dati incompleti (ad esempio fornendo una dichiarazione integrativa) (108). Una volta effettuata la rettifica, il titolare del trattamento è tenuto a darne comunicazione a ciascun destinatario cui sono stati comunicati i dati personali (109). Ai sensi delle DPR, il diritto di rettifica si applica ai dati oggettivi e fattuali e non alle dichiarazioni soggettive (110), sebbene in questo caso le persone siano autorizzate a integrare i dati esistenti con un secondo parere o controperizia o a formulare osservazioni (111).

(47)

In terzo luogo, le DPR conferiscono ai singoli anche un diritto alla cancellazione (112), in particolare se a) i dati personali non sono più necessari per le finalità per le quali sono trattati; b) l’interessato revoca il consenso e non sussiste altra base giuridica per il trattamento; c) l’interessato si oppone al trattamento e non sussiste alcun motivo legittimo prevalente per procedere al trattamento; d) i dati sono stati trattati illecitamente; o e) i dati devono essere cancellati per adempiere un obbligo legale che si applica al titolare del trattamento (113). Il titolare del trattamento deve comunicare eventuali cancellazioni a ciascun destinatario con il quale i dati sono stati condivisi, a meno che ciò non si riveli impossibile o implichi uno sforzo sproporzionato (114). Analogamente, il titolare del trattamento, se ha reso pubblici i dati personali, deve adottare misure ragionevoli per informare gli altri titolari del trattamento che stanno trattando tali dati del fatto che la persona fisica ha richiesto la cancellazione (115). Il diritto alla cancellazione non si applica alle situazioni seguenti, nella misura in cui il trattamento dei dati sia necessario a) per esercitare il diritto alla libertà di espressione e di informazione; b) per l’adempimento di un obbligo legale dell’OEB o di un obbligo derivante dal dovere dell’OEB di cooperare con i suoi Stati contraenti (116) o per l’esercizio di pubblici poteri di cui è investita l’OEB (117); c) per motivi di cooperazione con gli Stati contraenti nel settore della sanità pubblica (118); d) a fini di archiviazione, di ricerca scientifica o storica e a fini statistici (nella misura in cui la cancellazione rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi del trattamento); o e) per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria (119).

(48)

In quarto luogo, l’articolo 21 DPR prevede un diritto di limitazione del trattamento, vale a dire il contrassegno dei dati personali con l’obiettivo di limitarne il trattamento in futuro (comprese misure di programmazione volte a impedire in modo permanente l’accesso a tali dati) (120). Tale diritto può essere invocato in particolare quando la persona fisica contesta l’esattezza dei dati personali (per un periodo richiesto dal titolare del trattamento per verificare l’esattezza) o quando il trattamento è illecito, ma la persona fisica si oppone alla cancellazione dei dati (121). Qualora il trattamento sia limitato, i dati personali possono essere trattati, ad eccezione della conservazione, solo con il consenso esplicito della persona fisica, per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria, per la tutela dei diritti altrui o per l’esecuzione di un compito svolto nell’esercizio delle attività ufficiali dell’OEB (vale a dire un compito necessario per il lavoro amministrativo e tecnico che l’OEB è tenuta a svolgere conformemente alla CBE) (122).

(49)

In quinto luogo, un diritto di opposizione è sancito dall’articolo 1 ter, paragrafo 4, dello statuto e dall’articolo 23 DPR. In particolare, i singoli hanno il diritto di opporsi in qualsiasi momento al trattamento di dati personali effettuato per l’esecuzione di un compito nell’esercizio delle attività ufficiali dell’OEB o nell’esercizio legittimo dei pubblici poteri di cui è investito il titolare del trattamento (123). I singoli devono essere informati dell’esistenza di tale diritto in modo chiaro e al più tardi al momento della prima comunicazione con loro (124). Nel caso in cui un singolo si opponga al trattamento dei dati personali, le DPR impongono al titolare del trattamento di interrompere il trattamento salvo che egli sia in grado di dimostrare l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria (125).

(50)

In sesto luogo, le DPR istituiscono un diritto alla portabilità dei dati, offrendo alle persone fisiche la possibilità di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare del trattamento (126). Tale diritto si applica quando il trattamento è effettuato con mezzi automatizzati e ha luogo sulla base del consenso della persona fisica o ai fini dell’esecuzione di un contratto con la persona fisica o nell’interesse di quest’ultima (127).

(51)

Infine, ai sensi delle DPR, i singoli hanno il diritto di non essere sottoposti a un processo decisionale automatizzato, vale a dire una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che li riguardano o che incidono in modo analogo significativamente sulla loro persona (128). Le DPR stabiliscono che il processo decisionale automatizzato può avere luogo quando si basa sul consenso esplicito dell’interessato o se è necessario per la conclusione o l’esecuzione di un contratto con la persona fisica, nel qual caso il titolare del trattamento deve attuare garanzie adeguate, ad esempio prevedendo il diritto di ottenere l’intervento umano, di esprimere la propria opinione e di contestare la decisione (129). Il processo decisionale automatizzato può essere autorizzato anche da un atto giuridico se tale atto stabilisce misure adeguate per tutelare i diritti delle persone fisiche (130). Il titolare del trattamento, se adotta un processo decisionale automatizzato, compresa la profilazione, deve informarne proattivamente la persona nell’ambito dei suoi obblighi di trasparenza e fornire informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato (131). Le stesse informazioni devono essere fornite su richiesta (132).

(52)

Analogamente all’articolo 23 del regolamento (UE) 2016/679 e all’articolo 25 del regolamento (UE) 2018/1725, l’articolo 25 DPR prevede che disposizioni giuridiche specifiche nel quadro giuridico dell’OEB possano limitare l’applicazione dei diritti di cui ai considerando da 43 a 51 (133) (ossia limitarne temporaneamente l’applicazione) (134), qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali (135) e sia una misura necessaria e proporzionata in una società democratica per salvaguardare obiettivi specifici (136). Inoltre una limitazione deve essere prevista in disposizioni «chiare e precise» destinate a produrre effetti giuridici nei confronti degli interessati e che devono essere adottate almeno a livello di Presidente (137). Tali disposizioni devono, in particolare, stabilire la finalità del trattamento, la portata della limitazione, le garanzie per prevenire abusi, i periodi di conservazione e le garanzie applicabili (138).

(53)

Attualmente l’unico strumento giuridico che prevede limitazioni dei diritti individuali è la circolare n. 420 (uno strumento giuridicamente vincolante adottato dal Presidente). Essa chiarisce secondo quali modalità e a quali condizioni il titolare del trattamento può applicare limitazioni e stabilisce in modo esaustivo gli scenari specifici in cui i diritti possono essere limitati e per quali obiettivi (139). In particolare, prevede che l’OEB possa limitare i diritti individuali per determinati obiettivi specifici: a) e b) quando conduce indagini o procedimenti disciplinari in relazione al suo personale (140); c) nel contesto della risoluzione interna delle controversie o dell’accertamento, dell’esercizio o della difesa di un diritto in sede giudiziaria, compreso l’arbitrato, al fine di conservare informazioni e documenti riservati ottenuti dalle parti, dagli intervenienti o da altre fonti legittime; d) quando tratta dati sanitari nelle procedure e nei fascicoli medici, ma solo per tutelare i diritti delle persone (141); e) ed f) quando svolge audit e ispezioni interni (queste ultime sono effettuate dal DPO); g) ai fini della gestione degli incidenti informatici e delle relazioni sugli incidenti di sicurezza fisica; e h) quando fornisce o riceve assistenza a o da autorità pubbliche competenti, compresi gli Stati contraenti dell’OEB e le organizzazioni internazionali, o quando coopera con loro ad attività definite nei pertinenti accordi sul livello dei servizi, memorandum d’intesa e accordi di cooperazione, su loro richiesta o su iniziativa dell’Ufficio (142).

(54)

La possibilità o meno di applicare una limitazione in un caso specifico deve essere determinata dal titolare del trattamento, nei singoli casi, alla luce delle circostanze pertinenti (143). Nel decidere se applicare o meno una limitazione, il titolare del trattamento deve innanzitutto valutarne la necessità e la proporzionalità nel caso specifico, con il coinvolgimento del DPO (144). Tale valutazione comporta una ponderazione dei rischi potenziali per i diritti e le libertà dell’interessato rispetto ai rischi e alle libertà di altri interessati e ai rischi di ostacolare la finalità e l’esito dell’operazione di trattamento (145). Le limitazioni devono essere documentate, anche registrando la valutazione dei diritti limitati, per quanto tempo, per quali motivi e su quali basi (146). Inoltre, finché si applica una limitazione, devono essere messe in atto misure tecniche e organizzative adeguate (147). Qualsiasi limitazione può essere applicata solo finché ne sussistono i motivi (148). Se un diritto è limitato, il titolare del trattamento deve informare la persona fisica dei principali motivi della limitazione e del diritto di proporre reclamo (149).

(55)

Le disposizioni del trattato costitutivo dell’OEB (vale a dire la CBE) e del TCB e le disposizioni applicabili in virtù di tali trattati (tutte norme di diritto primario dell’OEB) contengono talune prescrizioni specifiche nell’ambito della procedura di rilascio dei brevetti che possono incidere sull’esercizio di determinati diritti ai sensi delle DPR (150). La decisione PGP fornisce una panoramica di tali prescrizioni di diritto primario, spiega in che modo i diritti degli interessati possono essere esercitati in tale contesto e stabilisce chiaramente le possibili deroghe (151). La circolare n. 420 stabilisce che le disposizioni che possono limitare l’applicazione dei diritti alla protezione dei dati devono indicare chiaramente l’ambito di applicazione di qualsiasi esenzione e quindi bilanciare i diversi interessi in gioco (152).

(56)

In primo luogo, ai sensi dell’articolo 127 CBE, l’Ufficio ha l’obbligo di tenere un registro europeo dei brevetti, nel quale sono riportati determinati dati personali giuridicamente definiti. Secondo il diritto primario, le domande di brevetto devono essere pubblicate nel corso della procedura di rilascio dei brevetti, in generale, non appena possibile dopo la scadenza del termine di diciotto mesi dalla data di deposito. La CBE prevede che i dati personali contenuti in tali domande di brevetto possano essere consultati mediante consultazione del fascicolo o del registro (153). Prima della pubblicazione, le domande di brevetto non possono essere consultate senza il consenso esplicito del richiedente. Norme analoghe sono stabilite nel TCB (154).

(57)

In secondo luogo, la possibilità di ottenere modifiche delle informazioni utilizzate nell’ambito di una procedura di rilascio di brevetti è specificamente disciplinata dalla CBE (155). In particolare, la CBE prevede solo la possibilità di ottenere la correzione di errori nei documenti depositati presso l’OEB (156), la correzione di errori nelle decisioni (157), la correzione di traduzioni (158) e la rettifica della designazione dell’inventore (159). La rettifica dei dati personali contenuti nei documenti utilizzati nella procedura di rilascio dei brevetti può quindi essere ottenuta solo in tali casi. Lo stesso vale per la possibilità di ottenere una limitazione del trattamento dei dati (160).

(58)

In terzo luogo, la CBE impone obblighi specifici di conservazione e pubblicazione per taluni documenti utilizzati nella procedura di rilascio dei brevetti, che incidono sulla possibilità di ottenere la cancellazione delle informazioni ivi contenute, compresi i dati personali (161). In particolare, le domande di brevetto pubblicate e le informazioni sui brevetti pubblicate nel bollettino europeo dei brevetti devono essere conservate e messe a disposizione del pubblico (162). Di conseguenza, la cancellazione dei dati personali contenuti in tali documenti sarebbe contraria agli obblighi giuridici fondamentali dell’OEB (articolo 129, lettera a), CBE) e non può essere ottenuta. Altri fascicoli devono essere conservati dall’OEB per un periodo specificato nella CBE, che in linea di principio è di cinque anni (163). Finché si applica tale termine, le informazioni contenute in tali fascicoli (compresi i dati personali) non possono essere cancellate.

(59)

Pertanto, tenuto conto in particolare della loro portata limitata e delle loro condizioni di applicazione, le limitazioni all’esercizio dei diritti derivanti dalle disposizioni di cui ai considerando da 55 a 58 possono essere considerate limitate a quanto necessario e proporzionato per garantire il corretto funzionamento della procedura di rilascio dei brevetti, come richiesto nell’interesse pubblico per l’adempimento dei compiti ufficiali dell’OEB. Nella misura in cui la CBE e il TCB non disciplinano specificamente l’esercizio dei diritti alla protezione dei dati, vale a dire in tutti gli altri scenari diversi da quelli descritti ai considerando da 55 a 58, i requisiti delle DPR si applicano integralmente.

(60)

Il livello di protezione offerto ai dati personali trasferiti dall’Unione all’OEB non deve essere compromesso da ulteriori trasferimenti di tali dati a destinatari che si trovano in un paese terzo o a un’altra organizzazione internazionale.

(61)

Le DPR distinguono tra «trasmissioni di dati personali» (ossia la condivisione di dati da parte dell’OEB con i suoi Stati contraenti) e «trasferimenti di dati personali» (la condivisione di dati da parte dell’OEB con qualsiasi altra persona o entità al di fuori dell’OEB) (164).

(62)

In primo luogo, le DPR stabiliscono che la trasmissione di dati a un ufficio nazionale per la proprietà intellettuale di uno Stato contraente dell’OEB può aver luogo a) se i dati sono necessari all’esercizio della competenza del destinatario o all’esercizio di pubblici poteri e b) se la trasmissione è necessaria per l’esercizio dei compiti ufficiali/dei pubblici poteri dell’OEB (165). Tali trasmissioni si svolgono nell’ambito della procedura di rilascio dei brevetti prevista dalla CBE e dal TCB (166).

(63)

In secondo luogo, le DPR consentono la trasmissione di dati a un’autorità pubblica di uno Stato contraente dell’OEB (167) qualora i dati siano necessari all’adempimento dei compiti di tale autorità pubblica e la trasmissione sia compatibile con i compiti e il funzionamento dell’OEB (168). Tali trasmissioni non sono specificamente richieste dalla CBE o da altri strumenti giuridici che disciplinano la procedura di rilascio dei brevetti, ma possono essere comunque necessarie per lo svolgimento dei compiti dell’OEB, ad esempio la cooperazione dell’OEB con i suoi Stati contraenti attraverso procedure di consultazione; il distacco e l’invio di esperti; o la fornitura di informazioni sul personale dell’OEB ai fini della determinazione delle prestazioni sociali, degli adempimenti fiscali ecc.

(64)

Il DPO ha elaborato clausole tipo da includere nei memorandum d’intesa che disciplinano tali trasmissioni descritte ai considerando 62 e 63, che, tra l’altro, prevedono principi di protezione dei dati, limitano l’ulteriore trattamento solo per finalità compatibili, prevedono diritti degli interessati, nonché obblighi in materia di sicurezza dei dati e violazione dei dati e una vigilanza indipendente (169).

(65)

In entrambi i casi descritti ai considerando 62 e 63, il destinatario, ai sensi delle DPR, deve dimostrare la necessità che i dati siano trasmessi per una finalità specifica derivante dagli obblighi di cooperazione dell’OEB con lo Stato o gli Stati contraenti (170). Per ciascuna trasmissione, il titolare del trattamento deve essere in grado di dimostrare che la trasmissione è necessaria e proporzionata alla finalità specifica per la quale sono condivisi i dati (171). Qualsiasi trasmissione di dati deve essere effettuata in un modo tale da assicurare che il livello di protezione riconosciuto dalle DPR sia mantenuto (172). Secondo gli orientamenti emanati dal DPO, ciò significa che devono essere predisposte garanzie adeguate, anche assicurando che i dati da condividere siano ridotti al minimo e limitati a quanto adeguato, pertinente e strettamente necessario per conseguire tale finalità (173). Se vi è motivo di presumere che gli interessi legittimi della persona interessata possano essere lesi, il titolare del trattamento deve dimostrare che è proporzionato trasmettere i dati personali per tale finalità specifica, dopo aver ponderato i diversi interessi in gioco (174).

(66)

Per quanto riguarda questi due scenari, è altresì importante osservare che tutti gli Stati contraenti dell’OEB sono parte della Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali, soggetta alla giurisdizione della Corte europea dei diritti dell’uomo, nonché della Convenzione del Consiglio d’Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale (STE n. 108).

(67)

Infine le DPR consentono la trasmissione di dati a un responsabile del trattamento situato nello Spazio economico europeo (SEE), a condizione che sia garantita la conformità alle prescrizioni stabilite nelle DPR per il coinvolgimento dei responsabili del trattamento (175).

(68)

La condivisione di dati personali con qualsiasi entità al di fuori dell’OEB diversa da un’autorità pubblica o da un ufficio nazionale per la proprietà intellettuale degli Stati contraenti dell’OEB o da un responsabile del trattamento nel SEE è considerata un «trasferimento» di dati personali, fatte salve le prescrizioni specifiche di cui alle DPR (176). Tali prescrizioni si applicano, ad esempio, alla condivisione dei dati con responsabili del trattamento al di fuori del SEE, titolari del trattamento situati in Stati contraenti o al di fuori di essi, amministrazioni pubbliche di Stati non contraenti e altre organizzazioni internazionali. In generale, le DPR richiedono che il livello di protezione garantito alle persone dall’OEB non sia compromesso quando i dati sono trasferiti a terzi (177). Secondo gli orientamenti del DPO, la «protezione accordata ai dati personali trasferiti nel paese terzo o nell’organizzazione internazionale deve essere sostanzialmente equivalente a quella garantita dalle DPR» (178).

(69)

Ai sensi delle DPR, un trasferimento di dati personali al di fuori dell’OEB può aver luogo innanzitutto se il paese in cui si trova il destinatario, o l’organizzazione internazionale, garantisce un livello di protezione adeguato e se il trasferimento è effettuato unicamente per consentire all’OEB di svolgere compiti di sua competenza (179). Una decisione di adeguatezza è adottata dal Presidente (180), il quale, in caso di dubbio, decide previa consultazione del DPO e del DPB (181). Il DPO ha elaborato «criteri di riferimento per l’adeguatezza» che stabiliscono i criteri per le decisioni di adeguatezza (182). In particolare, il quadro giuridico del paese terzo o dell’organizzazione internazionale deve prevedere i principi fondamentali in materia di protezione dei dati, i diritti degli interessati, le norme sui trasferimenti successivi, i meccanismi procedurali e di applicazione e i mezzi di ricorso per le persone fisiche. Se il Presidente adotta una decisione di adeguatezza, il trasferimento può aver luogo senza l’attuazione di garanzie supplementari (183). Gli Stati membri, nonché la Norvegia, l’Islanda e il Liechtenstein, tutti i paesi che beneficiano di una decisione di adeguatezza della Commissione (184) e le istituzioni e gli organi dell’Unione sono attualmente considerati dall’OEB in grado di fornire un livello di protezione adeguato (185).

(70)

Ai sensi delle DPR, in mancanza di una decisione di adeguatezza, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali a destinatari al di fuori dell’OEB solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi (186). Tali garanzie adeguate possono essere incluse negli accordi amministrativi con le autorità pubbliche o le organizzazioni internazionali, nelle clausole contrattuali (previa consultazione del DPB) (187) o nei meccanismi di certificazione (188). Il DPO ha elaborato una sintesi delle disposizioni da includere negli accordi amministrativi (189). È inoltre disponibile un modello di accordo sulla protezione dei dati per i trasferimenti ai responsabili del trattamento (190). Secondo gli orientamenti del DPO, l’OEB deve valutare se all’importatore di dati sarebbe impedito di adempiere agli obblighi che gli incombono in forza di uno strumento di trasferimento a causa del quadro giuridico cui è soggetto e, se necessario, di misure supplementari (191). Per effettuare tale valutazione, il DPO raccomanda, nella nota sulla trasmissione e il trasferimento, di tenere conto dei pertinenti orientamenti dell’EDPB e del Garante europeo della protezione dei dati (192).

(71)

Ai sensi delle DPR, per i trasferimenti di dati verso paesi o organizzazioni che beneficiano di una decisione di adeguatezza, nonché per i trasferimenti di dati sulla base di garanzie adeguate, l’OEB deve dimostrare la necessità e la proporzionalità di ciascun trasferimento ai fini del trattamento (193). Inoltre, se vi è motivo di ritenere che gli interessi legittimi degli interessati possano subire pregiudizio, l’OEB, dopo aver soppesato i diversi interessi in gioco, deve stabilire che il trasferimento è proporzionato (194). Deve essere altresì garantito (attraverso garanzie contrattuali) che il destinatario possa trattare o utilizzare i dati solo per le finalità per le quali sono stati trasferiti e sia tenuto a cancellarli non appena la finalità è stata raggiunta (195).

(72)

Ai sensi delle DPR, in assenza di una decisione di adeguatezza o di garanzie adeguate, il trasferimento di dati personali al di fuori dell’OEB è consentito «solo in via eccezionale» se si applica una cosiddetta «deroga» a condizioni analoghe a quelle previste dalle corrispondenti disposizioni del diritto dell’Unione in materia di protezione dei dati (196). Ciò si verifica quando a) l’interessato ha esplicitamente acconsentito al trasferimento (197); b) e c) il trasferimento è occasionale e necessario all’esecuzione di un contratto concluso con l’interessato o nel suo interesse (ovvero all’esecuzione di misure precontrattuali su istanza dell’interessato) (198); d) il trasferimento è necessario all’esecuzione di un compito nell’esercizio delle attività ufficiali dell’OEB o nell’esercizio legittimo dei poteri di cui è investito il titolare del trattamento (199); e) il trasferimento è occasionale e necessario per accertare, esercitare o difendere un diritto in sede giudiziaria (200); f) il trasferimento è necessario per tutelare un interesse vitale di una persona, qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso (201); o g) il trasferimento avviene a partire da un registro predisposto per l’informazione del pubblico e aperto alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo, nella misura in cui nel caso specifico siano rispettate le condizioni previste per tale consultazione (202). Per sua natura, e secondo gli orientamenti del DPO, tali deroghe non possono essere invocate per trasferimenti sistematici e regolari (203).

(73)

Infine, per quanto riguarda i trasferimenti di specifiche categorie di dati a paesi o organizzazioni che non beneficiano di una decisione di adeguatezza, il Presidente può limitare ulteriormente tali trasferimenti per importanti motivi connessi all’esercizio legittimo dei pubblici poteri di cui è investito l’Ufficio (204). Finora il Presidente non si è avvalso di tali poteri.

(74)

Secondo il principio di responsabilizzazione, i soggetti che trattano dati sono tenuti a mettere in atto misure tecniche e organizzative adeguate per rispettare efficacemente i loro obblighi in materia di protezione dei dati e per essere in grado di dimostrare tale rispetto, in particolare all’autorità di controllo competente.

(75)

L’articolo 4, paragrafo 1, DPR stabilisce un principio generale di responsabilizzazione, precisando che il titolare del trattamento è responsabile del rispetto delle DPR e deve essere in grado di dimostrarlo. In particolare, il titolare del trattamento deve mettere in atto misure tecniche e organizzative adeguate per garantire ed essere in grado di dimostrare il rispetto delle norme, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché della probabilità e gravità diverse di eventuali rischi per i diritti delle persone fisiche (205). A tale riguardo, le DPR attuano anche i principi della tutela della vita privata fin dalla progettazione e per impostazione predefinita, imponendo al titolare del trattamento di attuare misure volte ad attuare i principi di protezione dei dati e a garantire il rispetto delle DPR, nonché a garantire che, per impostazione predefinita, siano trattati solo i dati personali necessari per ciascuna specifica finalità del trattamento (206).

(76)

Il titolare del trattamento e i responsabili del trattamento devono tenere un registro delle attività di trattamento contenente, tra l’altro, informazioni sulla finalità del trattamento, sulle categorie di dati trattati, sulle categorie di destinatari cui sono comunicati i dati e su eventuali trasferimenti di dati personali (207). Tali registrazioni sono, in linea di principio, accessibili al pubblico (a meno che non contengano informazioni riservate) e incluse in un registro per la protezione dei dati accessibile al pubblico e devono essere messe a disposizione del DPB su richiesta (208). Ciascuna unità operativa deve inoltre nominare almeno una persona di collegamento per la protezione dei dati (con un mandato rinnovabile da uno a tre anni), che deve seguire una formazione obbligatoria in materia di protezione dei dati e assistere il titolare del trattamento nell’adempimento dei propri obblighi (209).

(77)

Infine le DPR forniscono diversi strumenti che possono assistere il titolare del trattamento e i responsabili del trattamento nei loro sforzi di conformità. Ad esempio, ai sensi delle DPR, l’adesione a meccanismi di certificazione approvati può fungere da prova del rispetto degli obblighi delle DPR (210). Inoltre, a determinate condizioni, le DPR richiedono lo svolgimento di una valutazione d’impatto sulla protezione dei dati o una consultazione preliminare del DPO e del DPB. Una valutazione d’impatto sulla protezione dei dati è richiesta quando un tipo di trattamento può comportare un rischio elevato per i diritti e le libertà di una persona (211). Ciò si verifica, ad esempio, nel caso di una valutazione sistematica e approfondita degli aspetti personali su cui si basano le decisioni automatizzate o nel caso di un trattamento su larga scala di categorie particolari di dati (212). Se una valutazione d’impatto indica che il trattamento comporterebbe un rischio elevato per i diritti e le libertà delle persone e che il rischio non può essere attenuato da misure di sicurezza ragionevoli, il titolare del trattamento deve consultare il DPB (213). Il DPB deve fornire un parere scritto se ritiene che il trattamento previsto violi le DPR (214). Più in generale, il titolare del trattamento è tenuto a consultare il DPO quando elabora norme o documenti operativi sull’attuazione delle limitazioni ai diritti individuali (215).

(78)

Al fine di garantire un livello di protezione adeguato dei dati nella pratica, dovrebbe esistere un’autorità di controllo indipendente cui siano conferiti i poteri di monitorare e assicurare il rispetto delle norme in materia di protezione dei dati. Tale autorità dovrebbe agire in piena indipendenza e imparzialità nell’esercizio delle sue funzioni e dei suoi poteri.

(79)

Il quadro giuridico dell’OEB affida a due organismi il controllo del rispetto delle norme in materia di protezione dei dati da parte dell’Organizzazione: il DPO e il DPB. Entrambi gli organismi sono istituiti dall’articolo 32 bis dello statuto, mentre il loro status e i loro poteri sono ulteriormente specificati nelle DPR (216). I loro ruoli sono complementari e implicano la cooperazione, ma ogni organismo rimane indipendente nelle proprie funzioni.

(80)

Ai sensi dello statuto, il DPO e il DPB agiscono in piena indipendenza da qualsiasi interferenza interna o esterna nello svolgimento dei loro compiti e nell’esercizio dei loro poteri (217). Tale principio è integrato da diverse garanzie supplementari che assicurano la loro indipendenza.

(81)

Il DPO (e i suoi vice) sono nominati dal Presidente sulla base delle loro qualifiche professionali e, in particolare, della loro conoscenza specialistica della legislazione e delle prassi in materia di protezione dei dati (218). Il DPO è nominato per un mandato rinnovabile da tre a cinque anni. Il DPB è consultato prima di qualsiasi proposta di destituzione o rimozione del DPO dal suo ruolo (219). Tale consultazione preliminare prima della destituzione o della rimozione del DPO è intesa a garantire un ulteriore controllo e riesame in caso di proposta di destituzione o di rimozione. La destituzione o rimozione può essere proposta per uno dei motivi seguenti (220): se il DPO non soddisfa più le condizioni richieste per l’esercizio delle funzioni (221); per insufficienza professionale (222); o a seguito di provvedimenti disciplinari (223). Le DPR stabiliscono inoltre che il DPO non può essere destituito o sanzionato per aver svolto i suoi compiti e non può ricevere istruzioni (224). Il DPO deve essere coinvolto in tutte le questioni relative alla protezione dei dati personali e presenta relazioni annuali di attività al Presidente e al Consiglio d’amministrazione (225). L’Ufficio deve fornire al DPO le risorse necessarie per lo svolgimento dei suoi compiti (226).

(82)

Il DPB è composto da tre esperti esterni nel settore della protezione dei dati, vale a dire un presidente e altri due membri (227), nonché un supplente, nominati dal Presidente dell’OEB per un mandato rinnovabile di tre anni (228). I membri del DPB devono possedere le qualifiche richieste per l’esercizio di funzioni giurisdizionali o essere professionisti della protezione dei dati con competenze ed esperienza comprovate nel settore del diritto in materia di protezione dei dati acquisite a livello nazionale o internazionale. Non possono essere dipendenti dell’OEB o essere stati impiegati presso quest’ultima negli ultimi dieci anni (229). Ai sensi dell’articolo 48, paragrafo 6, DPR, i membri del DPB sono completamente indipendenti nell’esercizio delle loro funzioni. In particolare, non possono chiedere istruzioni all’Ufficio o al Consiglio d’amministrazione e non possono essere vincolati da tali istruzioni. Il regolamento interno del DPB prevede altresì che il DPB debba agire in modo imparziale e in piena indipendenza nello svolgimento dei suoi compiti (230). Inoltre l’OEB può destituire i membri del DPB solo per gravi motivi (231). I membri del DPB sono vincolati da un obbligo di riservatezza (232) e devono astenersi dall’agire nel caso in cui abbiano un conflitto di interessi, in particolare un interesse personale (233). L’OEB è tenuta a sostenere il DPB nello svolgimento dei suoi compiti fornendo a quest’ultimo le risorse necessarie, nonché sostegno giuridico e amministrativo (tramite una segreteria e accordando al DPB l’accesso ai dati personali e alle operazioni di trattamento) (234).

(83)

I compiti del DPO comprendono quanto segue: informare il titolare del trattamento o i responsabili del trattamento dei loro obblighi e consigliarli di conseguenza; sensibilizzare e formare il personale coinvolto nelle operazioni di trattamento; garantire che gli interessati siano informati dei propri diritti ai sensi delle DPR; e monitorare in modo indipendente l’applicazione interna e il rispetto delle DPR, nonché di altre disposizioni giuridiche dell’OEB aventi implicazioni in materia di protezione dei dati (235). Gli interessati possono contattare il DPO per qualsiasi questione relativa al trattamento dei loro dati o all’esercizio dei loro diritti (236), e il titolare del trattamento e i responsabili del trattamento possono consultare il DPO su qualsiasi questione relativa all’interpretazione e all’applicazione delle DPR (237).

(84)

Nell’ambito del suo ruolo di controllo, il DPO ha il potere di effettuare audit e indagini sulla protezione dei dati (238). Gli audit sono avviati dal DPO conformemente a un piano di audit annuale preparato in consultazione con il DPB (239). Un audit si concentra sulla valutazione delle registrazioni, delle dichiarazioni e della documentazione pertinente in materia di protezione dei dati, ad esempio per verificare l’esattezza e la completezza della documentazione, la corretta applicazione delle metodologie di gestione dei rischi, l’esattezza e la tempestività delle risposte agli interessati o il corretto svolgimento delle valutazioni d’impatto sulla protezione dei dati e il loro numero (240). Secondo le informazioni trasmesse alla Commissione dal DPO, sono stati effettuati tre audit nel 2023 e quattro nel 2024. Un’indagine può essere avviata dal DPO di propria iniziativa, sulla base di una richiesta ricevuta dal DPB o da un organismo all’interno dell’OEB (ad esempio il Presidente o un titolare del trattamento delegato) o sulla base di informazioni ricevute in altro modo (anche, ad esempio, da terzi e persone fisiche) (241). Le indagini richieste dal DPB sono condotte dal DPO in maniera indipendente. Il DPB può formulare osservazioni e/o richiedere un’indagine supplementare su eventuali questioni che potrebbero emergere (242). Le ispezioni si concentrano sulle operazioni di trattamento o su aspetti particolari delle stesse o su eventi ad esse connessi, al fine di garantire che il trattamento in questione soddisfi le prescrizioni delle DPR e di garantire la tutela dei diritti e delle libertà degli interessati (243).

(85)

Il DPO ha accesso a tutte le informazioni pertinenti, compresi i dati personali trattati, nonché a tutti gli uffici, alle installazioni per il trattamento dei dati e ai supporti di dati (244). Tutti i dipendenti e le unità operative dell’OEB sono tenuti ad assistere il DPO nell’esercizio delle sue funzioni, anche fornendo accesso ai locali e alle informazioni pertinenti (245).

(86)

Alla conclusione di un audit o di un’indagine, il DPO adotta una relazione in cui espone le risultanze, le conclusioni e le misure correttive raccomandate (246). Tali misure possono comprendere, ad esempio, misure preventive o di attenuazione volte a migliorare il rispetto delle norme, nonché misure per porre rimedio alla non conformità (ad esempio per rendere il trattamento conforme alle DPR, trattare le richieste degli interessati di esercitare i loro diritti, sospendere o cessare un trattamento ecc.) (247). Il DPO può inoltre portare all’attenzione dell’autorità competente che ha il potere di nomina le violazioni delle DPR da parte dei dipendenti e raccomandare l’avvio di un’indagine amministrativa per stabilire se sia necessario un intervento disciplinare o di altro tipo (248). Qualsiasi dipendente che non rispetti le DPR, intenzionalmente o per negligenza, è passibile di sanzioni disciplinari o di altre azioni ai sensi dello statuto (249).

(87)

L’esito degli audit e delle indagini deve essere comunicato al DPB (250). La relazione di audit o d’indagine deve essere condivisa con il DPB su richiesta. Il DPB è autorizzato a presentare osservazioni sulla relazione del DPO, anche per quanto riguarda le risultanze del DPO in merito all’esistenza o meno di una violazione delle DPR e le misure correttive proposte, e può chiedere ulteriori atti d’indagine (251). Se un audit o un’ispezione del DPO porta a concludere che vi è stata una non conformità (vale a dire una violazione delle DPR), la relazione del DPO deve essere trasmessa al DPB per convalida delle conclusioni e delle misure correttive raccomandate. Qualora non concordi con le conclusioni o le misure correttive raccomandate dal DPO, il DPB gli comunica le proprie osservazioni, anche per modificare le conclusioni proposte e le misure correttive raccomandate, e il DPO dovrebbe attuarle di conseguenza. Le misure correttive convalidate dal DPB sono vincolanti per il titolare del trattamento e i titolari del trattamento delegati e possono essere invocate dalle persone fisiche prima dei meccanismi di ricorso di cui al considerando 95 (252). Il DPO deve verificare l’attuazione delle misure correttive (in linea di principio sei mesi dopo la loro comunicazione) e riferire annualmente al Presidente in merito allo stato di attuazione (253).

(88)

Oltre al ruolo di garantire il rispetto delle DPR, altri compiti del DPB comprendono la consulenza al Presidente in merito all’adozione di decisioni di adeguatezza, la consulenza al titolare del trattamento sulla necessità di effettuare una valutazione d’impatto sulla protezione dei dati e l’esame dei reclami delle persone fisiche (cfr. considerando da 92 a 96) (254).

(89)

Al fine di garantire una protezione adeguata e, in particolare, il rispetto dei diritti individuali, l’interessato dovrebbe avere a disposizione mezzi di ricorso efficaci, compreso il risarcimento dei danni.

(90)

Il quadro giuridico dell’OEB offre mezzi di ricorso alle persone fisiche attraverso una combinazione di diverse vie.

(91)

In primo luogo, gli interessati che ritengono che il trattamento dei loro dati personali da parte dell’OEB violi i loro diritti (ossia violi le DPR) possono presentare una domanda di riesame da parte del titolare del trattamento delegato conformemente all’articolo 49 DPR. Il titolare del trattamento delegato riesamina il reclamo e adotta una decisione (255). Prima di adottare una decisione, il titolare del trattamento delegato deve consultare il DPO, il quale fornisce un parere scritto entro quindici giorni di calendario dal ricevimento della domanda di riesame (256). Il titolare del trattamento delegato deve rispondere alla persona fisica entro un mese dalla data di ricevimento della richiesta (257). La decisione deve essere comunicata alla persona fisica, unitamente a informazioni sulla possibilità di un ulteriore ricorso (258). Se il titolare del trattamento delegato non intraprende alcuna azione entro tre mesi, si considera che la richiesta sia implicitamente rigettata.

(92)

In secondo luogo, le persone fisiche possono contestare una decisione o il rigetto implicito di una domanda di riesame da parte del titolare del trattamento delegato presentando un reclamo al DPB (259).

(93)

Nell’esaminare un reclamo, il DPB deve invitare l’interessato, il titolare del trattamento e, se del caso, il responsabile del trattamento a esporre per iscritto la propria posizione sulle asserzioni e sui fatti in questione e a fornire prove o osservazioni e argomentazioni sulle prove disponibili (260). In tale contesto, il DPB può chiedere alle parti tutte le informazioni di cui ha bisogno per trattare il reclamo e può inoltre ottenere ulteriori informazioni tramite il DPO (261). Nel decidere sul seguito da dare a un reclamo, il DPB deve tener conto, tra l’altro, della natura e della gravità della presunta violazione, del numero di interessati coinvolti, delle categorie di dati interessate e della durata della violazione (262). Il DPB può invitare le parti a cercare una composizione amichevole e incoraggia e facilita attivamente una tale composizione (263). Il reclamante può inoltre chiedere al DPB di applicare una procedura d’urgenza per motivi di gravità della presunta violazione o a causa della gravità del rischio imposto ai diritti delle persone fisiche (264).

(94)

Dopo aver esaminato un reclamo, il DPB invia un parere motivato al titolare del trattamento, che include un’esposizione dei fatti, le principali argomentazioni delle parti, le considerazioni del DPB e le sue raccomandazioni (265). In caso di procedura d’urgenza, il DPB deve formalmente emettere un parere motivato entro due mesi dalla presentazione del reclamo (266). Nel parere motivato il DPB può formulare tutte le raccomandazioni che ritiene necessarie, tra cui provvedimenti ingiuntivi (ad esempio per la cessazione del trattamento illecito dei dati o la cancellazione di dati trattati illecitamente) e risarcimento dei danni materiali o immateriali (267). Il parere motivato deve essere comunicato all’interessato e al titolare del trattamento (ossia al Presidente dell’Ufficio, al Presidente delle commissioni di ricorso, al Presidente del Consiglio d’amministrazione o al Presidente del Comitato ristretto, a seconda che il reclamo riguardi l’Ufficio, le commissioni di ricorso, il Consiglio o il Comitato ristretto). Il titolare del trattamento prende poi una decisione vincolante definitiva, facendo seguito al parere motivato del DPB (268). La decisione definitiva è comunicata all’interessato, al DPB e al DPO (269). Se decide di non seguire uno o più aspetti del parere motivato, il titolare del trattamento ne spiega per iscritto i motivi nella decisione (270).

(95)

L’interessato che non sia soddisfatto della decisione del titolare del trattamento può impugnarla ulteriormente, facendo riferimento, nell’atto di impugnazione, al parere motivato del DPB. I dipendenti dell’OEB possono impugnare la decisione dinanzi al tribunale amministrativo dell’Organizzazione internazionale del lavoro (271). Qualsiasi altro interessato che non sia d’accordo con la decisione del titolare del trattamento può presentare al Presidente una domanda di arbitrato ad hoc entro tre mesi dal ricevimento della decisione (272). Le DPR prevedono una procedura specifica da seguire in caso di arbitrato ad hoc (273). In particolare, entro tre mesi dal ricevimento della domanda dell’interessato, il Segretario generale della Corte permanente di arbitrato deve nominare un arbitro sulla base dei criteri stabiliti nelle DPR (274). L’arbitro deve avere una formazione di giurista, essere abilitato a esercitare la professione forense in uno degli Stati contraenti dell’OEB, essere in grado di dimostrare competenze pertinenti in materia di protezione dei dati e conoscere il diritto che disciplina le organizzazioni internazionali (275). Oltre a soddisfare tali criteri, possono essere nominate solo persone che non hanno lavorato per l’OEB o per l’interessato o al loro servizio. Le DPR prevedono che l’arbitro debba agire in modo indipendente e imparziale (276), trattare ciascuna parte su un piano di parità e dare alle parti la possibilità di far valere le rispettive ragioni in ogni fase del procedimento (277). I procedimenti arbitrali non sono pubblici (278) e sono disciplinati dalla CBE, dalle DPR, compresa qualsiasi normativa di attuazione, dal diritto delle organizzazioni internazionali e dai principi del diritto internazionale pubblico (279). Ciascuna parte deve sostenere i propri costi e le proprie spese di rappresentanza legale (salvo decisione contraria dell’arbitro), mentre gli onorari e le spese dell’arbitro, nonché le spese per eventuali pareri di esperti e testimoni sono a carico dell’OEB (280). La transazione deve essere conclusa sotto forma di lodo arbitrale scritto con una formulazione concordata, definitiva e vincolante (281).

(96)

Chiunque abbia subito un danno a seguito di una violazione delle DPR può chiedere un risarcimento all’OEB utilizzando le procedure descritte ai considerando da 91 a 95 (282). L’OEB non sarà ritenuta responsabile se dimostra di non essere all’origine dell’evento che ha causato il danno.

(97)

Il quadro giuridico nell’ambito del quale l’OEB valuta le richieste delle autorità pubbliche, nei suoi Stati contraenti e nei paesi terzi, in merito ai dati personali trattati dall’OEB e risponde ad esse deriva dal documento dell’OEB «Protocol on Privileges and Immunities» (PPI) (283), dalle prescrizioni delle DPR in materia di trasmissione e trasferimento di dati personali e dal diritto internazionale pubblico.

(98)

In primo luogo, il trattamento dei dati personali da parte dell’OEB ai fini delle sue attività ufficiali è coperto dalle immunità dell’Organizzazione. Le immunità dell’OEB sono integrate dal dovere di cooperazione di cui all’articolo 20 PPI. Di conseguenza, qualsiasi richiesta di un’autorità pubblica di uno Stato contraente di ottenere dati trattati dall’OEB deve essere valutata dal Presidente in conformità del PPI (articolo 20, paragrafo 1), il quale stabilisce che l’Organizzazione «coopera in qualsiasi momento con le autorità competenti degli Stati contraenti al fine di agevolare la corretta amministrazione della giustizia, garantire il rispetto dei regolamenti di polizia, dei regolamenti in materia di sanità pubblica e ispezione del lavoro o di altre normative nazionali analoghe, e prevenire qualsiasi abuso dei privilegi, delle immunità e delle agevolazioni previsti dal presente protocollo». In via eccezionale, l’Organizzazione può rinunciare alla propria immunità di giurisdizione ed esecuzione (284). Nel decidere in merito a una richiesta di cooperazione, il Presidente esercita un potere discrezionale e valuta se la richiesta rispetta il quadro giuridico dell’Organizzazione (285). La conclusione può essere che l’Ufficio può rispondere a una richiesta ai sensi del PPI ed è autorizzato a divulgare dati personali solo nel rispetto delle prescrizioni in materia di trasmissione dei dati previste dalle DPR (cfr. considerando da 62 a 67). Ai sensi delle DPR, il destinatario deve dimostrare la necessità che i dati siano trasmessi per una finalità specifica derivante dagli obblighi di cooperazione dell’OEB con lo Stato o gli Stati contraenti (286). Per ciascuna trasmissione, il titolare del trattamento deve essere in grado di dimostrare che la trasmissione è necessaria e proporzionata alla finalità specifica per la quale è effettuata (287). Qualsiasi trasmissione di dati deve essere effettuata in un modo tale da assicurare che il livello di protezione riconosciuto dalle DPR sia mantenuto (288). Secondo gli orientamenti emanati dal DPO, ciò significa che devono essere predisposte garanzie adeguate, anche assicurando che i dati da condividere siano ridotti al minimo e limitati a quanto adeguato, pertinente e strettamente necessario per conseguire tale finalità (289). Se vi è motivo di presumere che i diritti e le libertà della persona interessata possano essere lesi, il titolare del trattamento deve dimostrare che è proporzionato trasmettere i dati personali per tale finalità specifica, dopo aver ponderato i diversi interessi in gioco (290).

(99)

In secondo luogo, non esiste uno strumento giuridico applicabile all’OEB che disciplini specificamente il trattamento delle richieste delle autorità pubbliche di paesi terzi (vale a dire che non sono parti contraenti dell’OEB) di ottenere dati trattati dalla stessa. Di conseguenza, qualsiasi divulgazione in risposta a una tale richiesta può aver luogo solo se sono soddisfatte le prescrizioni per i trasferimenti internazionali di dati ai sensi delle DPR (come descritto ai considerando da 68 a 73). Ciò avverrebbe solo se per il paese interessato è stata adottata una decisione di adeguatezza che copra il trasferimento, se esistono garanzie adeguate o se si applica una deroga.

(100)

Il rispetto del PPI da parte del Presidente, compreso il modo in cui sono state trattate le richieste di cooperazione da parte delle autorità pubbliche, è soggetto al controllo del Consiglio d’amministrazione, mentre il rispetto delle prescrizioni in materia di trasmissione e trasferimento di dati personali nelle DPR è soggetto al controllo del DPO e del DPB, come descritto ai considerando da 84 a 88. Le persone fisiche possono avvalersi delle vie di ricorso descritte nei considerando da 90 a 96 per quanto riguarda le trasmissioni o i trasferimenti dei loro dati personali in violazione delle DPR.

(101)

La Commissione ritiene che l’OEB garantisca un livello di protezione dei dati personali trasferiti dall’Unione sostanzialmente equivalente a quello garantito dal regolamento (UE) 2016/679.

(102)

Sulla base delle risultanze della presente decisione, è opportuno decidere che l’OEB garantisce un livello di protezione adeguato ai sensi dell’articolo 45 del regolamento (UE) 2016/679, interpretato alla luce della Carta dei diritti fondamentali dell’Unione europea, per i dati personali trasferiti dall’Unione all’OEB.

(103)

Gli Stati membri e i loro organi sono tenuti ad adottare le misure necessarie per conformarsi agli atti delle istituzioni dell’Unione, che si presumono legittimi e producono pertanto effetti giuridici finché non siano stati revocati o annullati nel contesto di un ricorso per annullamento ovvero dichiarati invalidi a seguito di un rinvio pregiudiziale o di un’eccezione di illegittimità.

(104)

Di conseguenza, una decisione di adeguatezza adottata dalla Commissione a norma dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 è vincolante per tutti gli organi degli Stati membri che ne sono i destinatari, comprese le autorità di controllo indipendenti. In particolare i trasferimenti da un titolare del trattamento o un responsabile del trattamento nell’Unione verso l’OEB possono avvenire senza la necessità di ottenere ulteriori autorizzazioni.

(105)

È opportuno ricordare che, ai sensi dell’articolo 58, paragrafo 5, del regolamento (UE) 2016/679, e come spiegato dalla Corte di giustizia nella causa C-362/14 (291), quando un’autorità nazionale di protezione dei dati mette in dubbio, anche in seguito a un reclamo, la compatibilità di una decisione di adeguatezza della Commissione con i diritti fondamentali della persona fisica concernenti la tutela della vita privata e la protezione dei dati, il diritto nazionale deve prevedere mezzi di ricorso che consentano di far valere tali obiezioni dinanzi a un organo giurisdizionale nazionale, che può essere tenuto a effettuare un rinvio pregiudiziale alla Corte di giustizia.

(106)

Secondo la giurisprudenza della Corte di giustizia, e ai sensi dell’articolo 45, paragrafo 4, del regolamento (UE) 2016/679, la Commissione dovrebbe monitorare costantemente gli sviluppi nel paese terzo o nell’organizzazione internazionale registrati dopo l’adozione di una decisione di adeguatezza, al fine di valutare se tale paese terzo o organizzazione continui a garantire un livello di protezione sostanzialmente equivalente. Tale verifica è in ogni caso obbligatoria quando la Commissione riceve informazioni che fanno sorgere un dubbio giustificato al riguardo.

(107)

La Commissione dovrebbe pertanto controllare su base continuativa la situazione nell’OEB per quanto riguarda il quadro giuridico e la prassi effettiva del trattamento dei dati personali valutati dalla presente decisione. Per agevolare tale processo, l’OEB dovrebbe essere invitata a informare la Commissione degli sviluppi sostanziali rilevanti ai fini della presente decisione, per quanto concerne il trattamento dei dati personali nonché le limitazioni e le garanzie applicabili all’accesso ai dati personali da parte delle autorità pubbliche.

(108)

Inoltre, al fine di consentire alla Commissione di svolgere in modo efficace la propria funzione di monitoraggio, gli Stati membri dovrebbero informarla delle eventuali azioni intraprese dalle autorità nazionali di protezione dei dati, in particolare per quanto riguarda eventuali domande o reclami presentati da interessati dell’Unione relativamente al trasferimento di dati personali dall’Unione verso l’OEB.

(109)

In applicazione dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 e alla luce del fatto che il livello di protezione assicurato dal quadro giuridico dell’OEB può evolversi, la Commissione, successivamente all’adozione della presente decisione, dovrebbe riesaminare periodicamente se le constatazioni relative al livello di protezione assicurato dall’OEB continuino ad essere giustificate in fatto e in diritto. Tali valutazioni dovrebbero aver luogo almeno ogni quattro anni e dovrebbero riguardare tutti gli aspetti del funzionamento della presente decisione, compreso il funzionamento dei pertinenti meccanismi di controllo e applicazione.

(110)

Per effettuare il riesame, la Commissione dovrebbe incontrare l’OEB, compresi il DPO e il DPB. A tale riunione dovrebbero poter partecipare i rappresentanti dei membri del comitato europeo per la protezione dei dati. Nel quadro del riesame la Commissione dovrebbe chiedere all’OEB di fornire informazioni complete su tutti gli aspetti pertinenti alla constatazione di adeguatezza. La Commissione dovrebbe inoltre chiedere delucidazioni in merito a qualsiasi informazione ricevuta risultata pertinente ai fini della presente decisione, compreso dall’EDPB, dalle singole autorità di protezione dei dati e dai gruppi della società civile, da relazioni pubbliche o dalle notizie diffuse dai mezzi di comunicazione o da qualsiasi altra fonte di informazioni disponibile.

(111)

La Commissione dovrebbe elaborare, sulla base del riesame, una relazione pubblica da presentare al Parlamento europeo e al Consiglio.

(112)

Se dalle informazioni disponibili, in particolare da quelle risultanti dal monitoraggio da parte della Commissione degli sviluppi che potrebbero incidere sul funzionamento della presente decisione ai sensi dell’articolo 45, paragrafo 4, del regolamento (UE) 2016/679 o fornite dall’OEB o dalle autorità degli Stati membri, risulta che il livello di protezione offerto dall’OEB potrebbe non essere più adeguato, la Commissione dovrebbe informarne l’OEB e richiedere che adotti misure adeguate entro un periodo di tempo specificato e ragionevole.

(113)

Laddove alla scadenza di tale periodo di tempo specificato l’OEB non abbia adottato tali misure o non dimostri altrimenti in modo soddisfacente che la presente decisione continua ad essere basata su un livello di protezione adeguato, la Commissione avvierà la procedura di cui all’articolo 93, paragrafo 2, del regolamento (UE) 2016/679 al fine di sospendere o abrogare parzialmente o completamente la presente decisione.

(114)

In alternativa, la Commissione avvierà tale procedura al fine di modificare la presente decisione, in particolare imponendo ulteriori condizioni per i trasferimenti di dati o limitando il riconoscimento dell’adeguatezza soltanto ai trasferimenti di dati per cui continua ad essere garantito un livello di protezione adeguato.

(115)

La Commissione dovrebbe inoltre valutare l’opportunità di avviare la procedura di modifica, sospensione o abrogazione della presente decisione se, nel contesto del riesame o in altro contesto, l’OEB non fornisce le informazioni o i chiarimenti necessari alla valutazione del livello di protezione offerto ai dati personali trasferiti dall’Unione o per quanto concerne la conformità alla presente decisione. A tale riguardo, la Commissione dovrebbe tener conto della misura in cui le informazioni pertinenti possono essere ottenute da altre fonti.

(116)

In ragione di motivi imperativi d’urgenza debitamente giustificati, la Commissione farà ricorso alla possibilità di adottare, conformemente alla procedura di cui all’articolo 93, paragrafo 3, del regolamento (UE) 2016/679, atti di esecuzione immediatamente applicabili destinati a sospendere, abrogare o modificare la presente decisione.

(117)

Il comitato europeo per la protezione dei dati ha pubblicato il proprio parere (292), del quale si è tenuto conto nell’elaborazione della presente decisione.

(118)

Le misure di cui alla presente decisione sono conformi al parere del comitato istituito a norma dell’articolo 93, paragrafo 1, del regolamento (UE) 2016/679,