1.   Gli Stati membri adottano e pubblicano, entro il 13 maggio 2020, le disposizioni legislative, regolamentari e amministrative necessarie per conformarsi alla presente direttiva. Essi comunicano immediatamente alla Commissione il testo di tali disposizioni.

Essi applicano tali disposizioni a decorrere dal 13 giugno 2020.

Le disposizioni adottate dagli Stati membri contengono un riferimento alla presente direttiva o sono corredate di tale riferimento all'atto della pubblicazione ufficiale. Le modalità del riferimento sono stabilite dagli Stati membri.

2.   Gli Stati membri comunicano alla Commissione il testo delle disposizioni fondamentali di diritto interno che adottano nel settore disciplinato dalla presente direttiva.

«1.1.   Unità SI di base

Le definizioni delle unità SI di base sono le seguenti:

1.1.1.   Nome e simbolo speciali dell'unità derivata SI di temperatura per esprimere la temperatura in gradi Celsius

La temperatura Celsius t è definita dalla differenza t = T – T 0 tra due temperature termodinamiche T e T 0, dove T 0 = 273,15 K. Un intervallo o una differenza di temperatura possono essere espressi in kelvin o in gradi Celsius. L'unità “grado Celsius” è uguale all'unità “kelvin”.»

1.   La presente decisione stabilisce le norme relative alle condizioni alle quali l'Agenzia, nel quadro delle sue procedure stabilite al paragrafo 2, può limitare l'applicazione dei diritti sanciti negli articoli da 14 a 21, 35 e 36, nonché nell'articolo 4 in base all'articolo 25 del regolamento (UE) 2018/1725.

2.   Nel quadro del funzionamento amministrativo dell'Agenzia, tale decisione si applica ai trattamenti dei dati personali svolti dall'Autorità ai fini di condurre indagini amministrative, procedimenti disciplinari, attività preliminari riguardanti casi di potenziali irregolarità segnalate all'OLAF, trattare denunce di irregolarità, procedure (formali e informali) di prevenzione delle molestie, reclami interni ed esterni, effettuare audit interni, indagini svolte dal responsabile della protezione dei dati, conformemente all'articolo 45, paragrafo 2, del regolamento (UE) 2018/1725, e indagini sulla sicurezza (IT) gestite internamente o mediante intervento esterno (ad esempio CERT-EU).

3.   Le categorie di dati interessate sono i dati controllati (dati «oggettivi» quali dati d'identificazione, recapiti, dati professionali, dettagli amministrativi, dati ricevuti da fonti specifiche, comunicazioni elettroniche e dati sul traffico) e/o i dati non controllati (dati «soggettivi» riguardanti il caso, quali motivazione, dati comportamentali, valutazioni, dati su comportamenti e prestazioni e dati relativi o presentati in relazione all'oggetto del procedimento o dell'attività).

4.   Quando esercita le sue funzioni con riguardo ai diritti degli interessati ai sensi del regolamento (UE) 2018/1725, l'Agenzia valuta se sia applicabile una delle deroghe previste in tale regolamento.

5.   Fatte salve le condizioni stabilite in questa decisione, le limitazioni si possono applicare ai seguenti diritti: comunicazione di informazioni agli interessati, diritto di accesso, rettifica, cancellazione, limitazione del trattamento, comunicazione di una violazione dei dati personali all'interessato o riservatezza delle comunicazioni.

1.   Le garanzie predisposte per prevenire violazioni, sottrazioni di dati o divulgazioni non autorizzate sono le seguenti:

2.   Il titolare del trattamento è l'Agenzia, rappresentata dal suo direttore esecutivo, il quale può delegare la funzione di titolare. Gli interessati sono informati dei titolari del trattamento delegati attraverso comunicazioni sulla protezione dei dati o registri pubblicati nel sito Internet e/o sull'intranet dell'Agenzia.

3.   Il periodo di conservazione dei dati personali di cui all'articolo 1, paragrafo 3, non deve essere più lungo di quanto necessario e opportuno per le finalità del trattamento. In ogni caso, non deve superare il periodo di conservazione specificato nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy o nei registri di cui all'articolo 5, paragrafo 1.

4.   Qualora l'Agenzia consideri di applicare una limitazione, si valuta il rischio per i diritti e le libertà dell'interessato, in particolare, rispetto al rischio per i diritti e le libertà degli altri interessati e al rischio di pregiudicare l'efficacia delle indagini o delle procedure dell'Agenzia, ad esempio, distruggendo gli elementi di prova. I rischi per i diritti e le libertà dell'interessato riguardano principalmente, ma non esclusivamente, i rischi legati alla reputazione e i rischi per il diritto di difesa e al contraddittorio.

1.   Eventuali limitazioni sono applicate dall'Agenzia esclusivamente per salvaguardare:

2.   Come applicazione specifica delle finalità descritte nel precedente paragrafo 1, l'Agenzia può applicare limitazioni riguardanti i dati personali scambiati con i servizi della Commissione o altre istituzioni, organi e organismi dell'Unione, autorità competenti degli Stati membri o paesi terzi o organizzazioni internazionali nei seguenti casi:

Prima di applicare limitazioni nei casi di cui al primo comma, lettere a) e b), l'Agenzia consulta i servizi della Commissione, le istituzioni, gli organi, e gli organismi pertinenti dell'Unione o le autorità competenti degli Stati membri, a meno che all'Agenzia non risulti evidente che l'applicazione di una limitazione è prevista in virtù di uno dei motivi di cui alle citate lettere.

3.   Le eventuali limitazioni sono necessarie e proporzionate tenuto conto dei rischi per i diritti e le libertà degli interessati e rispettano l'essenza dei diritti e delle libertà fondamentali in una società democratica.

4.   Se si considera l'applicazione di limitazioni, si effettua una verifica della necessità e della proporzionalità sulla base delle presenti regole. Tale procedura è documentata in ogni caso mediante una nota di valutazione interna.

5.   Le limitazioni sono revocate non appena le condizioni che le giustificano cessino di sussistere. In particolare, laddove si ritenga che l'esercizio del diritto ristretto non pregiudicherebbe più l'efficacia della limitazione imposta o lederebbe i diritti e le libertà degli altri interessati.

1.   L'Agenzia informa senza indebito ritardo il proprio responsabile della protezione dei dati (il RDP) ogniqualvolta il titolare del trattamento limiti l'applicazione dei diritti degli interessati o estenda la limitazione a norma della presente decisione. Il titolare del trattamento fornisce al RPD l'accesso al registro che contiene la valutazione della necessità e della proporzionalità della limitazione e documenta nel registro la data in cui ha informato il RPD.

2.   Il RPD può chiedere al titolare del trattamento di riesaminare l'applicazione della limitazione. Il titolare del trattamento informa per iscritto il proprio RPD circa l'esito del riesame richiesto.

3.   Il titolare del trattamento informa il RPD quando la limitazione cessa di sussistere.

1.   In casi debitamente giustificati e alle condizioni stabilite in questa decisione, il diritto all'informazione può essere limitato dal titolare del trattamento nell'ambito dei seguenti trattamenti:

Nelle comunicazioni sulla protezione dei dati, nelle informative sulla privacy e nei registri, ai sensi dell'articolo 31 del regolamento (UE) 2018/1725, pubblicati sul proprio sito Internet e/o su intranet che informano gli interessati sui loro diritti nel quadro di una determinata procedura, l'Agenzia include informazioni riguardanti le potenziali limitazioni di questi diritti. Tali informazioni riguardano i diritti che possono essere limitati, le ragioni e la durata potenziale della limitazione.

2.   Fatte salve le disposizioni di cui al paragrafo 3, se proporzionato, l'Agenzia informa anche singolarmente tutti gli interessati, considerati persone interessate nella specifica operazione di trattamento, dei loro diritti riguardanti le limitazioni attuali o future senza indebito ritardo e in forma scritta.

3.   Qualora l'Agenzia limiti, in tutto o in parte, la comunicazione di informazioni agli interessati di cui al paragrafo 2, essa registra le ragioni della limitazione, il motivo giuridico conformemente all'articolo 3 della presente decisione, inclusa la valutazione della necessità e della proporzionalità della limitazione.

La registrazione e, se del caso, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.

4.   La limitazione di cui al paragrafo 3 continua ad applicarsi finché permangono i motivi che la giustificano.

Qualora detti motivi della limitazione non siano più applicabili, l'Agenzia fornisce all'interessato le informazioni sulle ragioni principali alla base dell'applicazione di una limitazione. Nel contempo l'Agenzia informa l'interessato in merito al diritto di presentare in qualsiasi momento reclamo al Garante europeo della protezione dei dati o un ricorso giurisdizionale dinanzi alla Corte di giustizia dell'Unione europea.

L'Agenzia riesamina l'applicazione della limitazione ogni sei mesi dalla sua adozione e all'atto della chiusura dell'inchiesta, della procedura o dell'indagine pertinente. Successivamente il titolare del trattamento valuta la necessità di mantenere eventuali limitazioni ogni sei mesi.

1.   In casi debitamente giustificati e alle condizioni stabilite in questa decisione, il diritto di accesso può essere limitato dal titolare del trattamento, laddove necessario e proporzionato, nel contesto dei seguenti trattamenti:

Qualora, a norma dell'articolo 17 del regolamento (UE) 2018/1725, gli interessati chiedano l'accesso ai propri dati personali trattati nell'ambito di uno o più casi specifici o di particolari trattamenti, l'Agenzia limita la propria valutazione della richiesta esclusivamente a tali dati personali.

2.   Allorché l'Agenzia limita, integralmente o in parte, il diritto di accesso di cui all'articolo 17 del regolamento (UE) 2018/1725, esso procede nel modo seguente:

La comunicazione di informazioni di cui alla lettera a) può essere rinviata, omessa o negata se annullasse l'effetto della restrizione in conformità dell'articolo 25, paragrafo 8, del regolamento (UE) 2018/1725.

L'Agenzia riesamina l'applicazione della limitazione ogni sei mesi dalla sua adozione e all'atto della chiusura dell'indagine pertinente. Successivamente il titolare del trattamento valuta la necessità di mantenere eventuali limitazioni ogni sei mesi.

3.   La registrazione e, se del caso, i documenti contenenti gli elementi di fatto e di diritto che ne costituiscono la base sono conservati in un registro. Su richiesta, essi sono messi a disposizione del Garante europeo della protezione dei dati.

1.   In casi debitamente giustificati e alle condizioni stabilite in questa decisione, il diritto di rettifica, cancellazione e limitazione può essere limitato dal titolare del trattamento, laddove necessario e opportuno, nel contesto dei seguenti trattamenti:

2.   Qualora l'Agenzia limiti, integralmente o in parte, l'applicazione del diritto di rettifica, cancellazione o limitazione di trattamento di cui all'articolo 18, all'articolo 19, paragrafo 1, e all'articolo 20, paragrafo 1, del regolamento (UE) 2018/1725, essa adotta le misure di cui all'articolo 6, paragrafo 2, della presente decisione e conserva la registrazione in un registro in conformità dell'articolo 6, paragrafo 3, della stessa.

1.   In casi debitamente giustificati e alle condizioni stabilite in questa decisione, la comunicazione di una violazione dei dati personali può essere limitata dal titolare del trattamento, laddove necessario e appropriato, nel contesto dei seguenti trattamenti:

2.   In casi debitamente giustificati e alle condizioni stabilite in questa decisione, la riservatezza delle comunicazioni elettroniche può essere limitata dal titolare del trattamento, laddove necessario e appropriato, nel contesto dei seguenti trattamenti:

3.   Laddove l'Agenzia limiti la comunicazione delle violazioni dei dati personali agli interessati o la riservatezza delle comunicazioni elettroniche di cui agli articoli 35 e 36 del regolamento (UE) 2018/1725, essa annota e registra i motivi della limitazione conformemente all'articolo 5, paragrafo 3, della presente decisione. Si applica l'articolo 5, paragrafo 4, della presente decisione.

«1.   Gli Stati membri dispongono che le informazioni fornite dal soggetto passivo che si avvale del regime speciale di cui al titolo XII, capo 6, sezione 4, della direttiva 2006/112/CE, o dal suo intermediario, allo Stato membro di identificazione quando inizia un'attività a norma dell'articolo 369 septdecies, paragrafi 1, 2 e 2 bis, della stessa direttiva siano presentate con mezzi elettronici. Anche eventuali modifiche di tali informazioni comunicate a norma dell'articolo 369 septdecies, paragrafo 3, della direttiva 2006/112/CE sono presentate con mezzi elettronici.»,

«1.   Gli Stati membri dispongono che le informazioni fornite dal soggetto passivo che si avvale del regime speciale di cui al titolo XII, capo 6, sezione 4, della direttiva 2006/112/CE, o dal suo intermediario, allo Stato membro di identificazione quando inizia un'attività a norma dell'articolo 369 septdecies, paragrafi 1, 2 e 3, della stessa direttiva siano presentate con mezzi elettronici. Anche eventuali modifiche di tali informazioni comunicate a norma dell'articolo 369 septdecies, paragrafo 4, della direttiva 2006/112/CE sono presentate con mezzi elettronici.».