Trattamento: trattamento dei dati dei firmatari raccolti nell'ambito delle dichiarazioni di sostegno attraverso il sistema centrale di raccolta elettronica della Commissione
Titolare del trattamento: contitolarità tra la Commissione europea (titolare operativo del trattamento, SG.A.1 "Priorità strategiche e programma di lavoro"), da un lato, e il rappresentante del gruppo di organizzatori dell'iniziativa o eventualmente l'entità giuridica da questi creata, dall'altro.
Numero di registro: DPR-EC-03486
1. Introduzione
L'iniziativa dei cittadini europei (di seguito "ICE") è uno strumento di democrazia partecipativa che consente ai cittadini di proporre modifiche giuridiche concrete in qualsiasi settore in cui la Commissione europea (di seguito "la Commissione") ha il potere di proporre atti legislativi. Il quadro giuridico applicabile a questo strumento è indicato nel regolamento (UE) 2019/788 del Parlamento europeo e del Consiglio, del 17 aprile 2019, riguardante l'iniziativa dei cittadini europei (di seguito anche "regolamento ICE").
Per sostenere un'iniziativa dei cittadini occorre fornire una serie di dati personali nell'ambito della dichiarazione di sostegno. Il gruppo di organizzatori di un'iniziativa deve raccogliere almeno 1 milione di dichiarazioni di sostegno tra i cittadini dell'UE, con soglie specifiche da raggiugere in almeno 7 paesi. Tali dichiarazioni di sostegno devono essere convalidate e certificate dagli Stati membri prima che l'iniziativa possa essere presentata validamente alla Commissione.
La presente informativa sulla privacy riguarda il trattamento dei dati personali raccolti nell'ambito di dichiarazioni di sostegno a iniziative dei cittadini europei attraverso il sistema centrale di raccolta elettronica istituito e gestito dalla Commissione.
Il trattamento dei dati personali è effettuato in regime di contitolarità dalla Commissione, da un lato, e dal rappresentante del gruppo di organizzatori dell'iniziativa in questione o eventualmente dall'entità giuridica da questi creata (di seguito anche "gli organizzatori dell'iniziativa"), dall'altra. Se poi i dati forniti in una dichiarazione di sostegno sono presentati per verifica e certificazione alle autorità competenti di uno Stato membro, queste autorità diventano titolari del trattamento da loro effettuato.
Le responsabilità e gli obblighi rispettivi della Commissione e degli organizzatori sono definiti in modo trasparente in un accordo di contitolarità i cui elementi essenziali sono pubblicamente disponibili al seguente indirizzo: https://citizens-initiative.europa.eu/how-it-works/data-protection_it
La Commissione s'impegna a proteggere i dati personali e a rispettare la privacy di ciascuno. La Commissione raccoglie dati personali e li sottopone a ulteriore trattamento conformemente al regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell'Unione e sulla libera circolazione di tali dati. Alle norme sul trattamento dei dati personali di cui al regolamento generale sulla protezione dei dati (GDPR) sono soggetti anche gli organizzatori di un'iniziativa e le autorità competenti degli Stati membri.
Scopo di questa informativa è spiegare i motivi per cui vengono trattati i suoi dati personali, il modo in cui sono raccolti, gestiti, protetti tutti i dati personali forniti, quale uso è fatto delle informazioni ricavate e quali sono i suoi diritti al riguardo. Più avanti troverà i recapiti dei titolari del trattamento, cui potrà rivolgersi per esercitare i suoi diritti, dei responsabili della protezione dei dati e del Garante europeo della protezione dei dati.
La presente informativa riprende e completa il testo della dichiarazione di riservatezza di cui all'allegato III del regolamento ICE, che ne costituisce parte integrante (vedere il punto 10 di seguito).
N.B.: la presente informativa non riguarda il trattamento dei dati personali forniti in una dichiarazione di sostegno su carta. In tal caso, la raccolta e l'ulteriore trattamento dei dati (fino al loro trasferimento agli Stati membri per verifica) sono effettuati sotto la titolarità esclusiva del rappresentante del gruppo di organizzatori. Questi è quindi tenuto a fornirle, al momento della raccolta dei suoi dati personali, un'informativa sulla privacy contenente almeno gli elementi essenziali della dichiarazione di riservatezza standard di cui all'allegato III del regolamento ICE. Se il successivo trasferimento delle dichiarazioni di sostegno così raccolte agli Stati membri per verifica è gestito dalla Commissione attraverso il proprio servizio di scambio di file nell'ambito di una contitolarità con il rappresentante, la Commissione non avrà accesso ai suoi dati e non sarà in grado di fornirle un'ulteriore informativa sulla privacy. La presente informativa si limita a fornire le informazioni relative ai termini per la conservazione dei dati applicabili in tal caso.
2. Perché e come vengono trattati i dati personali
L'obiettivo generale del trattamento dei dati di cui alla presente informativa sulla privacy è dare attuazione al regolamento (UE) 2019/788 riguardante l'iniziativa dei cittadini europei, consentendo così ai cittadini dell'UE di esercitare il diritto sancito dall'articolo 11, paragrafo 4, del trattato sull'Unione europea di rivolgersi direttamente alla Commissione invitandola a presentare una proposta di atto giuridico dell'Unione ai fini dell'applicazione dei trattati.
I dati personali possono essere soggetti ai seguenti trattamenti principali:
- raccolta delle dichiarazioni di sostegno tramite il modulo online o l'eID e loro successiva conservazione nel sistema centrale di raccolta elettronica
- invio delle dichiarazioni di sostegno agli Stati membri per verifica
- verifica e certificazione della dichiarazione di sostegno da parte dello Stato membro di appartenenza (questo trattamento è effettuato sotto la titolarità dell'autorità competente dello Stato membro).
Si possono pertanto distinguere le seguenti finalità più specifiche:
- consentire ai cittadini di sostenere le iniziative online
- garantire un trasferimento sicuro delle dichiarazioni di sostegno allo Stato membro competente a fini di verifica
- dare modo alle autorità dello Stato membro competente (titolari del trattamento in questione) di verificare le dichiarazioni di sostegno e alla Commissione di confermare la validità di un'iniziativa dei cittadini europei presentata per esame.
Inoltre, i dati possono essere trattati nel contesto di operazioni di supporto, come la gestione delle richieste degli interessati, i controlli a campione della qualità tecnica, le operazioni necessarie per la manutenzione del sistema informatico e le operazioni stabilite per legge.
I dati personali trattati possono essere riutilizzati a fini procedurali dinanzi agli organi giurisdizionali dell'UE, agli organi giurisdizionali nazionali, al Mediatore europeo o alla Corte dei conti europea.
I dati personali non saranno utilizzati per un processo decisionale automatizzato, compresa la profilazione.
3. Quali sono le basi giuridiche che disciplinano il trattamento dei dati personali
Trattiamo i dati forniti nell'ambito di una dichiarazione di sostegno compilata a favore di un'iniziativa dei cittadini europei. Il trattamento dei dati serve a far progredire la causa di un'iniziativa concreta per portare le questioni in essa espresse all'attenzione delle istituzioni dell'Unione. Se l'iniziativa dei cittadini europei rafforza il funzionamento democratico dell'Unione, il trattamento risponde all'interesse pubblico in linea con l'articolo 5, paragrafo 1, lettera a), del regolamento (UE) 2018/1725 (e con l'articolo 6, paragrafo 1, lettera e), del regolamento generale sulla protezione dei dati).
Inoltre, per la Commissione il regolamento ICE prevede, all'articolo 10, l'obbligo giuridico di istituire e gestire il sistema centrale di raccolta elettronica per consentire la raccolta online delle dichiarazioni di sostegno e, all'articolo 12, paragrafo 3, l'obbligo di presentare agli Stati membri per verifica le dichiarazioni di sostegno raccolte attraverso il sistema centrale, nel caso in cui sia stato raggiunto il numero richiesto di dichiarazioni di sostegno (vedere anche l'articolo 12, paragrafo 2). Consentendo che il trattamento venga effettuato tramite il sistema centrale di raccolta elettronica (compreso il trasferimento), la Commissione adempie un obbligo giuridico. Il trattamento è pertanto legittimo anche ai sensi dell'articolo 5, paragrafo 1, lettera b), del regolamento (UE) 2018/1725 (e dell'articolo 6, paragrafo 1, lettera c), del regolamento generale sulla protezione dei dati).
I dati forniti nell'ambito di una dichiarazione di sostegno non sono considerati dati sensibili, il cui trattamento è in linea di principio vietato dall'articolo 10, paragrafo 1, del regolamento (UE) 2018/1725 (e dall'articolo 9, paragrafo 1, del regolamento generale sulla protezione dei dati). Tuttavia, l'interconnessione tra i dati forniti e l'iniziativa sostenuta può rivelare informazioni sulla salute, le convinzioni politiche, filosofiche o religiose, l'appartenenza politica, il sesso o l'orientamento sessuale, l'origine razziale o etnica, o persino l'appartenenza sindacale, a seconda dell'oggetto di ciascuna iniziativa. Di conseguenza, la sensibilità dei dati può essere correlata alla sensibilità del tema dell'iniziativa in questione.
Ai sensi dell'articolo 10, paragrafo 2, lettera g), del regolamento (UE) 2018/1725 (e all'articolo 9, paragrafo 2, lettera g), del regolamento generale sulla protezione dei dati), anche se i dati possono rientrare in una categoria speciale, il loro trattamento è consentito per il seguente motivo: "il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell’Unione, che deve essere proporzionato alla finalità perseguita, rispettare l’essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato".
A tale proposito, il considerando 12 del regolamento ICE chiarisce che: "Nella misura in cui i dati personali trattati in applicazione del presente regolamento dovessero includere dati sensibili, data la natura dell'iniziativa dei cittadini europei quale strumento di democrazia partecipativa, è giustificato esigere la comunicazione di dati personali per sostenere un'iniziativa e trattare tali dati nella misura in cui ciò è necessario per consentire la verifica delle dichiarazioni di sostegno conformemente alla legislazione e alle prassi nazionali".
4. Quali sono i dati personali raccolti e sottoposti a ulteriore trattamento
Per registrare il sostegno a un'iniziativa dei cittadini raccogliamo diverse serie di dati, a seconda della modalità di sostegno prescelta e della cittadinanza.
Per i moduli compilati online, raccogliamo una delle due possibili serie di dati di cui allegato III del regolamento ICE:
Serie di dati A:
- cittadinanza
- nome completo
- cognome
- residenza (via, numero civico, codice postale, località, paese)
- data di nascita.
Serie di dati B:
- cittadinanza
- nome completo
- cognome
- numero d'identificazione personale / numero del documento d'identificazione personale
- tipo di numero d'identificazione personale o di documento d'identificazione personale.
Ai sensi dell'articolo 9, paragrafo 4, del regolamento ICE, gli Stati membri possono scegliere se utilizzare le serie di dati A o B. Al 1º gennaio 2020 (entrata in vigore del regolamento ICE) 9 Stati membri (DE, DK, EL, FI, FR, IE, LU, NL, SK) hanno scelto la serie di dati A, mentre 18 Stati membri (AT, BE, BG, CY, CZ, ES, ET, HR, HU, IT, MT, LT, LV, PL, PT, RO, SE e SL) hanno optato per la serie di dati B.
Gli Stati membri possono modificare la loro scelta in futuro senza che ciò abbia effetti sulla presente informativa sulla privacy.
Se sostiene un'iniziativa dei cittadini europei utilizzando l'eID, i suoi dati personali saranno importati dal sistema nazionale di identificazione elettronica previa autenticazione. Ai sensi del regolamento eIDAS (regolamento (UE) n. 910/2014), i dati raccolti sono i seguenti:
- cognome attuale
- nome attuale
- data di nascita
- identificatore univoco.
In tal caso vengono anche raccolti i dati riguardanti la cittadinanza in base alla scelta del sistema eID nazionale di autenticazione.
Inoltre, per consentire un trattamento efficiente, raccogliamo alcuni (meta)dati relativi alla trasmissione/presentazione elettronica delle dichiarazioni di sostegno, in particolare l'indirizzo IP, i dati di connessione e l'ora dell'inserimento elettronico del modulo nel sistema centrale di raccolta elettronica. Questi (meta)dati sono conservati per un periodo massimo di sei mesi. Inoltre, per ogni dichiarazione di sostegno viene generato automaticamente un identificatore univoco. L'identificatore viene distrutto al termine del periodo di raccolta. Se l'interessato ha fornito anche un indirizzo di posta elettronica, l'identificativo viene distrutto al termine del periodo di conservazione dell'indirizzo di posta elettronica.
5. Per quanto tempo sono conservati i dati personali
Il periodo standard di conservazione è di 21 mesi dall'inizio del periodo di raccolta.
Detto periodo standard si riduce:
- se scade un mese dopo la presentazione dell'iniziativa alla Commissione ai sensi dell'articolo 13 del regolamento ICE
- se scade un mese dopo il ritiro dell'iniziativa, nei casi in cui questa è ritirata dopo l'inizio del periodo di raccolta ai sensi dell'articolo 7 del regolamento ICE.
Il periodo standard di conservazione può essere esteso se necessario ai fini di procedimenti giudiziari o amministrativi relativi all'iniziativa in questione. In tal caso i dati vengono distrutti entro un mese dalla data di adozione della decisione definitiva a conclusione dei suddetti procedimenti.
Nel contesto della pandemia di COVID-19, i periodi standard di conservazione dei dati di cui all'articolo 19, paragrafo 5, del regolamento ICE sono stati prorogati per le iniziative il cui periodo di raccolta è stato prorogato a norma del regolamento (UE) 2020/1042 (il periodo massimo di proroga è di 12 mesi).
I periodi di conservazione dei dati di cui sopra si applicano anche:
- alla conservazione presso il servizio di scambio di file della Commissione delle dichiarazioni raccolte su carta, ivi caricate dagli organizzatori di un'iniziativa in vista del loro trasferimento agli Stati membri per verifica
- agli Stati membri in caso di verifica delle dichiarazioni di sostegno raccolte.
6. In che modo vengono protetti e salvaguardati i dati personali
Tutti i dati personali vengono conservati in formato elettronico sui server della Commissione. Tutti i trattamenti sono effettuati in conformità della decisione (UE, Euratom) 2017/46 della Commissione, del 10 gennaio 2017, sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea.
Per proteggere i dati personali, la Commissione ha adottato una serie di misure tecniche e organizzative. Tra le misure tecniche figurano interventi mirati alla sicurezza online e a contrastare il rischio di perdita o modifica dei dati o di accesso non autorizzato, tenendo conto dei rischi che presentano il trattamento e la natura dei dati trattati. Le misure organizzative includono il fatto di limitare l'accesso ai dati personali esclusivamente alle persone autorizzate con legittima necessità di sapere ai fini del trattamento specifico.
7. Chi ha accesso ai dati personali e a chi sono divulgati
Ai dati conservati nel sistema centrale di raccolta elettronica ha accesso esclusivamente il personale della Commissione autorizzato in base al principio della "necessità di sapere". Tale personale è tenuto a rispettare le norme di legge e altri eventuali accordi in materia di riservatezza.
Se per un'iniziativa è stato raccolto il numero richiesto di dichiarazioni di sostegno, la Commissione (su richiesta degli organizzatori) le trasmette alle autorità competenti dei rispettivi Stati membri per verifica e certificazione, ai sensi dell'articolo 12, paragrafi 2 e 3, del regolamento ICE.
8. Quali sono i diritti dell'interessato e come può esercitarli
I suoi diritti di "interessato" sono specificati al capo III (articoli da 14 a 25) del regolamento (UE) 2018/1725 (e capo III del regolamento generale sulla protezione dei dati) e comprendono in particolare il diritto di accedere ai dati personali e di rettificarli in caso siano inesatti o incompleti. In alcuni casi, ha il diritto di chiedere la cancellazione dei dati personali, limitarne il trattamento e opporsi ad esso.
Per esercitare il diritto di opporsi al trattamento dei suoi dati personali dovrà addurre motivi connessi alla sua situazione particolare.
Per l'esercizio dei suoi diritti può rivolgersi ai contitolari del trattamento, oppure (specie in caso di conflitto) al responsabile della protezione dei dati. Se necessario, può rivolgersi anche al Garante europeo della protezione dei dati. I loro recapiti figurano al punto 9.
Se desidera esercitare i suoi diritti in relazione a uno o più trattamenti specifici, la preghiamo di darne descrizione (numero di riferimento del registro, come specificato al punto 10) nella richiesta.
Le richieste di accesso ai dati personali sono evase entro un mese dalla ricezione della richiesta. Eventuali altre richieste di cui agli articoli da 18 a 25 del regolamento (UE) 2018/1725 (e al capo III del regolamento generale sulla protezione dei dati) saranno esaminate entro 15 giorni lavorativi. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste.
9. Contatti
I titolari del trattamento
Se desidera esercitare i suoi diritti a norma del regolamento (UE) 2018/1725 e del regolamento generale sulla protezione dei dati, oppure se ha osservazioni, domande o questioni che la preoccupano, o se desidera proporre reclamo in merito alla raccolta e all'uso dei suoi dati personali, può contattare i titolari del trattamento.
- Per quanto riguarda la Commissione, utilizzare il seguente recapito del titolare operativo del trattamento:
Commissione europea
Segretariato generale
Direzione A "Strategia, legiferare meglio e governo societario"
Unità A.1 "Priorità strategiche e programma di lavoro"
B - 1049 Bruxelles
Tel. +32 2 29 92165
E-mail: SG-ECI-mailing@ec.europa.eu
- Per quanto riguarda il rappresentante del gruppo di organizzatori o, a seconda dei casi, dell'entità giuridica creata da detto gruppo, i recapiti figurano nel registro online delle iniziative, nonché nel sistema centrale di raccolta elettronica, sulle pagine web dedicate alle singole iniziative. Vedere: https://citizens-initiative.europa.eu/find-initiative_it.
Se i dati forniti in una dichiarazione di sostegno sono presentati per verifica e certificazione alle autorità competenti di uno Stato membro, queste diventano titolari del trattamento da loro effettuato. È possibile inviare loro osservazioni, domande o richieste riguardanti il trattamento dei dati personali utilizzando i recapiti indicati al seguente indirizzo: https://citizens-initiative.europa.eu/how-it-works/data-protection_it.
I responsabili della protezione dei dati
- Il responsabile della protezione dei dati della Commissione
Per le questioni riguardanti il trattamento dei dati personali può contattare il responsabile della protezione dei dati: DATA-PROTECTION-OFFICER@ec.europa.eu.
- Il responsabile della protezione dei dati del gruppo di organizzatori (se designato)
Se il gruppo di organizzatori ha designato un responsabile della protezione dei dati, i relativi recapiti figurano nel registro online delle iniziative, nonché nel sistema centrale di raccolta elettronica, sulle pagine web dedicate alle singole iniziative. Vedere: https://citizens-initiative.europa.eu/find-initiative_it.
Le autorità preposte alla protezione dei dati
- Il Garante europeo della protezione dei dati
Ha il diritto di avanzare un reclamo al Garante europeo della protezione dei dati (edps@edps.europa.eu) se ritiene che siano stati violati i diritti di cui gode a norma del regolamento (UE) 2018/1725, a seguito di trattamento dei suoi dati personali a cura del titolare del trattamento.
- Le autorità nazionali preposte alla protezione dei dati
Se ritiene che i suoi dati siano trattati in modo illecito, ha inoltre il diritto di presentare un reclamo all'autorità nazionale preposta alla protezione dei dati, in particolare dello Stato membro in cui ha la residenza abituale, in cui ha sede il suo luogo di lavoro o in cui ha avuto luogo la presunta violazione. I recapiti delle autorità nazionali preposte alla protezione dei dati possono essere consultati all'indirizzo: https://citizens-initiative.europa.eu/how-it-works/data-protection_it.
10. Dove ottenere ulteriori informazioni
Il regolamento riguardante l'iniziativa dei cittadini europei stabilisce all'allegato III gli elementi essenziali dell'informativa sulla privacy (dichiarazione di riservatezza) per le dichiarazioni di sostegno raccolte online attraverso il sistema centrale di raccolta elettronica, come segue:
"In conformità del regolamento (UE) 2018/1725 e del regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati), i dati personali forniti nel presente modulo saranno usati solo a sostegno dell'iniziativa e messi a disposizione delle autorità nazionali competenti a scopo di verifica e certificazione. Gli interessati hanno il diritto di chiedere alla Commissione europea e al rappresentante del gruppo di organizzatori dell'iniziativa o, se del caso, all'entità giuridica da esso creata, l'accesso ai propri dati personali nonché la rettifica, cancellazione e limitazione del trattamento degli stessi. I dati sono conservati dalla Commissione europea per un periodo massimo di conservazione di un mese a partire dalla presentazione dell'iniziativa alla Commissione europea o per 21 mesi dopo l'inizio del periodo di conservazione, se questo termine è anteriore. Possono essere conservati oltre questi termini in caso di procedimenti amministrativi o giudiziari, per un mese al massimo dopo la data della conclusione di tali procedimenti. Fatto salvo ogni altro ricorso amministrativo o giudiziario, se ritiene che i suoi dati sono trattati in modo illecito l'interessato ha diritto in qualsiasi momento di proporre reclamo presso il garante europeo della protezione dei dati o presso un'autorità di protezione dei dati, in particolare nel suo Stato membro di residenza abituale, nel luogo di lavoro oppure nel luogo della presunta violazione. La Commissione europea e il rappresentante del gruppo di organizzatori dell'iniziativa o, se del caso, l'entità giuridica da esso creata sono responsabili in solido ai sensi del regolamento (UE) 2018/1725 e del regolamento sulla protezione dei dati e possono essere contattati utilizzando le informazioni fornite in tale modulo. II dati di contatto del responsabile della protezione dei dati del gruppo di organizzatori (se presente) sono disponibili al sito web di detta iniziativa nel registro della Commissione europea, quali forniti nel punto 4 di tale modulo. I dati di contatto del responsabile della protezione dei dati della Commissione europea, dell'autorità nazionale che riceve e tratta i dati personali, del garante europeo della protezione dei dati e delle autorità nazionali di protezione dei dati possono essere consultati all'indirizzo: http://ec.citizens-initiative.europa.eu/public/data-protection".
Il responsabile della protezione dei dati della Commissione pubblica il registro di tutti i trattamenti di dati personali effettuati dalla Commissione che sono stati documentati e gli sono stati notificati. Il registro è accessibile al seguente link: http://ec.europa.eu/dpo-register.
Questo specifico trattamento è stato inserito nel registro pubblico del responsabile della protezione dei dati con il seguente numero di registro: DPR-EC-03486.
