1. Introduzione

Oltre al trattamento dei dati personali delle persone che presentano denunce, il Mediatore può, a seconda dei fatti del caso, dover trattare dati personali in relazione ad altre persone ("interessati terzi").

Al ricevimento di una denuncia, il Mediatore valuta se le informazioni fornite contengono dati personali di terzi, vale a dire informazioni relative a una persona fisica identificata o identificabile, diversa dal denunciante.

Il concetto di dati personali è molto ampio [1]. A titolo di esempio, comprende informazioni sull'identità e sulle caratteristiche personali di una persona, dichiarazioni e opinioni, nonché sullo stato civile e occupazionale [2].

La presente politica riguarda il modo in cui il Mediatore attua l'obbligo di informare gli interessati in merito al trattamento dei loro dati personali nell'ambito di una denuncia o di un'indagine, qualora i dati non siano stati ottenuti da tali interessati. Nell'elaborare la presente politica, il Mediatore ha tenuto conto degli orientamenti del Garante europeo della protezione dei dati («GEPD»)[3].

2. Il dovere di informare

Quando i dati personali di un terzo interessato sono inclusi in una denuncia o in altri documenti relativi a un'indagine, il Mediatore ha il dovere di fornire alla persona in questione determinate informazioni [4], vale a dire:

a) l'identità e i dati di contatto del titolare del trattamento, vale a dire il mediatore [5];

b) i dati di contatto del responsabile della protezione dei dati del Mediatore;

c) la finalità del trattamento (ad esempio, il trattamento di un reclamo) e la base giuridica del trattamento (ad esempio, le norme relative al trattamento dei dati personali da parte delle istituzioni dell'UE [6] e/o lo statuto del Mediatore [7]);

d) le categorie di dati in questione (ad esempio, l'identità e la situazione occupazionale della persona in questione);

e) i destinatari dei dati [8];

f) se del caso, che il mediatore intenda trasferire i dati personali a un paese terzo o a un'organizzazione internazionale e l'esistenza o l'assenza di una decisione di adeguatezza della Commissione o di garanzie adeguate o adeguate e i mezzi per ottenerne una copia o il luogo in cui sono stati messi a disposizione; e

g) le seguenti ulteriori informazioni, necessarie per garantire un trattamento equo e trasparente dei dati personali della persona:

i) i termini per la conservazione dei dati pertinenti;

ii) il fatto che l'interessato abbia il diritto di chiedere l'accesso, la rettifica, la cancellazione o la limitazione del trattamento dei suoi dati personali o il diritto di opporsi al trattamento [9];

iii) il diritto della persona di ricorrere al GEPD, e

iv) l'origine dei dati (comprese, se del caso, le fonti accessibili al pubblico).

3. La politica

A - Al di fuori del mandato reclami

Se il Mediatore ritiene che una denuncia contenente dati personali di terzi non rientri nel suo mandato, ne informa il denunciante e lo informa, ove possibile, in merito all'organismo che potrebbe trattare la denuncia. Se il denunciante ha acconsentito al trasferimento della sua denuncia nel caso in cui il Mediatore non sia in grado di trattarla, il Mediatore trasmette la denuncia all'organo competente (ad esempio, un Mediatore nazionale).

In tali casi, il Mediatore non ritiene necessaria la comunicazione delle informazioni individuali di cui al punto 2 perché i) lo scopo per il quale il Mediatore tratta tali dati personali (valutazione del fatto che la denuncia rientri nel mandato del Mediatore e, in caso contrario, possibile trasferimento della denuncia a un altro organismo) non richiede l'identificazione dell'interessato terzo da parte del Mediatore [10]; e ii) informare individualmente gli interessati terzi del fatto che il Mediatore può trattare dati che li riguardano, anche se possibile, comporterebbe un'inutile moltiplicazione dei dati personali e comporterebbe pertanto uno sforzo sproporzionato [11].

Invece, il Mediatore pubblica una nota informativa sul suo sito web che informa il pubblico che può trattare dati personali di persone diverse da quelle del denunciante nel contesto del suo trattamento delle denunce. La presente nota contiene un link alla presente politica e a una dichiarazione per il trattamento dei dati personali nel contesto del trattamento delle denunce e delle indagini da parte del Mediatore. La presente nota, la presente politica e la dichiarazione sono ritenute sufficienti per fornire tutte le informazioni pertinenti alle persone i cui dati personali possono essere trattati dal Mediatore [12] e per consentire loro di chiedere l'accesso, la rettifica, la cancellazione e la limitazione del trattamento dei loro dati personali, se lo desiderano [13].

B - Nell'ambito del mandato, ma irricevibile e ricevibile, nessuna censura motivata

Nei casi di cui sopra, il Mediatore non ritiene che la comunicazione delle informazioni individuali di cui al punto 2 sia necessaria in quanto informare individualmente gli interessati terzi del fatto che il Mediatore può trattare dati che li riguardano, anche se possibile, comporterebbe un'inutile moltiplicazione dei dati personali che, tenuto conto delle limitate azioni in questione, vale a dire l'assenza di qualsiasi trasferimento della denuncia al di fuori dell'ufficio del Mediatore, comporterebbe uno sforzo sproporzionato [14].

La nota informativa pubblicata sul sito web del Mediatore e la presente politica e la dichiarazione sono ritenute sufficienti per fornire tutte le informazioni pertinenti alle persone di cui il Mediatore può trattare i dati personali [15] e per consentire loro di chiedere l'accesso, la rettifica, la cancellazione e la limitazione del trattamento dei loro dati personali, se lo desiderano [16].

C - Richieste di informazioni

Nei casi di cui sopra, il Mediatore deve innanzitutto decidere se i dati relativi a terzi siano o meno rilevanti per l'oggetto dell'indagine. Un modo per farlo consiste nell'esaminare se il Mediatore tratterebbe l'indagine in modo diverso se l'interessato terzo non fosse stato menzionato o identificato nel fascicolo dell'indagine.

I dati pertinenti potrebbero, ad esempio, essere quelli relativi alla precedente esperienza professionale del funzionario dell’Unione che è membro di una commissione giudicatrice asseritamente in conflitto di interessi. I dati irrilevanti potrebbero, ad esempio, essere quelli relativi allo stato civile di tale funzionario dell’Unione. Altri dati irrilevanti che potrebbero essere raccolti durante l'indagine del Mediatore in modo puramente incidentale sono, ad esempio, i nomi di altri funzionari dell'UE menzionati nelle decisioni dell'istituzione interessata e i documenti raccolti durante l'indagine del Mediatore.

La decisione in merito alla pertinenza di tali dati e all'analisi sottostante sarà illustrata nella sintesi registrata nel pertinente fascicolo del sistema automatico di gestione dei fascicoli (CMS) del Mediatore.

Dati irrilevanti

Nei casi in cui i dati sono irrilevanti per l'oggetto dell'indagine, il Mediatore non ritiene necessaria la comunicazione di informazioni individuali al terzo in quanto i) poiché i dati sono irrilevanti, lo scopo per il quale il Mediatore tratta tali dati personali (trattamento della denuncia/indagine) non richiede l'identificazione degli interessati terzi da parte del Mediatore [17]; e ii) informare individualmente tali terzi interessati, anche se possibile, comporterebbe un'inutile moltiplicazione dei dati personali e comporterebbe uno sforzo sproporzionato tenuto conto del fatto che il Mediatore non fa alcun uso dei dati in questione nell'ambito della sua indagine [18]. I dati manifestamente irrilevanti inclusi nel testo della denuncia non saranno ulteriormente trattati dal Mediatore [19].

La nota informativa pubblicata sul sito web del Mediatore, la presente politica e la dichiarazione sono ritenute sufficienti per fornire tutte le informazioni pertinenti alle persone i cui dati personali possono essere trattati dal Mediatore [20] e per consentire loro di chiedere l'accesso, la rettifica, la cancellazione e la limitazione del trattamento dei loro dati personali, se lo desiderano [21].

Dati pertinenti

Se i dati sono pertinenti, il Mediatore ritiene di fornire le informazioni di cui al precedente punto 2 all'interessato terzo.

Tuttavia, se la valutazione della denuncia consente di concludere che l'interessato terzo dispone già delle informazioni [22], o che fornire le informazioni è impossibile o comporta uno sforzo sproporzionato (quando, ad esempio, la persona in questione ha nel frattempo lasciato il servizio e non può essere rintracciata)[23], il Mediatore registra la valutazione dettagliata che ha portato a tale conclusione nella sintesi del caso nel CMS e la nota pubblicata sul sito web del Mediatore, insieme alla presente politica e dichiarazione, sono ritenute sufficienti per fornire le informazioni necessarie alle persone di cui il Mediatore può trattare i dati personali [24] e per consentire loro di chiedere l'accesso, la rettifica, la cancellazione e la limitazione del trattamento dei loro dati personali se lo desiderano [25].

Nei casi in cui l'interessato terzo non disponga delle informazioni e qualora sia possibile informarlo e non comporti uno sforzo sproporzionato, il Mediatore esamina se informare l'interessato terzo possa rendere impossibile o compromettere gravemente il conseguimento degli obiettivi di tale trattamento, vale a dire indagare e decidere adeguatamente su eventuali casi di cattiva amministrazione nelle attività delle istituzioni, degli organi o degli organismi dell'UE, a seguito dell'esercizio di un diritto fondamentale (una denuncia al Mediatore) o di propria iniziativa [26].

Ciò si verificherebbe se, ad esempio, l'interessato terzo fosse in grado di influenzare l'indagine: nascondendo prove importanti, ad esempio, o vendicandosi nei confronti del denunciante per aver esercitato un diritto fondamentale (di denunciare al Mediatore) con un impatto sull'indagine (ad esempio, il denunciante non è più disposto a contribuire all'indagine).

Se, a seguito dell'analisi di cui sopra, il Mediatore conclude che la comunicazione di informazioni all'interessato terzo rischia di rendere impossibile o di compromettere gravemente l'indagine e la capacità del Mediatore di prendere una decisione in merito alle accuse di cattiva amministrazione, la valutazione e la conseguente conclusione saranno registrate nel fascicolo del CMS. La nota pubblicata sul sito web del Mediatore, unitamente alla presente politica e dichiarazione, sono ritenute sufficienti per fornire le informazioni necessarie alle persone i cui dati personali il Mediatore può trattare in tali casi eccezionali [27] e per consentire loro di chiedere l'accesso, la rettifica, la cancellazione e la limitazione del trattamento dei loro dati personali, se lo desiderano [28].

Se, al contrario, il Mediatore conclude che la comunicazione di informazioni all'interessato terzo non può rendere impossibile o compromettere gravemente l'indagine e la capacità del Mediatore di prendere una decisione sulle accuse di cattiva amministrazione, fornisce all'interessato terzo le informazioni di cui al punto 2 non appena l'esame della denuncia è completato e l'istituzione ne è informata [29].

4. Contributi in risposta alle consultazioni pubbliche del Mediatore

I principi enunciati nella presente politica si applicano anche a tutti i dati personali ricevuti nel contesto delle consultazioni pubbliche del Mediatore.

Emily O'Reilly

Strasburgo, 16.7.2019

[1] Articolo 3, paragrafo 1, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (GU 2018, L 295, pag. 39): "dati personali": qualsiasi informazione relativa a una persona fisica identificata o identificabile ("interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, in particolare con riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale.";

[2] Per un'analisi dettagliata del concetto di dati personali, consultare il parere 4/2007 del gruppo di lavoro articolo 29 sulla protezione dei dati disponibile al seguente indirizzo: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Articolo 16, paragrafi 1 e 2, del regolamento 2018/1725.

[5] Articolo 3, paragrafo 8, del regolamento 2018/1725: ""titolare del trattamento": l'istituzione o l'organo dell'Unione o la direzione generale o qualsiasi altra entità organizzativa che, da sola o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; se le finalità e i mezzi di tale trattamento sono determinati da uno specifico atto dell'Unione, il titolare del trattamento o i criteri specifici per la sua nomina possono essere previsti dal diritto dell'Unione.";

[6] Articolo 5 del regolamento 2018/1725.

[7] Decisione del Parlamento europeo, del 9 marzo 1994, relativa allo statuto e alle condizioni generali per l'esercizio delle funzioni del mediatore (94/262/CECA, CE, Euratom), GU 1994, L 113, pag. 15, e modificata dalle sue decisioni del 14 marzo 2002, GU 2002, L 92, pag. 13, e del 18 giugno 2008, GU 2008, L 189, pag. 25.

[8] Articolo 3, paragrafo 13, del regolamento 2018/1725: ""destinatario": una persona fisica o giuridica, un'autorità pubblica, un'agenzia o un altro organismo cui sono comunicati i dati personali, che si tratti o meno di terzi. Tuttavia, le autorità pubbliche che possono ricevere dati personali nel quadro di una particolare indagine conformemente al diritto dell'Unione o degli Stati membri non sono considerate destinatari; il trattamento di tali dati da parte di tali autorità pubbliche è conforme alle norme applicabili in materia di protezione dei dati in funzione delle finalità del trattamento".

[9] Articoli da 17 a 20 e 23 del regolamento (UE) 2018/1725.

[10] Articolo 12, paragrafo 1, del regolamento 2018/1725: "Se le finalità per le quali un titolare del trattamento tratta dati personali non richiedono o non richiedono più l'identificazione di un interessato da parte del titolare del trattamento, quest'ultimo non è tenuto a conservare, acquisire o trattare informazioni supplementari al fine di identificare l'interessato al solo scopo di conformarsi al presente regolamento".

[11] Articolo 16, paragrafo 5, lettera b), del regolamento 2018/1725: "I paragrafi da 1 a 4 non si applicano se e nella misura in cui: (...) la comunicazione di tali informazioni si riveli impossibile o comporti uno sforzo sproporzionato (...)".

[12] Articolo 16, paragrafo 6, del regolamento 2018/1725: "Nei casi di cui al paragrafo 5, lettera b), il titolare del trattamento adotta misure adeguate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, compresa la messa a disposizione del pubblico delle informazioni".

[13] Articolo 12, paragrafo 2, del regolamento 2018/1725: "Qualora, nei casi di cui al paragrafo 1 del presente articolo, il responsabile del trattamento sia in grado di dimostrare di non essere in grado di identificare l'interessato, ne informa l'interessato, se possibile. In tali casi, gli articoli da 17 a 22 non si applicano tranne nel caso in cui l'interessato, ai fini dell'esercizio dei suoi diritti ai sensi di tali articoli, fornisca informazioni supplementari che ne consentano l'identificazione". Ciò potrebbe verificarsi, ad esempio, quando un terzo interessato chiede l'accesso ai suoi dati personali trattati dal Mediatore e, dopo una ricerca nel sistema automatico di gestione dei fascicoli (CMS) del Mediatore, quest'ultimo lo informa che i suoi dati non sono stati trovati. Tuttavia, se l'interessato fornisce successivamente ulteriori informazioni, ad esempio il numero della denuncia o il nome del denunciante, ciò può consentire la sua identificazione nei fascicoli del Mediatore e al Mediatore di prendere una decisione in merito alla richiesta.

[14] Articolo 16, paragrafo 5, lettera b), del regolamento 2018/1725.

[15] Articolo 16, paragrafo 6, del regolamento 2018/1725.

[16] Articolo 12, paragrafo 2, del regolamento 2018/1725. Cfr. nota 13.

[17] Articolo 12, paragrafo 1, del regolamento 2018/1725

[18] Articolo 16, paragrafo 5, lettera b), del regolamento 2018/1725.

[19] È possibile che dati che non possono essere considerati rilevanti per l'oggetto di un'indagine nelle sue fasi iniziali, possano tuttavia essere utilizzati in ultima analisi ai fini dell'indagine e avere un impatto sul suo esito.

[20] Articolo 16, paragrafo 6, del regolamento 2018/1725.

[21] Articolo 12, paragrafo 2, del regolamento 2018/1725. Cfr. nota 13.

[22] Articolo 16, paragrafo 5, lettera a), del regolamento 2018/1725: “I paragrafi da 1 a 4 non si applicano se e nella misura in cui:...  l'interessato dispone già delle informazioni...".

[23] Articolo 16, paragrafo 5, lettera b), del regolamento 2018/1725: "I paragrafi da 1 a 4 non si applicano se e nella misura in cui: (...) la comunicazione di tali informazioni si riveli impossibile o comporti uno sforzo sproporzionato (...)".

[24] Articolo 16, paragrafo 6, del regolamento 2018/1725.

[25] Articolo 12, paragrafo 2, del regolamento 2018/1725. Cfr. nota 13.

[26] Articolo 16, paragrafo 5, lettera b), del regolamento 2018/1725: "I paragrafi da 1 a 4 non si applicano se e nella misura in cui: (...) l’obbligo di cui al paragrafo 1 del presente articolo può rendere impossibile o compromettere gravemente il conseguimento degli obiettivi di tale trattamento (...)».

[27] Articolo 16, paragrafo 6, del regolamento 2018/1725.

[28] Articolo 12, paragrafo 2, del regolamento 2018/1725. Cfr. nota 13.

[29] Articolo 16, paragrafo 3, del regolamento 2018/1725: "Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2:... c) se è prevista una comunicazione a un altro destinatario, al più tardi al momento della prima comunicazione dei dati personali.";