Informativa sulla privacy per le missioni di audit

Qual è il quadro normativo applicabile?

Tutti i dati personali sono trattati in conformità alla normativa dell’Unione europea in materia di protezione dei dati, ossia ai sensi del Regolamento (UE) 2018/1725 (EUDPR).

Perché trattiamo dati personali?

I dati personali sono trattati nel contesto dei servizi di audit interno della Direzione Revisione interna (D/IA), definiti dal Comitato esecutivo nella Carta dell’audit della BCE. Il trattamento è inteso a identificare, valutare, accertare e registrare tutte le informazioni che rilevano ai fini delle attività di verifica e consulenza. I dati personali che ricadono in tali ambiti sono raccolti dalle aree operative della BCE. In generale, la D/IA tratta i dati personali che rilevano per un compito specifico^[1].

In particolare, la D/IA può trattare dati personali per assolvere i seguenti compiti:

• attuare il piano di audit della BCE e il programma di lavoro del Comitato dei revisori interni svolgendo attività di verifica e consulenza e riferendo in merito;

• valutare lo stato di attuazione delle raccomandazioni di audit;

• elaborare le segnalazioni di incidenti provenienti dalle aree operative della BCE (escluse le segnalazioni relative a violazioni dei doveri professionali).

Inoltre, la D/IA tratta i dati al fine di prestare supporto agli audit (ad esempio in qualità di Segretariato del Comitato dei revisori interni) e di coordinare i servizi di audit esterno (ad esempio da parte di revisori esterni o della Corte dei conti europea).

Qual è la base giuridica per il trattamento dei dati personali?

I dati personali sono trattati dalla BCE nell’adempimento di un compito di interesse pubblico, ai sensi dell’articolo 5, paragrafo 1, lettera a), dell’EUDPR, in combinato disposto con il Protocollo (n. 4) sullo Statuto del sistema europeo di banche centrali (SEBC) e della Banca centrale europea (GU C 202 del 7.6.2016, pag. 230) e il Regolamento (UE) n. 1024/2013 del Consiglio, del 15 ottobre 2013, che attribuisce alla Banca centrale europea compiti specifici in merito alle politiche in materia di vigilanza prudenziale degli enti creditizi (GU L 287 del 29.10.2013, pag. 63) come precisato ulteriormente nella Carta dell’audit della BCE.

A chi compete il trattamento dei tuoi dati personali?

La BCE è titolare del trattamento dei dati personali, mentre la D/IA è incaricata del trattamento.

Chi saranno i destinatari dei tuoi dati personali?

Sono destinatari dei tuoi dati personali (inclusi i soggetti giuridici che ne hanno accesso):

• i rispettivi interessati;

• i membri del personale della BCE designati;

• i membri del personale designati delle banche centrali nazionali appartenenti al SEBC e delle autorità nazionali competenti nell’ambito del Meccanismo di vigilanza unico (incluso il personale distaccato), ove rilevi ai fini delle attività del Comitato dei revisori interni;

• gli esterni (consulenti, revisori esterni e tirocinanti) che partecipano alle attività di audit interno.

Su richiesta, i membri del Comitato esecutivo della BCE, del Consiglio direttivo, del Consiglio di vigilanza e il Responsabile generale dei servizi della BCE possono ricevere dati personali.

Se del caso, sulla base della necessità di disporre di determinate informazioni e nel rispetto del pertinente quadro giuridico, possono ricevere dati personali anche gli organismi incaricati di compiti di controllo o di ispezione in conformità al diritto dell’UE, ad esempio la Corte dei conti europea, l’Ufficio europeo per la lotta antifrode, la Procura europea, le autorità nazionali competenti, il Garante europeo della protezione dei dati, il Comitato etico e il Comitato di audit.

Quali categorie di dati personali sono acquisite?

La D/IA ha pieno accesso al personale, agli archivi, alle informazioni, ai sistemi e agli immobili laddove ritenuto necessario per l’espletamento delle sue funzioni nell’ambito delle missioni di audit e può trattare i relativi dati personali.

La BCE può trattare i seguenti dati personali in relazione alle missioni di audit:

• dati identificativi e recapiti (ad esempio nome, indirizzo postale ecc.);
• dati relativi all’istruzione e alla formazione professionale;
• dati sui rapporti di lavoro;
• dati finanziari;
• informazioni su famiglia, stile di vita e condizioni sociali;
• informazioni su beni o servizi forniti;
• informazioni relative a procedimenti civili o amministrativi o ad altre indagini regolamentari;
• informazioni relative a procedimenti penali;
• informazioni relative a sanzioni amministrative, anche pecuniarie;
• ogni altro dato personale rilevante per una particolare missione di audit;
• categorie speciali di dati che rientrano nell’ambito di applicazione dell’articolo 10 dell’EUDPR, ove giustificato.

I tuoi dati personali (cifrati o in chiaro) saranno trattati (ad esempio trasferiti, consultati o conservati) in paesi terzi o presso organizzazioni internazionali?

La BCE non prevede alcun trasferimento dei tuoi dati personali verso paesi terzi o organizzazioni internazionali. Tuttavia, in casi eccezionali, è possibile il trattamento dei dati personali in un paese terzo o presso un’organizzazione internazionale in base alle deroghe previste in circostanze specifiche ai sensi dell’articolo 50, paragrafo 1, dell’EUDPR.

Per quanto tempo la BCE conserva i dati personali?

Il periodo di conservazione dei fascicoli di audit della D/IA è in linea con il piano di archiviazione e conservazione documentale della BCE.

I dati personali trattati nel corso di una missione di audit sono cancellati o resi anonimi una volta che gli organi decisionali della BCE abbiano esaminato il rapporto di audit.

Eventuali dati necessari per attività di follow-up e/o a fini probatori possono essere conservati fino a due anni, o più a lungo se necessario, in conformità con il piano di archiviazione e conservazione documentale della BCE. Le informazioni contenute nei rapporti di audit sono sempre rese anonime.

I dati personali possono essere conservati negli archivi della BCE conformemente alla Decisione (UE) 2023/1610 della Banca centrale europea, del 28 luglio 2023, che istituisce gli archivi storici della Banca centrale europea.

Quali sono i tuoi diritti?

Hai il diritto di accedere ai tuoi dati personali e correggere qualsiasi informazione che sia inesatta o incompleta. Hai inoltre il diritto (con alcune restrizioni) di cancellare i tuoi dati personali e di opporti al loro trattamento o di limitarlo ai sensi dell’EUDPR. La BCE può limitare i tuoi diritti a salvaguardare gli interessi e gli obiettivi di cui all’articolo 25, paragrafo 1, dell’EUDPR.

Chi puoi contattare per ricevere chiarimenti o richiedere informazioni?

Per esercitare i propri diritti è sufficiente contattare la D/IA all’indirizzo DL-DIA-DIA_MANAGEMENT@ecb.europa.eu. Inoltre, per qualsiasi chiarimento in merito ai tuoi dati personali è possibile rivolgersi direttamente al funzionario responsabile della protezione dei dati presso la BCE all’indirizzo dpo@ecb.europa.eu.

Istanza al Garante europeo della protezione dei dati

Chiunque ravvisi una violazione dei propri diritti ai sensi dell’EUDPR in seguito al trattamento dei dati personali può ricorrere in qualsiasi momento al Garante europeo della protezione dei dati.