Progetto

L 248/60 IT Gazzetta ufficiale dell’Unione europea 13.7.2021

ii) sono inserite le lettere seguenti:

«j bis) garantire che, in caso di interruzione, i sistemi installati possano essere ripristinati;

j ter) garantire l’affidabilità, accertandosi che eventuali anomalie nel funzionamento dei sistemi siano adeguatamente segnalate e che siano adottate le misure tecniche necessarie per assicurare che i dati personali possano essere recuperati in caso di danneggiamento a causa di un malfunzionamento dei sistemi;»;

b) il paragrafo 3 è sostituito dal seguente:

«3. eu-LISA adotta le misure necessarie per conseguire gli obiettivi enunciati al paragrafo 2 per quanto riguarda il funzionamento del VIS, compresa l’adozione di un piano di sicurezza.»;

37) è inserito l’articolo seguente:

«Articolo 32 bis

Incidenti di sicurezza

1. È considerato incidente di sicurezza l’evento che ha o può avere ripercussioni sulla sicurezza del VIS e può causare danni o perdite ai dati del VIS, in particolare quando possono essere stati consultati dati senza autorizzazione o quando sono state o possono essere state compromesse la disponibilità, l’integrità e la riservatezza dei dati.

2. Ogni incidente di sicurezza è gestito in modo da garantire una risposta rapida, efficace e adeguata.

3. Fatte salve la notifica e la comunicazione di una violazione dei dati personali a norma dell’articolo 33 del regolamento (UE) 2016/679, dell’articolo 30 della direttiva (UE) 2016/680 o di entrambi, gli Stati membri notificano gli incidenti di sicurezza alla Commissione, a eu-LISA e al garante europeo della protezione dei dati. Qualora si verifichi un incidente di sicurezza in relazione al sistema centrale del VIS, eu-LISA ne dà notifica alla Commissione e al garante europeo della protezione dei dati. Europol e l’Agenzia europea della guardia di frontiera e costiera informano la Commissione e il garante europeo della protezione dei dati qualora si verifichi un incidente di sicurezza relativo al VIS.

4. Le informazioni su un incidente di sicurezza che ha o può avere ripercussioni sul funzionamento del VIS o sulla disponibilità, integrità e riservatezza dei dati del VIS sono fornite alla Commissione e, se interessati da tali ripercussioni, agli Stati membri, a Europol e all’Agenzia europea della guardia di frontiera e costiera. Tali incidenti sono altresì registrati secondo il piano di gestione degli incidenti stabilito da eu-LISA.

5. Gli Stati membri, l’Agenzia europea della guardia di frontiera e costiera, eu-LISA ed Europol cooperano in caso di incidente di sicurezza.

6. La Commissione informa senza indugio il Parlamento europeo e il Consiglio degli incidenti gravi e delle misure adottate per porvi rimedio. Tali informazioni sono classificate, se del caso, EU RESTRICTED/RESTREINT UE conformemente alle norme vigenti in materia di sicurezza.»;

38) gli articoli 33 e 34 sono sostituiti dai seguenti:

«Articolo 33

Responsabilità

1. Fatti salvi la responsabilità e il diritto al risarcimento da parte del titolare del trattamento o del responsabile del trattamento ai sensi del regolamento (UE) 2016/679, della direttiva (UE) 2016/680 e del regolamento (UE) 2018/1725:

a) ogni persona o Stato membro che abbia subito danni materiali o immateriali in conseguenza di un’operazione

illecita di trattamento dei dati personali o di qualsiasi altro atto incompatibile con il presente regolamento compiuti da uno Stato membro ha diritto al risarcimento da parte di tale Stato membro;

b) ogni persona o Stato membro che abbia subito danni materiali o immateriali in conseguenza di un atto

incompatibile con il presente regolamento compiuto da un’istituzione, un organo o un organismo dell’Unione ha diritto al risarcimento da parte di tale istituzione, organo od organismo dell’Unione.

Lo Stato membro o l’istituzione, l’organo o l’organismo dell’Unione in questione è esonerato in tutto o in parte dalla propria responsabilità ai sensi del primo comma se prova che l’evento dannoso non gli è imputabile.