SEZIONE VIII - RISERVATEZZA E SICUREZZA DEI TRATTAMENTI

Articolo 16 - Riservatezza dei trattamenti

L'incaricato del trattamento o chiunque agisca sotto la sua autorità o sotto quella del responsabile del trattamento non deve elaborare i dati personali ai quali ha accesso, se non dietro istruzione del responsabile del trattamento oppure in virtù di obblighi legali.

Articolo 17 - Sicurezza dei trattamenti

1. Gli Stati membri dispongono che il responsabile del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall'alterazione, dalla diffusione o dall'accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all'interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali. Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell'applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.

2. Gli Stati membri dispongono che il responsabile del trattamento, quando quest'ultimo sia eseguito per suo conto, deve scegliere un incaricato del trattamento che presenti garanzie sufficienti in merito alle misure di sicurezza tecnica e di organizzazione dei trattamenti da effettuare e deve assicurarsi del rispetto di tali misure.

3. L'esecuzione dei trattamenti su commissione deve essere disciplinata da un contratto o da un atto giuridico che vincoli l'incaricato del trattamento al responsabile del trattamento e che preveda segnatamente:
- che l'incaricato del trattamento operi soltanto su istruzioni del responsabile del trattamento;
- che gli obblighi di cui al paragrafo 1, quali sono definiti dalla legislazione dello Stato membro nel quale è stabilito l'incaricato del trattamento, vincolino anche quest'ultimo.

4. A fini di conservazione delle prove, gli elementi del contratto o dell'atto giuridico relativi alla protezione dei dati e i requisiti concernenti le misure di cui al paragrafo 1 sono stipulati per iscritto o in altra forma equivalente.

SEZIONE IX - NOTIFICAZIONE

Articolo 18 - Obbligo di notificazione all'autorità di controllo

1. Gli Stati membri prevedono un obbligo di notificazione a carico del responsabile del trattamento, od eventualmente del suo rappresentante, presso l'autorità di controllo di cui all'articolo 28, prima di procedere alla realizzazione di un trattamento, o di un insieme di trattamenti, interamente o parzialmente automatizzato, destinato al conseguimento di una o più finalità correlate.

2. Gli Stati membri possono prevedere una semplificazione o l'esonero dall'obbligo di notificazione soltanto nei casi e alle condizioni seguenti:
- qualora si tratti di categorie di trattamento che, in considerazione dei dati oggetto di trattamento, non siano tali da recare pregiudizio ai diritti e alle libertà della persona interessata, essi precisano le finalità dei trattamenti, i dati o le categorie dei dati trattati, la categoria o le categorie di persone interessate, i destinatari o le categorie di destinatari cui sono comunicati i dati e il periodo di conservazione dei dati, e/o
- qualora il responsabile del trattamento designi, conformemente alla legislazione nazionale applicabile, un incaricato della protezione dei dati, a cui è demandato in particolare:
- di assicurare in maniera indipendente l'applicazione interna delle disposizioni nazionali di attuazione della presente direttiva;
- di tenere un registro dei trattamenti effettuati dal responsabile del trattamento in cui figurino le informazioni di cui all'articolo 21, paragrafo 2, garantendo in tal modo che il trattamento non sia tale da recare pregiudizio ai diritti e alle libertà della persona interessata.

3. Gli Stati membri possono prevedere che le disposizioni del paragrafo 1 non si applichino ai trattamenti la cui unica finalità è la compilazione di registri i quali, in forza di disposizioni legislative o regolamentari, siano predisposti per l'informazione del pubblico e siano aperti alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo.

4. Gli Stati membri possono prevedere una deroga all'obbligo della notificazione o una semplificazione della notificazione per i trattamenti di cui all'articolo 8, paragrafo 2, lettera d).

5. Gli Stati membri possono prevedere che i trattamenti non automatizzati di dati personali, o alcuni di essi, siano oggetto di una notificazione eventualmente semplificata.

Articolo 19 - Oggetto della notificazione

1. Gli Stati membri definiscono le informazioni che devono essere contenute nella notificazione. Esse comprendono almeno:

a) il nome e l'indirizzo del responsabile del trattamento e, eventualmente, del suo rappresentante;

b) la o le finalità del trattamento;

c) una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime;

d) i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;

e) i trasferimenti di dati previsti verso paesi terzi;

f) una descrizione generale che permetta di valutare in via preliminare l'adeguatezza delle misure adottate per garantire la sicurezza del trattamento in applicazione dell'articolo 17.

2. Gli Stati membri precisano le modalità di notificazione all'autorità di controllo dei mutamenti relativi alle informazioni di cui al paragrafo 1.

Articolo 20 - Controllo preliminare

1. Gli Stati membri precisano i trattamenti che potenzialmente presentano rischi specifici per i diritti e le libertà delle persone e provvedono a che tali trattamenti siano esaminati prima della loro messa in opera.

2. Tali esami preliminari sono effettuati dall'autorità di controllo una volta ricevuta la notificazione del responsabile del trattamento, oppure dalla persona incaricata della protezione dei dati che, nei casi dubbi, deve consultare l'autorità di controllo medesima.

3. Gli Stati membri possono effettuare tale esame anche durante il processo di elaborazione di un provvedimento del Parlamento nazionale, o in base ad un provvedimento fondato su siffatto provvedimento legislativo, in cui si definisce il tipo di trattamento e si stabiliscono appropriate garanzie.

Articolo 21 - Pubblicità dei trattamenti

1. Gli Stati membri adottano misure intese ad assicurare la pubblicità dei trattamenti.

2. Gli Stati membri devono prevedere che l'autorità di controllo tenga un registro dei trattamenti notificati in virtù dell'articolo 18. Il registro riprende almeno le informazioni enumerate all'articolo 19, paragrafo 1, lettere da a) a e). Il registro può essere consultato da chiunque.

3. Gli Stati membri prevedono che i responsabili dei trattamenti o un altro organismo designato dagli Stati membri comunichino nelle opportune forme, a chiunque ne faccia richiesta, almeno le informazioni di cui all'articolo 19, paragrafo 1, lettere da a) a e), relative ai trattamenti esenti da notificazione. Gli Stati membri possono prevedere che questa disposizione non si applichi ai trattamenti la cui unica finalità è la compilazione di registri i quali, in forza di disposizioni legislative o regolamentari, siano predisposti per l'informazione del pubblico e siano aperti alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo.

CAPO III - RICORSI GIURISDIZIONALI, RESPONSABILITÀ E SANZIONI

Articolo 22 - Ricorsi

Fatti salvi ricorsi amministrativi che possono essere promossi, segnatamente dinanzi all'autorità di controllo di cui all'articolo 28, prima che sia adita l'autorità giudiziaria, gli Stati membri stabiliscono che chiunque possa disporre di un ricorso giurisdizionale in caso di violazione dei diritti garantitigli dalle disposizioni nazionali appicabili al trattamento in questione.

Articolo 23 - Responsabilità

1. Gli Stati membri dispongono che chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della presente direttiva abbia il diritto di ottenere il risarcimento del pregiudizio subito dal responsabile del trattamento.

2. Il responsabile del trattamento può essere esonerato in tutto o in parte da tale responsabilità se prova che l'evento dannoso non gli è imputabile.

Articolo 24 - Sanzioni

Gli Stati membri adottano le misure appropriate per garantire la piena applicazione delle disposizioni della presente direttiva e in particolare stabiliscono le sanzioni da applicare in caso di violazione delle disposizioni di attuazione della presente direttiva.

CAPO IV - TRASFERIMENTO DI DATI PERSONALI VERSO PAESI TERZI

Articolo 25 - Principi

1. Gli Stati membri dispongono che il trasferimento verso un paese terzo di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento può aver luogo soltanto se il paese terzo di cui trattasi garantisce un livello di protezione adeguato, fatte salve le misure nazionali di attuazione delle altre disposizioni della presente direttiva.

2. L'adeguatezza del livello di protezione garantito da un paese terzo è valutata con riguardo a tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti di dati; in particolare sono presi in considerazione la natura dei dati, le finalità del o dei trattamenti previsti, il paese d'origine e il paese di destinazione finale, le norme di diritto, generali o settoriali, vigenti nel paese terzo di cui trattasi, nonché le regole professionali e le misure di sicurezza ivi osservate.

3. Gli Stati membri e la Commissione si comunicano a vicenda i casi in cui, a loro parere, un paese terzo non garantisce un livello di protezione adeguato ai sensi del paragrafo 2.

4. Qualora la Commissione constati, secondo la procedura dell'articolo 31, paragrafo 2, che un paese terzo non garantisce un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, gli Stati membri adottano le misure necessarie per impedire ogni trasferimento di dati della stessa natura verso il paese terzo in questione.

5. La Commissione avvia, al momento opportuno, negoziati per porre rimedio alla situazione risultante dalla constatazione di cui al paragrafo 4.

6. La Commissione può constatare, secondo la procedura di cui all'articolo 31, paragrafo 2, che un paese terzo garantisce un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, in considerazione della sua legislazione nazionale o dei suoi impegni internazionali, in particolare di quelli assunti in seguito ai negoziati di cui al paragrafo 5, ai fini della tutela della vita privata o delle libertà e dei diritti fondamentali della persona. Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.

Articolo 26 - Deroghe

1. In deroga all'articolo 25 e fatte salve eventuali disposizioni contrarie della legislazione nazionale per casi specifici, gli Stati membri dispongono che un trasferimento di dati personali verso un paese terzo che non garantisce una tutela adeguata ai sensi del'articolo 25, paragrafo 2 può avvenire a condizione che:

a) la persona interessata abbia manifestato il proprio consenso in maniera inequivocabile al trasferimento previsto, oppure

b) il trasferimento sia necessario per l'esecuzione di un contratto tra la persona interessata ed il responsabile del trattamento o per l'esecuzione di misure precontrattuali prese a richiesta di questa, oppure

c) il trasferimento sia necessario per la conclusione o l'esecuzione di un contratto, concluso o da concludere nell'interesse della persona interessata, tra il responsabile del trattamento e un terzo, oppure

d) il trasferimento sia necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante, oppure per costatare, esercitare o difendere un diritto per via giudiziaria, oppure

e) il trasferimento sia necessario per la salvaguardia dell'interesse vitale della persona interessata, oppure

f) il trasferimento avvenga a partire da un registro pubblico il quale, in forza di disposizioni legislative o regolamentari, sia predisposto per l'informazione del pubblico e sia aperto alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo, nella misura in cui nel caso specifico siano rispettate le condizioni che la legge prevede per la consultazione.

2. Salvo il disposto del paragrafo 1, uno Stato membro può autorizzare un trasferimento o una categoria di trasferimenti di dati personali verso un paese terzo che non garantisca un livello di protezione adeguato ai sensi dell'articolo 25, paragrafo 2, qualora il responsabile del trattamento presenti garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l'esercizio dei diritti connessi; tali garanzie possono segnatamente risultare da clausole contrattuali appropriate.

3. Lo Stato membro informa la Commissione e gli altri Stati membri in merito alle autorizzazioni concesse a norma del paragrafo 2. In caso di opposizione notificata da un altro Stato membro o dalla Commissione, debitamente motivata sotto l'aspetto della tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, la Commissione adotta le misure appropriate secondo la procedura di cui all'articolo 31, paragrafo 2. Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.

4. Qualora la Commissione decida, secondo la procedura di cui all'articolo 31, paragrafo 2, che alcune clausole contrattuali tipo offrono le garanzie sufficienti di cui al paragrafo 2, gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.

CAPO V - CODICI DI CONDOTTA

Articolo 27

1. Gli Stati membri e la Commissione incoraggiano l'elaborazione di codici di condotta destinati a contribuire, in funzione delle specificità settoriali, alla corretta applicazione delle disposizioni nazionali di attuazione della presente direttiva, adottate dagli Stati membri.

2. Gli Stati membri dispongono che le associazioni professionali e gli altri organismi rappresentanti altre categorie di responsabili del trattamento, che hanno elaborato i progetti di codice nazionali o intendono modificare o prorogare i codici nazionali esistenti, possano sottoporli all'esame dell'autorità nazionale. Gli Stati membri prevedono che tale autorità accerti, in particolare, la conformità dei progetti che le sono sottoposti alle disposizioni nazionali di attuazione della presente direttiva. Qualora lo ritenga opportuno, l'autorità nazionale raccoglie le osservazioni delle persone interessate o dei loro rappresentanti.

3. I progetti di codici comunitari, nonché le modifiche o proroghe di codici comunitari esistenti, possono essere sottoposti al gruppo di cui all'articolo 29, il quale si pronuncia, in particolare, sulla conformità dei progetti che gli sono sottoposti alle disposizioni nazionali di attuazione della presente direttiva. Qualora lo ritenga opportuno, esso raccoglie le osservazioni delle persone interessate o dei loro rappresentanti. La Commissione può provvedere ad un'appropriata divulgazione dei codici che sono stati approvati dal gruppo.

CONTINUA »1 2 3 4 5 6 7