REGOLAMENTO DI ESECUZIONE (UE) 2021/1772 DELLA COMMISSIONE

del 28 giugno 2021

a norma del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio sull'adeguata protezione dei dati personali da parte del Regno Unito

[notificata con il numero C(2021) 4800]

(Testo rilevante ai fini del SEE)

LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea,

visto il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (1), in particolare l'articolo 45, paragrafo 3,

considerando quanto segue:

1. INTRODUZIONE

(1) Il regolamento (UE) 2016/679 stabilisce le norme per il trasferimento di dati personali da titolari del trattamento o responsabili del trattamento nell'Unione verso paesi terzi e organizzazioni internazionali nella misura in cui tale trasferimento rientri nel suo ambito di applicazione. Le norme sui trasferimenti internazionali di dati sono stabilite nel capo V di detto regolamento, ossia negli articoli da 44 a 50. Sebbene la circolazione di dati personali verso e da paesi al di fuori dell'Unione europea sia essenziale per l'espansione della cooperazione internazionale e degli scambi transfrontalieri, occorre garantire che il livello di protezione offerto ai dati personali nell'Unione europea non sia compromesso da trasferimenti verso paesi terzi (2).

(2) Ai sensi dell'articolo 45, paragrafo 3, del regolamento (UE) 2016/679 la Commissione può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale garantiscono un livello di protezione adeguato. Nel rispetto di tale condizione, i trasferimenti di dati personali verso un paese terzo possono avvenire senza la necessità di ottenere ulteriori autorizzazioni, come previsto dall'articolo 45, paragrafo 1, e dal considerando 103 di tale regolamento.

(3) Come specificato all'articolo 45, paragrafo 2, del regolamento (UE) 2016/679, l'adozione della decisione di adeguatezza deve basarsi su un'analisi completa dell'ordinamento giuridico del paese terzo, per quanto riguarda tanto le norme applicabili agli importatori di dati quanto le limitazioni e le garanzie relative all'accesso ai dati personali da parte delle autorità pubbliche. Nella propria valutazione la Commissione deve stabilire se il paese terzo in questione assicura un livello di protezione «sostanzialmente equivalente» a quello garantito all'interno dell'Unione europea (considerando 104 del regolamento (UE) 2016/679). Il criterio rispetto al quale viene valutata l'«equivalenza sostanziale» è quello stabilito dalla legislazione dell'UE, in particolare il regolamento (UE) 2016/679, nonché dalla giurisprudenza della Corte di giustizia dell'Unione europea (3). Anche i criteri di riferimento per l'adeguatezza del comitato europeo per la protezione dei dati (EDPB) sono rilevanti a questo proposito (4).

(4) Come chiarito dalla Corte di giustizia dell'Unione europea, non è richiesto un livello di protezione identico (5). In particolare, gli strumenti dei quali il paese terzo in questione si avvale per proteggere i dati personali possono essere diversi da quelli attuati all'interno dell'Unione europea, purché si rivelino efficaci, nella prassi, al fine di assicurare un livello adeguato di protezione (6). Il livello di adeguatezza non comporta pertanto una duplicazione pedissequa delle norme dell'Unione. La prova consiste, piuttosto, nel determinare se, con la sostanza dei diritti alla protezione dei dati e rendendone l'attuazione, l'azionabilità e il controllo effettivi, il sistema estero, nel suo insieme, offre il necessario livello di protezione (7).

(5) La Commissione ha analizzato attentamente la normativa e la prassi del Regno Unito. Sulla base delle risultanze illustrate nei considerando da 8 a 270, la Commissione conclude che il Regno Unito assicura un livello di protezione adeguato per i dati personali trasferiti dall'Unione europea verso il Regno Unito nell'ambito di applicazione del regolamento (UE) 2016/679.

(6) Questa conclusione non riguarda i dati personali trasferiti a fini di controllo dell'immigrazione da parte del Regno Unito o che altrimenti rientrano nell'ambito di applicazione dell'esenzione rispetto a determinati diritti degli interessati a fini di mantenimento dell'effettivo controllo dell'immigrazione («esenzione per motivi di immigrazione») a norma dell'allegato 2, paragrafo 4, punto 1, della legge del 2018 sulla protezione dei dati. La validità e l'interpretazione dell'esenzione per motivi di immigrazione ai sensi del diritto del Regno Unito non sono stabilite, a seguito di una decisione della Corte d'appello di Inghilterra e Galles del 26 maggio 2021. Pur riconoscendo che i diritti degli interessati possono, in linea di principio, essere limitati a fini di controllo dell'immigrazione quale «aspetto importante dell'interesse pubblico», la Corte d'appello ha ritenuto che l'esenzione per motivi di immigrazione, nella sua forma attuale, è incompatibile con il diritto del Regno Unito, in quanto la misura legislativa non contiene disposizioni specifiche che prevedono le garanzie elencate all'articolo 23, paragrafo 2, del regolamento generale sulla protezione dei dati del Regno Unito (in appresso «GDPR del Regno Unito») (8). In tali condizioni, i trasferimenti di dati personali dall'Unione verso il Regno Unito ai quali può applicarsi l'esenzione per motivi di immigrazione dovrebbero essere esclusi dall'ambito di applicazione della presente decisione (9). Una volta posto rimedio all'incompatibilità con il diritto del Regno Unito, l'esenzione per motivi di immigrazione dovrebbe essere riesaminata, come pure la necessità di mantenere la limitazione dell'ambito di applicazione della presente decisione.

(7) La presente decisione non dovrebbe incidere sull'applicazione diretta del regolamento (UE) 2016/679 alle organizzazioni stabilite nel Regno Unito qualora siano soddisfatte le condizioni relative all'ambito di applicazione territoriale di tale regolamento, di cui all'articolo 3 dello stesso.

2. NORME CHE SI APPLICANO AL TRATTAMENTO DI DATI PERSONALI

2.1. Il quadro costituzionale

(8) Il Regno Unito è una democrazia parlamentare che ha un sovrano costituzionale come capo di Stato. Dispone di un parlamento sovrano che costituisce l'autorità suprema rispetto a tutte le altre istituzioni pubbliche, di un potere esecutivo designato dal parlamento e responsabile di fronte a quest'ultimo, e di un potere giudiziario indipendente. Il potere esecutivo deriva la propria autorità dalla propria capacità di ottenere la fiducia della House of Commons (Camera dei Comuni) eletta, e risponde a entrambe le camere del parlamento competenti per l'esame dell'operato del governo nonché per la discussione e l'emanazione di leggi.

(9) Il parlamento del Regno Unito ha delegato al parlamento scozzese, al parlamento gallese (Senedd Cymru) e all'assemblea dell'Irlanda del Nord il potere di legiferare, rispettivamente in Scozia, Galles e Irlanda del Nord, in materie interne che il parlamento del Regno Unito non ha riservato a sé stesso. Sebbene la protezione dei dati sia una materia di competenza del governo centrale, il che significa che la medesima legislazione si applica in tutto il paese, la regolamentazione di altri settori politici pertinenti per la presente decisione è stata delegata. Ad esempio i sistemi di giustizia penale, comprese le attività di polizia di Scozia e Irlanda del Nord, sono soggetti rispettivamente alla competenza del parlamento scozzese e dell'assemblea dell'Irlanda del Nord. Il Regno Unito non dispone di una costituzione codificata nel senso di un documento costitutivo attestato. I principi costituzionali si sono affermati nel corso del tempo, tratti in particolare dalla giurisprudenza e dalla convenzione. Il valore costituzionale di taluni statuti, quali la Magna Carta, il Bill of Rights 1689 e la Human Rights Act 1998 (legge del 1998 sui diritti umani), è stato riconosciuto dagli organi giurisdizionali. I diritti fondamentali delle persone fisiche sono stati sviluppati, come parte della costituzione, attraverso la «common law» (diritto giurisprudenziale), gli statuti corrispondenti e i trattati internazionali, in particolare la convenzione europea dei diritti dell'uomo che il Regno Unito ha ratificato nel 1951. Nel 1987 il Regno Unito ha ratificato altresì la convenzione del Consiglio d'Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale (convenzione 108) (10).

(10) La legge del 1998 sui diritti umani integra nel diritto del Regno Unito i diritti sanciti dalla convenzione europea dei diritti dell'uomo (CEDU). Tale legge accorda a qualsiasi persona fisica i diritti e le libertà fondamentali di cui agli articoli da 2 a 12 e 14 CEDU, agli articoli 1, 2 e 3 del suo primo protocollo e all'articolo 1 del suo tredicesimo protocollo, in combinato disposto con gli articoli 16, 17 e 18 CEDU. Tra di essi è compreso il diritto al rispetto della vita privata e familiare (così come il diritto alla protezione dei dati rientrante in tale diritto) e il diritto a un equo processo (11). In particolare, conformemente all'articolo 8 di tale convenzione, può esservi ingerenza da parte di un'autorità pubblica in relazione al diritto alla tutela della vita privata conformemente alla legge soltanto laddove ciò costituisca in una società democratica una misura necessaria alla sicurezza nazionale, alla pubblica sicurezza, al benessere economico del paese, alla difesa dell'ordine e alla prevenzione dei reati, alla protezione della salute o della morale, o alla protezione dei diritti e delle libertà altrui.

(11) Conformemente alla legge del 1998 sui diritti umani, qualsiasi azione delle autorità pubbliche deve essere compatibile con un diritto sancito da tale convenzione (12). Inoltre la legislazione primaria e quella subordinata vanno lette e attuate in maniera compatibile con i diritti sanciti da tale convenzione (13).

2.2. Il quadro del Regno Unito in materia di protezione dei dati

(12) Il Regno Unito ha receduto dall'Unione europea il 31 gennaio 2020. In base all'accordo sul recesso del Regno Unito di Gran Bretagna e Irlanda del Nord dall'Unione europea e dalla Comunità europea dell'energia atomica (14), il diritto dell'Unione ha continuato ad applicarsi nel Regno Unito durante il periodo di transizione, fino al 31 dicembre 2020. Prima del recesso e durante il periodo di transizione, il quadro normativo in materia di protezione dei dati personali nel Regno Unito era costituito dalla legislazione UE pertinente (in particolare il regolamento (UE) 2016/679 e la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio (15)) e dalla legislazione nazionale, in particolare la Data Protection Act 2018 (16) (legge del 2018 sulla protezione dei dati) che ha fissato norme nazionali, ove consentito dal regolamento (UE) 2016/679, specificando e limitando l'applicazione delle norme del regolamento (UE) 2016/679, e recepito la direttiva (UE) 2016/680.

(13) In preparazione al recesso dall'Unione europea, il governo del Regno Unito ha emanato la European Union (Withdrawal) Act 2018 (17) (legge del 2018 relativa al recesso dall'Unione europea), che incorpora la legislazione dell'Unione direttamente applicabile nel diritto del Regno Unito (18). Tale cosiddetto «diritto dell'Unione mantenuto» comprende il regolamento (UE) 2016/679 nella sua interezza (compresi i suoi considerando) (19). Conformemente a tale atto, il diritto dell'Unione mantenuto senza modifiche deve essere interpretato dagli organi giurisdizionali del Regno Unito in conformità con la relativa giurisprudenza della Corte di giustizia dell'Unione europea e con i principi generali del diritto dell'Unione così come efficaci prima della fine del periodo di transizione (denominati rispettivamente «giurisprudenza dell'UE mantenuta» e «principi generali del diritto dell'UE mantenuti») (20).

(14) Ai sensi della legge del 2018 relativa al recesso dall'Unione europea, i ministri del Regno Unito hanno il potere di introdurre diritto derivato, tramite strumenti legislativi, al fine di apportare le modifiche necessarie al diritto dell'Unione mantenuto in conseguenza del recesso del Regno Unito dall'Unione europea. Essi hanno esercitato tale potere adottando i Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (regolamenti DPPEC) (21). I regolamenti DPPEC modificano il regolamento (UE) 2016/679 come recepito nel diritto del Regno Unito attraverso la legge del 2018 relativa al recesso dall'Unione europea, la legge del 2018 sulla protezione dei dati e altra legislazione in materia di protezione dei dati, al fine di adattarlo al contesto interno (22).

(15) Di conseguenza il quadro giuridico in materia di protezione dei dati personali del Regno Unito dopo la fine del periodo di transizione è costituito: — dal GDPR del Regno Unito, incorporato nel diritto del Regno Unito ai sensi della legge del 2018 relativa al recesso dall'Unione europea e modificato dai regolamenti DPPEC (23); e — dalla legge del 2018 sulla protezione dei dati (24), come modificata dai regolamenti DPPEC.

(16) Dato che il GDPR del Regno Unito si basa sulla legislazione dell'UE, le norme in materia di protezione dei dati nel Regno Unito in molti aspetti rispecchiano da vicino le norme corrispondenti applicabili all'interno dell'Unione europea.

(17) Oltre ai poteri conferiti al segretario di Stato dalla legge del 2018 relativa al recesso dall'Unione europea, diverse disposizioni della legge del 2018 sulla protezione dei dati conferiscono al segretario di Stato poteri per adottare diritto derivato per modificare talune disposizioni di detta legge o prevedere norme supplementari e aggiuntive (25). Finora il segretario di Stato ha esercitato il potere conferitogli dalla sezione 137 della legge del 2018 sulla protezione dei dati soltanto per adottare i Data Protection (Charges and Information) (Amendment) Regulations 2019 (regolamenti del 2019 in materia di protezione dei dati (contributi spese e informazioni) (modifica)), che stabiliscono le circostanze nelle quali i titolari del trattamento sono tenuti a versare un contributo spese annuo all'autorità di protezione dei dati indipendente del Regno Unito, ossia l'Information Commissioner.

(18) Infine ulteriori orientamenti sulla legislazione in materia di protezione dei dati del Regno Unito sono forniti nei codici di pratica e in altri orientamenti adottati dall'Information Commissioner. Sebbene non siano formalmente giuridicamente vincolanti, tali orientamenti hanno valenza interpretativa e dimostrano come l'Information Commissioner applica e fa rispettare la legislazione in materia di protezione dei dati nella pratica. In particolare, gli articoli da 121 a 125 della legge del 2018 sulla protezione dei dati impongono all'Information Commissioner di preparare i codici di pratica in materia di condivisione di dati, marketing diretto, progettazione adeguata all'età, protezione dei dati e giornalismo.

(19) In termini di struttura e componenti principali, il quadro giuridico del Regno Unito che si applica ai dati trasferiti nell'ambito della presente decisione è quindi molto simile a quello che si applica nell'Unione europea. Tale quadro non si basa soltanto sugli obblighi stabiliti dal diritto interno che sono stati modellati dal diritto dell'Unione, ma anche sugli obblighi sanciti dal diritto internazionale, in particolare attraverso l'adesione da parte del Regno Unito alla CEDU e alla convenzione 108, nonché il suo assoggettamento alla competenza giurisdizionale della Corte europea dei diritti dell'uomo. Tali obblighi derivanti da strumenti internazionali giuridicamente vincolanti, riguardanti in particolare la protezione dei dati personali, costituiscono pertanto un elemento di particolare importanza del quadro giuridico valutato nella presente decisione.

2.3. Ambito di applicazione materiale e territoriale

(20) Analogamente al regolamento (UE) 2016/679, il GDPR del Regno Unito si applica al trattamento di dati personali svolto interamente o in parte ricorrendo a mezzi automatizzati, o ad altri trattamenti, se i dati personali costituiscono parte di un sistema di archiviazione (26). Le definizioni di «dati personali», «interessato» e «trattamento» di cui al GDPR del Regno Unito sono identiche a quelle del regolamento (UE) 2016/679 (27). Inoltre il GDPR del Regno Unito si applica al trattamento manuale e non strutturato di dati personali (28) detenuti da talune autorità pubbliche del Regno Unito (29), sebbene i principi e i diritti del GDPR del Regno Unito che non sono pertinenti per tali dati personali non vengano applicati ai sensi degli articoli 24 e 25 della legge del 2018 sulla protezione dei dati. Analogamente a quanto previsto dal regolamento (UE) 2016/679, il GDPR del Regno Unito non si applica al trattamento di dati personali da parte di una persona fisica nel contesto di un'attività puramente personale o domestica (30).

(21) Il GDPR del Regno Unito estende il proprio ambito di applicazione anche al trattamento nel corso di un'attività che, immediatamente prima della fine del periodo di transizione, ricadeva al di fuori dell'ambito di applicazione del diritto dell'Unione europea (ad esempio sicurezza nazionale) (31) oppure rientrava nell'ambito di applicazione del titolo 5, capo 2, del trattato sull'Unione europea (attività relative alla politica estera e di sicurezza comune) (32). Come nel sistema in vigore nell'Unione europea, il GDPR del Regno Unito non si applica al trattamento di dati personali da parte di un'autorità competente per finalità di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, compresa la salvaguardia contro, e la prevenzione di, minacce alla sicurezza pubblica (cosiddette «finalità di contrasto») (tale trattamento è invece disciplinato dalla parte 3 della legge del 2018 sulla protezione dei dati, come avviene per la direttiva (UE) 2016/680 ai sensi del diritto dell'Unione europea) né al trattamento di dati personali da parte dei servizi di intelligence (il Security Service, il Secret Intelligence Service e il Government Communications Headquarters) che rientra nell'ambito di applicazione della parte 4 della legge del 2018 sulla protezione dei dati (33).

(22) L'ambito di applicazione territoriale del GDPR del Regno Unito è specificato all'articolo 3 del GDPR del Regno Unito (34) e comprende il trattamento di dati personali (indipendentemente da dove avviene) nel contesto delle attività di uno stabilimento di un titolare del trattamento o di un responsabile del trattamento nel Regno Unito, nonché il trattamento di dati personali di interessati che si trovano nel Regno Unito, quando le attività di trattamento sono legate all'offerta di beni o servizi a tali interessati o al monitoraggio del loro comportamento (35). Ciò riflette l'approccio adottato dall'articolo 3 del regolamento (UE) 2016/679.

2.4. Definizioni di dati personali e concetti di titolare del trattamento e responsabile del trattamento

(23) Le definizioni di dati personali, trattamento, titolare del trattamento e responsabile del trattamento, così come la definizione di pseudonimizzazione, stabilite nel regolamento (UE) 2016/679 sono state mantenute senza modifiche sostanziali nel GDPR del Regno Unito (36). Inoltre le categorie particolari di dati sono definite dall'articolo 9, paragrafo 1, del GDPR del Regno Unito allo stesso modo del regolamento (UE) 2016/679 («[dati] che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona»). La sezione 205 della legge del 2018 sulla protezione dei dati fornisce la definizione di «dati biometrici» (37), «dati relativi alla salute» (38) e «dati genetici» (39).

2.5. Garanzie, diritti e obblighi

2.5.1. Liceità e correttezza del trattamento

(24) I dati personali dovrebbero essere trattati in maniera lecita e corretta.

(25) I principi di liceità, correttezza e trasparenza e le basi per il trattamento lecito sono garantiti nel diritto del Regno Unito attraverso l'articolo 5, paragrafo 1, lettera a), e l'articolo 6, paragrafo 1, del GDPR del Regno Unito, che sono identici alle rispettive disposizioni del regolamento (UE) 2016/679 (40). La sezione 8 della legge del 2018 sulla protezione dei dati integra l'articolo 6, paragrafo 1, lettera e), prevedendo che il trattamento di dati personali ai sensi dell'articolo 6, paragrafo 1, lettera e), del GDPR del Regno Unito (necessario per lo svolgimento di un compito di interesse pubblico o per l'esercizio di pubblici poteri di cui è investito il titolare del trattamento), comprende il trattamento dei dati personali necessario per l'amministrazione della giustizia, l'esercizio di una funzione di una delle due camere del parlamento, l'esercizio di una funzione conferita a una persona da un atto o da una norma, l'esercizio di una funzione della Corona, di un ministro della Corona o di un dipartimento governativo oppure un'attività che sostiene o promuove l'impegno democratico.

(26) Per quanto concerne il consenso (una delle basi per il trattamento lecito), anche il GDPR del Regno Unito mantiene inalterate le condizioni previste dall'articolo 7 del regolamento (UE) 2016/679, ossia: il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso; una richiesta scritta di consenso deve essere presentata utilizzando un linguaggio semplice e chiaro; l'interessato deve avere il diritto di revocare il proprio consenso in qualsiasi momento; e, nel valutare se il consenso sia stato liberamente prestato, si deve tenere conto dell'eventualità che l'esecuzione di un contratto sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto. Inoltre, ai sensi dell'articolo 8 del GDPR del Regno Unito, nel contesto dell'erogazione di servizi della società dell'informazione il consenso di un minore è lecito soltanto se il minore ha almeno 13 anni. Tale soglia rientra nella fascia di età stabilita dall'articolo 8 del regolamento (UE) 2016/679.

2.5.2. Trattamento di categorie particolari di dati personali

(27) Garanzie specifiche dovrebbero essere applicate al trattamento di «categorie particolari» di dati.

(28) Il GDPR del Regno Unito e la legge del 2018 sulla protezione dei dati contengono norme specifiche per quanto riguarda il trattamento di categorie particolari di dati personali, definite dall'articolo 9, paragrafo 1, del GDPR del Regno Unito allo stesso modo del regolamento (UE) 2016/679 (cfr. considerando 23). Ai sensi dell'articolo 9 del GDPR del Regno Unito, il trattamento di categorie particolari di dati è in linea di principio vietato, fatto salvo il caso in cui si applichi un'eccezione specifica.

(29) Tali eccezioni (elencate all'articolo 9, paragrafi 2 e 3, del GDPR del Regno Unito) non apportano modifiche sostanziali a quelle previste dall'articolo 9, paragrafi 2 e 3, del regolamento (UE) 2016/679. Fatto salvo il caso in cui l'interessato abbia prestato il proprio consenso esplicito al trattamento di tali dati personali, il trattamento di categorie particolari di dati personali è consentito soltanto in circostanze specifiche e limitate. Nella maggior parte dei casi, il trattamento di dati sensibili deve essere necessario per una finalità specifica definita nella disposizione pertinente (cfr. articolo 9, paragrafo 2, lettere b), c), f), g), h), i) e j)).

(30) Inoltre, quando un'eccezione ai sensi dell'articolo 9, paragrafo 2, del GDPR del Regno Unito richiede un'autorizzazione di legge o fa riferimento all'interesse pubblico, affinché possano essere invocate tali eccezioni occorre che siano soddisfatte le condizioni ulteriormente specificate dalla sezione 10 della legge del 2018 sulla protezione dei dati unitamente all'allegato 1 della medesima legge. Ad esempio nel caso di trattamento di dati sensibili per la tutela della «salute pubblica» (articolo 9, paragrafo 2, lettera i), del GDPR del Regno Unito), l'allegato 1, parte 1, paragrafo 3, lettera b), richiede che, oltre alla verifica della necessità, tale trattamento sia effettuato «da un operatore sanitario o sotto la sua responsabilità» oppure «da un'altra persona soggetta a un obbligo di riservatezza in base a un atto legislativo o una norma di legge», anche ai sensi dell'obbligo di riservatezza ben consolidato nella «common law».

(31) Quando dati sensibili vengono trattati per motivi di interesse pubblico rilevante (articolo 9, paragrafo 2, lettera g), del GDPR del Regno Unito), l'allegato 1, parte 2, della legge del 2018 sulla protezione dei dati riporta un elenco esaustivo di finalità che possono essere considerate di interesse pubblico rilevante e, per ciascuna di esse, fissa condizioni aggiuntive specifiche. Ad esempio la promozione della diversità razziale ed etnica ad alti livelli dirigenziali di organizzazioni è riconosciuta come un interesse pubblico rilevante. Il trattamento di dati sensibili per questa finalità specifica è soggetto a requisiti dettagliati, tra cui il fatto che il trattamento sia effettuato nel contesto di un processo di individuazione delle persone idonee a ricoprire posizioni di alto livello, sia necessario per promuovere la diversità razziale ed etnica e non sia suscettibile di causare un danno sostanziale o una sofferenza sostanziale all'interessato.

(32) La sezione 11, paragrafo 1, della legge del 2018 sulla protezione dei dati stabilisce le condizioni per il trattamento di dati personali nelle circostanze descritte dall'articolo 9, paragrafo 3, del GDPR del Regno Unito relative all'obbligo di segretezza. Rientrano in tale contesto circostanze nelle quali il trattamento viene svolto da o sotto la responsabilità di un professionista sanitario o sociale o da un'altra persona che in quelle circostanze è soggetta a un obbligo di riservatezza ai sensi di un atto legislativo o di una norma di legge.

(33) Inoltre, molte eccezioni elencate all'articolo 9, paragrafo 2, del GDPR del Regno Unito richiedono garanzie adeguate e specifiche per essere invocate. A seconda della natura del trattamento e del livello di rischio per i diritti e le libertà degli interessati, le condizioni per il trattamento di cui all'allegato 1 della legge del 2018 sulla protezione dei dati stabiliscono garanzie differenti. L'allegato 1 stabilisce le condizioni per ciascuna situazione di trattamento individualmente.

(34) In alcuni casi la legge del 2018 sulla protezione dei dati disciplina e limita il tipo di dati sensibili che possono essere trattati affinché sia rispettata una base giuridica specifica. Ad esempio il paragrafo 8 dell'allegato 1 autorizza il trattamento di dati sensibili per finalità di promozione della parità di opportunità o di trattamento. Tale condizione di trattamento può essere utilizzata soltanto se i dati rivelano l'origine razziale o etnica, le convinzioni religiose o filosofiche, l'orientamento sessuale oppure se si tratta di dati relativi alla salute.

(35) In alcuni casi la legge del 2018 sulla protezione dei dati limita il tipo di titolare del trattamento che può invocare la condizione di trattamento. Ad esempio il paragrafo 23 dell'allegato 1 prevede il trattamento di dati sensibili in relazione alle risposte di rappresentanti eletti al pubblico. Tale condizione di trattamento può essere utilizzata soltanto se il titolare del trattamento è il rappresentante eletto o agisce sotto l'autorità di quest'ultimo.

(36) In alcuni altri casi la legge del 2018 sulla protezione dei dati fissa dei limiti alle categorie di interessati affinché sia possibile utilizzare una condizione di trattamento. Ad esempio il paragrafo 21 dell'allegato 1 disciplina il trattamento di dati sensibili per regimi pensionistici. Tale condizione può essere utilizzata soltanto se l'interessato è un fratello, un genitore, un nonno o bisnonno del membro di tale regime.

(37) Inoltre, quando si fa affidamento sulle eccezioni di cui all'articolo 9, paragrafo 2, del GDPR del Regno Unito che sono ulteriormente specificate nella sezione 10 della legge del 2018 sulla protezione dei dati unitamente all'allegato 1 della medesima legge, nella maggior parte dei casi il titolare del trattamento è tenuto a redigere un «documento adeguato di informativa». Tale documento deve descrivere le procedure del titolare del trattamento per garantire la conformità rispetto ai principi di cui all'articolo 5 del GDPR del Regno Unito. Deve inoltre stabilire le politiche per la conservazione e la cancellazione, con un'indicazione del periodo di conservazione probabile. I titolari del trattamento devono riesaminare ed aggiornare tale documento come opportuno. Il titolare del trattamento deve conservare il documento di informativa per sei mesi dopo che il trattamento si è concluso e deve renderlo disponibile all'Information Commissioner su richiesta (41).

(38) Conformemente al paragrafo 41 dell'allegato 1 della legge del 2018 sulla protezione dei dati, il documento di informativa deve essere sempre accompagnato da un registro dei trattamenti più approfondito. Tale registro deve tenere traccia degli impegni inclusi nel documento di informativa, ossia indicare se i dati vengono cancellati o conservati in conformità con le politiche. Se le politiche non sono state seguite, il registro deve registrarne i motivi. Il registro deve altresì descrivere in che modo il trattamento soddisfa l'articolo 6 del GDPR del Regno Unito (liceità del trattamento) e la condizione specifica invocata di cui all'allegato 1 della legge del 2018 sulla protezione dei dati.

(39) Infine, come avviene per il regolamento (UE) 2016/679, il GDPR del Regno Unito prevede altresì delle garanzie generali per determinati trattamenti di categorie particolari di dati. L'articolo 35 del GDPR del Regno Unito richiede una valutazione d'impatto sulla protezione dei dati se categorie particolari di dati vengono trattate su larga scala. Ai sensi dell'articolo 37 del GDPR del Regno Unito, il titolare del trattamento o il responsabile del trattamento deve designare un responsabile della protezione dei dati laddove le sue attività principali consistano in trattamenti di categorie particolari di dati su larga scala.

(40) Per quanto concerne i dati personali relativi a condanne penali e reati, l'articolo 10 del GDPR del Regno Unito è identico all'articolo 10 del regolamento (UE) 2016/679. Tale articolo consente il trattamento di dati personali relativi a condanne penali e reati soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto interno che preveda garanzie appropriate per i diritti e le libertà degli interessati.

(41) Se il trattamento di dati relativi a condanne penali e reati non viene effettuato sotto il controllo dell'autorità pubblica, la sezione 10, paragrafo 5, della legge del 2018 sulla protezione dei dati prevede che tale trattamento possa avvenire soltanto per le finalità specifiche/nelle situazioni specifiche di cui all'allegato 1, parti 1, 2 e 3, della legge del 2018 sulla protezione dei dati e sia soggetto ai requisiti specifici stabiliti per ciascuna di tali finalità/situazioni. Ad esempio i dati relativi alle condanne penali possono essere trattati da organismi senza scopo di lucro se il trattamento è effettuato: a) nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali e b) a condizione che i) il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l'associazione o l'organismo a motivo delle sue finalità e b) che i dati personali non siano comunicati all'esterno senza il consenso degli interessati.

(42) Inoltre l'allegato 1, parte 3, della legge del 2018 sulla protezione dei dati stabilisce ulteriori circostanze nelle quali i dati relativi alle condanne penali possono essere utilizzati, che corrispondono alle basi giuridiche per il trattamento dei dati sensibili di cui all'articolo 9, paragrafo 2, del regolamento (UE) 2016/679 e del GDPR del Regno Unito (ad esempio, il consenso dell'interessato, un interesse vitale di una persona fisica qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso, se i dati sono già stati resi manifestamente pubblici dall'interessato, se il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria, ecc.).

2.5.3 Limitazione della finalità, esattezza, minimizzazione dei dati, limitazione della conservazione e sicurezza dei dati

(43) I dati personali dovrebbero essere trattati per una finalità specifica ed essere utilizzati successivamente soltanto nella misura in cui l'uso non sia incompatibile con la finalità del trattamento.

(44) Tale principio è sancito dall'articolo 5, paragrafo 1, lettera b), del regolamento (UE) 2016/679 ed è stato mantenuto senza modifiche all'articolo 5, paragrafo 1, lettera b), del GDPR del Regno Unito. Le condizioni in merito a ulteriori trattamenti compatibili a norma dell'articolo 6, paragrafo 4, del regolamento (UE) 2016/679 sono state mantenute senza modifiche sostanziali all'articolo 6, paragrafo 4, lettere da a) ad e), del GDPR del Regno Unito.

(45) Inoltre i dati dovrebbero essere esatti e, se necessario, dovrebbero essere aggiornati. Dovrebbero inoltre essere adeguati, pertinenti e non eccessivi rispetto alle finalità per le quali sono trattati; inoltre, in linea di principio, dovrebbero essere conservati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati.

(46) Tali principi di minimizzazione dei dati, esattezza e limitazione della conservazione sono sanciti dall'articolo 5, paragrafo 1, lettere da c) ad e), del regolamento (UE) 2016/679 e sono mantenuti senza modifiche nell'articolo 5, paragrafo 1, lettere da c) ad e), del GDPR del Regno Unito.

(47) I dati personali dovrebbero inoltre essere trattati in maniera da garantirne la sicurezza, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali. A tal fine gli operatori economici dovrebbero adottare misure tecniche o organizzative per proteggere i dati personali da possibili minacce. Tali misure dovrebbero essere valutate tenendo conto dello stato dell'arte e dei costi connessi.

(48) La sicurezza dei dati è sancita dalla legge del Regno Unito attraverso il principio di integrità e della riservatezza di cui all'articolo 5, paragrafo 1, lettera f), e all'articolo 32 del GDPR del Regno Unito, concernenti la sicurezza del trattamento. Tali disposizioni sono identiche alle rispettive disposizioni del regolamento (UE) 2016/679. Inoltre, alle stesse condizioni di quelle di cui agli articoli 33 e 34 del regolamento (UE) 2016/679, il GDPR del Regno Unito richiede la notifica di una violazione dei dati personali all'autorità di controllo (articolo 33 del GDPR del Regno Unito) così come la comunicazione di una violazione dei dati personali all'interessato (articolo 34 del medesimo regolamento).

2.5.4 Trasparenza

(49) Gli interessati dovrebbero essere informati dei principali aspetti del trattamento dei dati personali che li riguardano.

(50) Ciò è garantito dagli articoli 13 e 14 del GDPR del Regno Unito, che, oltre a un principio generale di trasparenza, prevede norme sulle informazioni da fornire all'interessato (42). Il GDPR del Regno Unito non introduce modifiche sostanziali a tali norme rispetto agli articoli corrispondenti del regolamento (UE) 2016/679. Tuttavia, come ai sensi del regolamento (UE) 2016/679, i requisiti di trasparenza di cui a tali articoli sono soggetti a diverse eccezioni stabilite nella legge del 2018 sulla protezione dei dati (cfr. considerando da 55 a 72).

2.5.5 Diritti delle persone fisiche

(51) Gli interessati dovrebbero disporre di determinati diritti azionabili nei confronti del titolare del trattamento o del responsabile del trattamento, in particolare il diritto di accesso ai dati, il diritto di opporsi al trattamento e il diritto di far rettificare e cancellare i dati. Allo stesso tempo, tali diritti possono essere soggetti a limitazioni, nella misura in cui tali limitazioni siano necessarie e proporzionate per salvaguardare la sicurezza pubblica o altri importanti obiettivi di interesse pubblico generale.

2.5.5.1 I diritti sostanziali

(52) Il GDPR del Regno Unito garantisce alle persone fisiche i medesimi diritti azionabili di cui al regolamento (UE) 2016/679. Le disposizioni che riconoscono tali diritti delle persone fisiche sono state mantenute nel GDPR del Regno Unito senza modifiche sostanziali.

(53) Tra tali diritti figurano il diritto di accesso dell'interessato (articolo 15 del GDPR del Regno Unito), il diritto di rettifica (articolo 16 del GDPR del Regno Unito), il diritto alla cancellazione (articolo 17 del GDPR del Regno Unito), il diritto di limitazione del trattamento (articolo 18 del GDPR del Regno Unito), un obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento (articolo 19 del GDPR del Regno Unito), il diritto alla portabilità dei dati (articolo 20 del GDPR del Regno Unito) e il diritto di opposizione (articolo 21 del GDPR del Regno Unito) (43). Quest'ultimo comprende anche il diritto dell'interessato di opporsi al trattamento di dati personali per finalità di marketing diretto di cui all'articolo 21, paragrafi 2 e 3, del regolamento (UE) 2016/679. Inoltre, ai sensi della sezione 122 della legge del 2018 sulla protezione dei dati, l'Information Commissioner deve preparare un codice di pratica in relazione allo svolgimento di attività di marketing diretto in conformità con i requisiti della legislazione in materia di protezione dei dati [e i Privacy and Electronic Communications (EC Directive) Regulations 2003 — regolamenti del 2003 sulla tutela della vita privata e le comunicazioni elettroniche (direttiva CE)] nonché degli altri orientamenti destinati a promuovere buone pratiche nel contesto del marketing diretto che l'Information Commissioner ritiene adeguati. L'ufficio dell'Information Commissioner (ICO, Information Commissioner's Office) sta attualmente sviluppando il codice sul marketing diretto (44).

(54) Il diritto dell'interessato a non essere soggetto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici che lo riguardano o che incida analogamente in modo significativo sullo stesso, come previsto dall'articolo 22 del regolamento (UE) 2016/679, è stato anch'esso mantenuto nel GDPR del Regno Unito senza modifiche sostanziali. Tuttavia, è stato aggiunto un nuovo paragrafo (3A) per indicare che la sezione 14 della legge del 2018 sulla protezione dei dati stabilisce garanzie per i diritti, le libertà e i legittimi interessi degli interessati quando il trattamento è effettuato ai sensi dell'articolo 22, paragrafo 2, lettera b), del GDPR del Regno Unito. Ciò si applica solo quando la base per tale decisione è un'autorizzazione o un requisito ai sensi del diritto del Regno Unito, e non si applica se la decisione è necessaria ai sensi di un contratto o se effettuata con il consenso esplicito dell'interessato. Quando si applica la sezione 14 della legge del 2018 sulla protezione dei dati, non appena ragionevolmente fattibile, il titolare del trattamento deve notificare all'interessato per iscritto che è stata adottata una decisione basata unicamente sul trattamento automatizzato. L'interessato ha quindi il diritto, entro un mese dalla ricezione della notifica, di richiedere al titolare del trattamento di riconsiderare la decisione o di adottare una nuova decisione non basata unicamente sul trattamento automatizzato. Al segretario di Stato sono conferiti poteri per adottare ulteriori garanzie per quanto concerne il processo decisionale automatizzato. Tali poteri non sono ancora stati esercitati.

2.5.5.2 Limitazioni dei diritti individuali e altre disposizioni

(55) La legge del 2018 sulla protezione dei dati stabilisce diverse limitazioni a diritti individuali che si inseriscono nel quadro dell'articolo 23 del GDPR del Regno Unito. In tale contesto non viene introdotta alcuna limitazione relativa al diritto di opposizione al marketing diretto come previsto dall'articolo 21, paragrafi 2 e 3, del GDPR del Regno Unito o al diritto di non essere soggetti a un processo decisionale automatizzato come previsto dall'articolo 22 del GDPR del Regno Unito.

(56) Le limitazioni sono dettagliate negli allegati da 2 a 4 della legge del 2018 sulla protezione dei dati. Le autorità del Regno Unito hanno spiegato di seguire due principi: il principio di specificità (adottando un approccio granulare, suddividendo limitazioni di ampia portata in un numero maggiore di disposizioni più specifiche) e il principio di condizionalità (ciascuna disposizione è integrata da garanzie sotto forma di limitazioni o condizioni per prevenire abusi) (45).

(57) Le limitazioni di cui all'articolo 23, paragrafo 1, del GDPR del Regno Unito sono progettate per garantire che esse si applichino soltanto in circostanze specifiche, ove necessario in una società democratica e proporzionato in relazione alla finalità legittima perseguita. Inoltre, conformemente alla giurisprudenza consolidata in materia di interpretazione di limitazioni, un'esenzione dal regime di protezione dei dati può applicarsi soltanto in un caso particolare laddove sia necessario e proporzionato procedere in tal senso (46). È richiesto che la verifica della necessità sia «rigorosa e richieda che qualsiasi ingerenza nei diritti dell'interessato sia proporzionata alla gravità della minaccia per l'interesse pubblico. Tale esercizio comporta pertanto una classica analisi della proporzionalità (47)».

(58) Gli obiettivi perseguiti da tali limitazioni corrispondono a quelli elencati dall'articolo 23 del regolamento (UE) 2016/679, fatta eccezione per le limitazioni per la sicurezza nazionale e la difesa che sono invece disciplinate dalla sezione 26 della legge del 2018 sulla protezione dei dati, ma che sono soggette ai medesimi requisiti in termini di necessità e proporzionalità (cfr. considerando da 63 a 66).

(59) Alcune delle limitazioni, ad esempio quelle relative alla prevenzione o all'accertamento di reati, all'arresto o al perseguimento di autori di reati e alla valutazione o alla riscossione di imposte o diritti (48), consentono limitazioni in relazione a tutti i diritti individuali e agli obblighi di trasparenza (esclusi i diritti di cui all'articolo 21, paragrafo 2, e all'articolo 22). La portata di altre limitazioni è limitata agli obblighi di trasparenza e ai diritti di accesso, come nel caso delle limitazioni relative al segreto professionale (49), al diritto alla libertà dall'obbligo di fornire informazioni che porterebbero a un'autoincriminazione (50) e alla finanza d'impresa, in particolare la prevenzione dell'abuso di informazioni privilegiate (insider trading) (51). Sono poche le limitazioni che consentono una limitazione rispetto all'obbligo del titolare del trattamento di comunicare una violazione dei dati a un interessato e ai principi di limitazione della finalità, nonché di liceità, correttezza e trasparenza del trattamento (52).

(60) Alcune delle limitazioni si applicano automaticamente «integralmente» a un certo tipo di trattamento di dati personali (ad esempio l'applicazione degli obblighi di trasparenza e dei diritti individuali è esclusa quando i dati personali vengono trattati per finalità di valutazione dell'idoneità di una persona a ricoprire una carica giudiziaria oppure quando i dati personali vengono trattati da un organo giurisdizionale o da una persona fisica che agisce nell'esercizio delle proprie funzioni giurisdizionali).

(61) Tuttavia, nella maggior parte dei casi, il paragrafo pertinente dell'allegato 2 della legge del 2018 specifica che la limitazione si applica soltanto quando (e nella misura in cui) l'applicazione delle disposizioni «possa pregiudicare» l'obiettivo legittimo perseguito da tale limitazione: ad esempio, le disposizioni elencate del GDPR del Regno Unito non si applicano ai dati personali trattati a fini di prevenzione o accertamento di reati, arresto o perseguimento di autori di reati, oppure valutazione o riscossione di imposte o diritti «nella misura in cui l'applicazione di tali disposizioni possa pregiudicare» una di tali finalità (53).

(62) Secondo l'interpretazione costante degli organi giurisdizionali del Regno Unito, l'espressione «possa pregiudicare» indica «una probabilità molto significativa e seria di pregiudicare gli interessi pubblici individuati» (54). Una limitazione soggetta al criterio del pregiudizio può pertanto essere invocata solo se, e nella misura in cui, vi sia una probabilità molto significativa e seria che la concessione di un determinato diritto pregiudichi l'interesse pubblico in questione. Spetta al titolare del trattamento valutare caso per caso se tali condizioni siano soddisfatte (55).

(63) Oltre alle limitazioni di cui all'allegato 2 della legge del 2018 sulla protezione dei dati, la sezione 26 della legge del 2018 sulla protezione dei dati prevede un'esenzione che può essere applicata a talune disposizioni del GDPR del Regno Unito e della legge del 2018 sulla protezione dei dati se tale esenzione è necessaria al fine di salvaguardare la sicurezza nazionale o per finalità di difesa. Tale esenzione si applica ai principi di protezione dei dati (fatta eccezione per il principio di liceità), agli obblighi di trasparenza, ai diritti dell'interessato, all'obbligo di notificare una violazione dei dati, alle norme sui trasferimenti internazionali, ad alcune delle mansioni e ad alcuni dei poteri dell'Information Commissioner, nonché alle norme sui mezzi di ricorso, sulle responsabilità e sulle sanzioni, fatta eccezione per la disposizione concernente le condizioni generali per l'imposizione di sanzioni amministrative pecuniarie di cui all'articolo 83 e per la disposizione sulle sanzioni di cui all'articolo 84 del GDPR del Regno Unito. Inoltre la sezione 28 della legge del 2018 sulla protezione dei dati modifica l'applicazione dell'articolo 9, paragrafo 1, al fine di consentire il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, del GDPR del Regno Unito nella misura in cui il trattamento venga effettuato per salvaguardare la sicurezza nazionale o per finalità di difesa e con garanzie adeguate per i diritti e le libertà degli interessati (56).

(64) L'esenzione può essere applicata soltanto nella misura in cui essa sia necessaria per salvaguardare la sicurezza nazionale o la difesa. Come per le altre esenzioni previste dalla legge del 2018 sulla protezione dei dati, tale esenzione deve essere considerata e invocata dal titolare del trattamento caso per caso. Inoltre qualsiasi applicazione dell'esenzione deve essere conforme alle norme in materia di diritti umani (sostenute dalla legge del 1998 sui diritti umani), secondo le quali qualsiasi ingerenza rispetto ai diritti in materia di tutela della vita privata dovrebbe essere necessaria e proporzionata in una società democratica (57).

(65) Tale interpretazione dell'esenzione è confermata dall'ICO, che ha emanato orientamenti dettagliati sull'applicazione dell'esenzione per motivi di sicurezza nazionale e difesa, chiarendo che essa deve essere presa in considerazione e applicata dal titolare del trattamento caso per caso (58). In particolare, gli orientamenti sottolineano che «non si tratta di un'esenzione generalizzata» e che, per invocarla, «non è sufficiente che i dati siano trattati a fini di sicurezza nazionale». Il titolare del trattamento che se ne avvale deve «dimostrare l'effettiva possibilità di un effetto negativo sulla sicurezza nazionale» e, se necessario, «fornire [all'ICO] le prove del motivo per cui si è avvalso di tale esenzione». Gli orientamenti contengono una lista di controllo e una serie di esempi per chiarire ulteriormente le condizioni alle quali tale esenzione può essere invocata.

(66) Il fatto che i dati vengano trattati per finalità di difesa o di sicurezza nazionale non è pertanto di per sé sufficiente per applicare tale esenzione. Un titolare del trattamento deve considerare le conseguenze effettive per la sicurezza nazionale qualora dovesse rispettare la disposizione specifica in materia di protezione dei dati. L'esenzione può essere applicata soltanto a quelle disposizioni specifiche che sono state individuate costituire un rischio e deve essere applicata nella maniera più restrittiva possibile (59).

(67) Tale approccio è stato confermato dall'Information Tribunal (60) (tribunale competente in materia di informazione). Nella causa Baker v Secretary of State for the Home Department («Baker v Secretary of State»), detto organo giurisdizionale ha stabilito che era illecito applicare l'esenzione per motivi di sicurezza nazionale come un'esenzione globale in relazione a richieste di accesso ricevute dai servizi di intelligence. Tale esenzione doveva invece essere applicata caso per caso, esaminando ciascuna richiesta nel merito e tenuto conto del diritto delle persone fisiche al rispetto della loro vita privata (61).

2.5.6 Limitazioni relative ai dati personali trattati per finalità giornalistiche, artistiche, accademiche e letterarie nonché per archiviazione e ricerca

(68) L'articolo 85, paragrafo 2, del GDPR del Regno Unito consente l'emissione di disposizioni affinché i dati personali trattati per finalità giornalistiche, artistiche, accademiche e letterarie siano esentati dall'applicazione di diverse disposizioni del GDPR del Regno Unito. L'allegato 2, parte 5, della legge del 2018 sulla protezione dei dati stabilisce le esenzioni per il trattamento per tali finalità. Prevede esenzioni rispetto ai principi di protezione dei dati (fatta eccezione per il principio di integrità e riservatezza), alle basi giuridiche per il trattamento (incluse categorie particolari di dati e dati su condanne penali, ecc.), alle condizioni per il consenso, agli obblighi di trasparenza, ai diritti degli interessati, all'obbligo di notificare violazioni dei dati e al requisito di consultare l'Information Commissioner prima di un trattamento soggetto a rischio elevato nonché alle norme in materia di trasferimenti internazionali (62). A tale riguardo, il GDPR del Regno Unito non si discosta in maniera sostanziale dal regolamento (UE) 2016/679, il quale al suo articolo 85 prevede anch'esso la possibilità di esentare il trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria da una serie di requisiti sanciti dal regolamento (UE) 2016/679 stesso. Le disposizioni della legge del 2018 sulla protezione dei dati, in particolare l'allegato 2, parte 5, sono compatibili con il GDPR del Regno Unito.

(69) L'esercizio principale di equilibrio da effettuare a norma dell'articolo 85 del GDPR del Regno Unito riguarda l'eventualità che un'esenzione rispetto alle norme in materia di protezione dei dati di cui al considerando 68 sia «necessaria per riconciliare il diritto alla protezione dei dati personali con la libertà di espressione e informazione» (63). Conformemente all'allegato 2, paragrafo 26, punti 2 e 3, della legge del 2018 sulla protezione dei dati, il Regno Unito applica una verifica della «convinzione ragionevole» al fine di assicurate tale equilibrio. Affinché il ricorso a un'esenzione sia giustificato, il titolare del trattamento deve ritenere ragionevolmente: i) che la pubblicazione sia nell'interesse pubblico; e ii) che l'applicazione della disposizione pertinente del regolamento generale sulla protezione dei dati sia incompatibile con finalità giornalistiche, accademiche, artistiche o letterarie. Come confermato dalla giurisprudenza (64), la verifica della «convinzione ragionevole» presenta tanto una componente soggettiva quanto una componente oggettiva: non è sufficiente per il titolare del trattamento dimostrare che egli stesso riteneva che la conformità fosse incompatibile. La sua convinzione deve essere ragionevole, ossia deve poter essere condivisa da una persona ragionevole che conosca i fatti pertinenti. Il titolare del trattamento deve quindi esercitare la dovuta diligenza quando forma la propria convinzione per essere in grado di dimostrare la ragionevolezza. Secondo le spiegazioni fornite dalle autorità del Regno Unito, la verifica della «convinzione ragionevole» deve essere effettuata in relazione a ogni singola esenzione caso per caso (65). Se le condizioni sono soddisfatte, l'esenzione è considerata necessaria e proporzionata ai sensi del diritto del Regno Unito.

(70) Conformemente alla sezione 124 della legge del 2018 sulla protezione dei dati, l'ICO deve preparare un codice di pratica sulla protezione dei dati e il giornalismo. I lavori in relazione a tale codice sono in corso. Sono stati pubblicati orientamenti in merito a questa questione ai sensi della legge del 1998 sulla protezione dei dati che sottolineano in particolare che, per fare affidamento su tale esenzione, non è sufficiente affermare semplicemente che il rispetto delle norme costituirebbe un inconveniente per le attività dei giornalisti, ma deve sussistere un'argomentazione chiara a sostegno del fatto che la disposizione in questione costituisce un ostacolo per il giornalismo responsabile (66). L'autorità di regolamentazione per le comunicazioni del Regno Unito, l'Ofcom, e la BBC nelle sue linee guida editoriali hanno pubblicato orientamenti sull'applicazione della verifica dell'interesse pubblico e dell'equilibrio tra interesse pubblico e interesse di una persona fisica alla tutela della sua vita privata (67). Tali orientamenti forniscono in particolare esempi di informazioni che possono essere considerate nell'interesse pubblico e spiegano la necessità di essere in grado di dimostrare che l'interesse pubblico prevale sui diritti alla tutela della vita privata in particolari circostanze del caso.

(71) Analogamente a quanto previsto dall'articolo 89 del GDPR del Regno Unito, anche i dati personali trattati per finalità di archiviazione nell'interesse pubblico, per finalità di ricerca scientifica o storica o per finalità statistiche possono essere esentati da una serie di disposizioni elencate dal medesimo regolamento (68). Per quanto riguarda la ricerca e la statistica, sono possibili esenzioni rispetto alle disposizioni del GDPR del Regno Unito concernenti la conferma del trattamento, l'accesso ai dati e le garanzie per i trasferimenti verso paesi terzi; il diritto di rettifica; la limitazione di trattamento e l'opposizione al trattamento. Per quanto concerne l'archiviazione nell'interesse pubblico, sono possibili anche esenzioni in relazione all'obbligo di notifica per quanto riguarda la rettifica o la cancellazione di dati personali o la limitazione di trattamento e al diritto alla portabilità dei dati.

(72) Secondo il paragrafo 27, punto 1, e il paragrafo 28, punto 1, dell'allegato 2 della legge del 2018 sulla protezione dei dati, sono possibili esenzioni rispetto alle disposizioni elencate nel GDPR del Regno Unito se l'applicazione delle disposizioni «impedisce o compromette seriamente il conseguimento» delle finalità in questione (69).

(73) Data la rilevanza delle esenzioni per l'esercizio effettivo dei diritti individuali, nel contesto del monitoraggio continuo della presente decisione (70) si terrà debitamente conto di qualsiasi sviluppo pertinente riguardante l'interpretazione e l'applicazione pratica delle esenzioni summenzionate (oltre a quella relativa al mantenimento dell'effettivo controllo dell'immigrazione, come spiegato al considerando 6), compreso qualsiasi ulteriore sviluppo della giurisprudenza e degli orientamenti dell'ICO e delle azioni di esecuzione.

2.5.7 Limitazioni ai trasferimenti successivi

(74) Il livello di protezione offerto ai dati personali trasferiti dall'Unione europea verso titolari del trattamento o responsabili del trattamento nel Regno Unito non deve essere compromesso da ulteriori trasferimenti di tali dati a destinatari che si trovano in un paese terzo. Tali «trasferimenti successivi», che dal punto di vista del titolare del trattamento o del responsabile del trattamento del Regno Unito costituiscono trasferimenti internazionali dal Regno Unito, dovrebbero essere autorizzati soltanto nel caso in cui anche il destinatario successivo al di fuori del Regno Unito sia soggetto a norme che garantiscono un livello di protezione analogo a quello garantito dall'ordinamento giuridico del Regno Unito. Per questo motivo l'applicazione delle norme del GDPR del Regno Unito e della legge del 2018 sulla protezione dei dati in materia di trasferimenti internazionali dei dati personali costituisce un elemento importante per garantire la continuità della protezione nel caso dei dati personali trasferiti dall'Unione europea verso il Regno Unito ai sensi della presente decisione.

(75) Il regime in materia di trasferimenti internazionali di dati personali dal Regno Unito è definito agli articoli da 44 a 49 del GDPR del Regno Unito, integrati dalla legge del 2018 sulla protezione dei dati, ed è sostanzialmente identico alle norme stabilite al capo V del regolamento (UE) 2016/679 (71). I trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale possono avvenire soltanto sulla base di regolamenti di adeguatezza (lo strumento del Regno Unito equivalente a una decisione di adeguatezza ai sensi del regolamento (UE) 2016/679), o, in assenza di regolamenti di adeguatezza, laddove il titolare del trattamento o il responsabile del trattamento abbia fornito garanzie adeguate conformemente all'articolo 46 del GDPR del Regno Unito. In assenza di regolamenti di adeguatezza o garanzie adeguate, un trasferimento può avvenire soltanto sulla base di deroghe di cui all'articolo 49 del GDPR del Regno Unito.

(76) I regolamenti di adeguatezza emessi dal segretario di Stato possono stabilire che un paese terzo (o un territorio o un settore all'interno di un paese terzo), un'organizzazione internazionale o una descrizione (72) di tale paese, territorio, settore od organizzazione assicuri un livello adeguato di protezione dei dati personali. Nel valutare l'adeguatezza del livello di protezione, il segretario di Stato deve tenere conto degli stessi identici elementi che la Commissione è tenuta a valutare ai sensi dell'articolo 45, paragrafo 2, lettere da a) a c), del regolamento (UE) 2016/679, interpretato in combinato disposto con il considerando 104 del regolamento (UE) 2016/679 e con la giurisprudenza dell'UE mantenuta. Ciò significa che, nel valutare il livello di protezione adeguato di un paese terzo, il riferimento pertinente sarà se il paese terzo in questione assicura un livello di protezione «sostanzialmente equivalente» a quello garantito nel Regno Unito.

(77) Per quanto riguarda la procedura, i regolamenti di adeguatezza sono soggetti ai requisiti procedurali «generali» previsti dalla sezione 182 della legge del 2018 sulla protezione dei dati. Secondo tale procedura, quando propone futuri regolamenti di adeguatezza del Regno Unito il segretario di Stato deve consultare l'Information Commissioner (73). Una volta adottati dal segretario di Stato, tali regolamenti sono presentati al parlamento e sottoposti alla procedura di «risoluzione negativa» nel contesto della quale entrambe le camere del parlamento possono esaminare il regolamento e hanno la facoltà di presentare una mozione di annullamento del regolamento stesso entro un termine 40 giorni (74).

(78) Ai sensi della sezione 17B, paragrafo 1, della legge del 2018 sulla protezione dei dati, i regolamenti di adeguatezza devono essere riesaminati ad intervalli di tempo non superiori a quattro anni e il segretario di Stato deve monitorare continuativamente gli sviluppi in paesi terzi ed organizzazioni internazionali che potrebbero incidere sulle decisioni di emettere regolamenti di adeguatezza o di modificare o revocare tali regolamenti. Se il segretario di Stato viene a conoscenza del fatto che un determinato paese o una determinata organizzazione non garantisce più un livello adeguato di protezione dei dati personali, deve, nella misura necessaria, modificare o revocare i regolamenti e avviare consultazioni con il paese terzo o l'organizzazione internazionale in questione in maniera da porre rimedio alla mancanza di un livello adeguato di protezione. Tali aspetti procedurali rispecchiano altresì i requisiti corrispondenti del regolamento (UE) 2016/679.

(79) In assenza di regolamenti di adeguatezza, i trasferimenti internazionali possono aver luogo laddove il titolare del trattamento o il responsabile del trattamento abbia fornito garanzie adeguate conformemente all'articolo 46 del GDPR del Regno Unito. Tali garanzie sono analoghe a quelle di cui all'articolo 46 del regolamento (UE) 2016/679. Tra esse figurano strumenti giuridicamente vincolanti e aventi efficacia esecutiva tra autorità pubbliche o organismi pubblici, norme vincolanti d'impresa (75), clausole tipo di protezione dei dati, codici di condotta approvati, meccanismi di certificazione approvati e, previa autorizzazione da parte dell'Information Commissioner, clausole contrattuali tra titolari del trattamento (o responsabili del trattamento) o accordi amministrativi tra autorità pubbliche. Tuttavia le norme sono state modificate, da un punto di vista procedurale, per funzionare all'interno del quadro del Regno Unito, in particolare le clausole tipo di protezione dei dati possono essere adottate dal segretario di Stato (sezione 17C) o dall'Information Commissioner (sezione 119A) in conformità con la legge del 2018 sulla protezione dei dati.

(80) In assenza una decisione di adeguatezza o di garanzie adeguate, un trasferimento può avvenire soltanto sulla base delle deroghe di cui all'articolo 49 del GDPR del Regno Unito (76). Il GDPR del Regno Unito non introduce modifiche sostanziali a tali deroghe, rispetto alle norme corrispondenti del regolamento (UE) 2016/679. Ai sensi del GDPR del Regno Unito, così come ai sensi del regolamento (UE) 2016/679, è possibile fare affidamento su talune deroghe soltanto se il trasferimento è occasionale (77). Inoltre, nei suoi orientamenti in materia di trasferimenti internazionali, l'ICO chiarisce che: «si dovrebbe fare affidamento su tali deroghe soltanto come vere e proprie 'eccezioni' rispetto alla norma generale secondo la quale non si dovrebbe effettuare un trasferimento limitato fatto salvo il caso in cui esso sia coperto da una decisione di adeguatezza o sussistano garanzie adeguate» (78). Per quanto concerne i trasferimenti necessari per importanti motivi di interesse pubblico (articolo 49, paragrafo 1, lettera d)), il segretario di Stato può emettere regolamenti per specificare le circostanze nelle quali un trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale non è necessario per importanti motivi di interesse pubblico. Mediante regolamenti il segretario di Stato può inoltre limitare il trasferimento di una categoria di dati personali verso un paese terzo o un'organizzazione internazionale laddove il trasferimento non possa avvenire sulla base di regolamenti di adeguatezza e il Segretario di Stato ritenga che la limitazione sia necessaria per importanti motivi di interesse pubblico. Ad oggi non sono stati adottati regolamenti di tale sorta.

(81) Questo quadro per i trasferimenti internazionali è diventato applicabile alla fine del periodo di transizione (79). Tuttavia il paragrafo 4 dell'allegato 21 della legge del 2018 sulla protezione dei dati (introdotto dai regolamenti DPPEC) prevede che, a partire dalla fine del periodo di transizione, alcuni trasferimenti di dati personali siano trattati come se fossero basati su regolamenti di adeguatezza. Tra tali trasferimenti figurano quelli verso uno Stato SEE, il territorio di Gibilterra, un'istituzione, un organo o un organismo dell'Unione istituito dal trattato UE, o in base ad esso, nonché verso paesi terzi che erano oggetto di una decisione di adeguatezza dell'UE alla fine del periodo di transizione. Di conseguenza i trasferimenti verso tali paesi possono continuare come prima del recesso del Regno Unito dall'Unione europea. Dopo la fine del periodo di transizione, il segretario di Stato deve condurre un riesame di tali accertamenti di adeguatezza entro un termine di quattro anni, ossia entro la fine del dicembre 2024. Secondo la spiegazione fornita dalle autorità del Regno Unito, sebbene il segretario di Stato debba intraprendere tale riesame entro la fine di dicembre 2024, le disposizioni transitorie non comprendono una disposizione relativa alla scadenza e le disposizioni transitorie pertinenti non cesseranno automaticamente di avere effetto se un riesame non viene completato entro la fine di dicembre del 2024.

(82) Infine, per quanto riguarda la futura evoluzione del regime del Regno Unito in materia di trasferimenti internazionali — attraverso l'adozione di nuovi regolamenti di adeguatezza, la conclusione di accordi internazionali o lo sviluppo di altri meccanismi di trasferimento — la Commissione monitorerà attentamente la situazione, valuterà se i diversi meccanismi di trasferimento siano utilizzati in modo da garantire la continuità della protezione e, se necessario, adotterà misure adeguate per affrontare i possibili effetti negativi per tale continuità (cfr. considerando da 278 a 287). Poiché l'UE e il Regno Unito condividono norme analoghe in materia di trasferimenti internazionali, si dovrebbero poter evitare divergenze problematiche anche attraverso la cooperazione, lo scambio di informazioni e la condivisione di esperienze, incluso tra l'ICO e l'EDPB.

2.5.8 Responsabilizzazione

(83) Secondo il principio di responsabilizzazione, i soggetti che trattano dati sono tenuti a mettere in atto misure tecniche e organizzative adeguate per rispettare effettivamente i loro obblighi in materia di protezione dei dati e per essere in grado di dimostrare tale rispetto, in particolare all'autorità di controllo competente.

(84) Il principio di responsabilizzazione previsto dal regolamento (UE) 2016/679 è stato mantenuto nell'articolo 5, paragrafo 2, del GDPR del Regno Unito senza modifiche sostanziali e lo stesso vale per l'articolo 24 sulla responsabilità del titolare del trattamento, l'articolo 25 sulla protezione dei dati fin dalla progettazione e protezione per impostazione predefinita e per l'articolo 30 sui registri delle attività di trattamento. Anche gli articoli 35 e 36 sulla valutazione d'impatto sulla protezione dei dati e sulla consultazione preventiva sono stati mantenuti. Gli articoli da 37 a 39 del regolamento (UE) 2016/679 sulla designazione del responsabile della protezione dei dati e sui suoi compiti sono stati mantenuti nel GDPR del Regno Unito senza modifiche sostanziali. Inoltre le disposizioni di cui agli articoli 40 e 42 del regolamento (UE) 2016/679 sui codici di condotta e sulla certificazione sono state mantenute nel GDPR del Regno Unito (80).

2.6 Vigilanza e applicazione

2.6.1 Vigilanza indipendente

(85) Al fine di garantire un adeguato livello di protezione dei dati nella pratica, dovrebbe esistere un'autorità di controllo indipendente cui siano conferiti i poteri di monitorare e assicurare il rispetto delle norme in materia di protezione dei dati. Tale autorità dovrebbe agire in piena indipendenza e imparzialità nell'esercizio delle proprie funzioni e dei propri poteri.

(86) Nel Regno Unito la vigilanza e l'applicazione del rispetto del GDPR del Regno Unito e della legge del 2018 sulla protezione dei dati spettano all'Information Commissioner. L'Information Commissioner è una «corporate sole», ossia un'entità giuridica distinta costituita da un socio unico. Nelle sue attività l'Information Commissioner è sostenuto da un ufficio, il cui personale al 31 marzo 2020 era composto di 768 membri permanenti (81). Il dipartimento di riferimento dell'Information Commissioner è il dipartimento per il Digitale, la cultura, i media e lo sport (82).

(87) L'indipendenza dell'Information Commissioner è sancita esplicitamente dall'articolo 52 del GDPR del Regno Unito che non attua alcuna modifica sostanziale rispetto all'articolo 52, paragrafi da 1 a 3, del regolamento (UE) 2016/679. L'Information Commissioner deve agire in piena indipendenza nell'adempimento dei propri compiti e nell'esercizio dei propri poteri conformemente al GDPR del Regno Unito, non subire pressioni esterne, né dirette né indirette, e non sollecitare né accettare istruzioni da alcuno. L'Information Commissioner deve astenersi da qualunque azione incompatibile con le proprie funzioni e per tutta la durata del mandato non può esercitare alcuna altra attività incompatibile, remunerata o meno.

(88) Le condizioni per la nomina e la revoca dell'incarico dell'Information Commissioner sono stabilite nell'allegato 12 della legge del 2018 sulla protezione dei dati. L'Information Commissioner è nominato dalla Regina su raccomandazione del governo in seguito a un concorso equo e aperto. Il candidato deve disporre di qualifiche, competenze e capacità adeguate. In conformità con il Governance Code on Public Appointments (83) (codice sulla governance sulle nomine pubbliche), un gruppo consultivo di valutazione stila un elenco di candidati nominabili. Prima che il segretario di Stato del dipartimento per il Digitale, la cultura, i media e lo sport finalizzi la propria decisione, la commissione ad hoc pertinente del parlamento deve effettuare uno scrutinio pre-nomina. La posizione di tale commissione è resa pubblica (84).

(89) L'Information Commissioner resta in carica per un mandato massimo di sette anni. Una persona non può essere nominata Information Commissioner più di una volta. Il suo incarico può essere revocato dalla Regina a seguito di una raccomandazione prestata da entrambe le camere del parlamento (85). Non può essere presentata alcuna rimozione dall'incarico dell'Information Commissioner ad alcuna delle camere del parlamento fintantoché un ministro non abbia presentato una relazione nella quale ha affermato di essere convinto che l'Information Commissioner si sia reso colpevole di una colpa grave e/o non soddisfi più le condizioni richieste per lo svolgimento delle sue funzioni spettanti (86).

(90) I finanziamenti dell'Information Commissioner provengono da tre fonti: i) contributi spese in materia di protezione dei dati versati dai titolari del trattamento, che sono fissati da regolamenti di un segretario di Stato (87) (i regolamenti del 2018 in materia di protezione dei dati (contributi spese e informazioni)), e ammontano all'85 %-90 % del bilancio annuale dell'ICO (88); ii) una sovvenzione che può essere corrisposta dal governo all'Information Commissioner. Una sovvenzione viene utilizzata principalmente per finanziare i costi operativi dell'Information Commissioner in relazione a compiti concernenti attività non correlate alla protezione di dati (89); e iii) commissioni addebitate per servizi (90). Attualmente, tali commissioni non vengono addebitate.

(91) Le funzioni generali dell'Information Commissioner in relazione al trattamento di dati personali al quale si applica il GDPR del Regno Unito sono stabilite nell'articolo 57 del GDPR del Regno Unito, il quale rispecchia da vicino le norme corrispondenti del regolamento (UE) 2016/679. Le sue funzioni comprendono il monitoraggio e l'assicurazione del rispetto del GDPR del Regno Unito, la promozione della sensibilizzazione del pubblico, la gestione dei reclami promossi dagli interessati, lo svolgimento di indagini, ecc. Inoltre la sezione 115 della legge del 2018 sulla protezione dei dati stabilisce altre funzioni generali dell'Information Commissioner che comprendono un obbligo di consigliare il parlamento, il governo e altre istituzioni e organismi sulle misure legislative e amministrative relative alla protezione dei diritti e delle libertà delle persone in relazione al trattamento dei dati personali, nonché un potere di emettere, su iniziativa propria dell'Information Commissioner o su richiesta, pareri indirizzati al parlamento, al governo o altre istituzioni e organismi nonché al pubblico su qualsiasi questione relativa alla protezione dei dati personali. Ai fini del mantenimento dell'indipendenza del potere giudiziario, l'Information Commissioner non è autorizzato a esercitare le sue funzioni in relazione al trattamento di dati personali da parte di un soggetto o di un organo giurisdizionale che agisce nell'esercizio delle proprie funzioni giurisdizionali. Tuttavia la vigilanza sul potere giudiziario è assicurata da organismi specializzati (cfr. considerando da 99 a 103).

2.6.2 Applicazione (sanzioni comprese)

(92) I poteri dell'Information Commissioner sono stabiliti dall'articolo 58 del GDPR del Regno Unito, che non introduce modifiche sostanziali al corrispondente articolo del regolamento (UE) 2016/679. La legge del 2018 sulla protezione dei dati stabilisce norme supplementari sulle modalità con cui tali poteri possono essere esercitati. In particolare, l'Information Commissioner dispone dei poteri per: a) ordinare al titolare del trattamento e al responsabile del trattamento (e in determinate circostanze a qualsiasi altra persona) di fornire informazioni necessarie notificando un avviso di informazione («avviso di informazione») (91); b) effettuare indagini e verifiche trasmettendo un avviso di valutazione, che può imporre al titolare del trattamento o al responsabile del trattamento di consentire all'Information Commissioner di accedere a locali specificati, ispezionare o esaminare documenti o apparecchiature, e interrogare persone che trattano dati personali per conto del titolare del trattamento, ecc. («avviso di valutazione») (92); c) ottenere altrimenti l'accesso a documenti, ecc. di titolari del trattamento e responsabili del trattamento così come accesso ai loro locali in conformità con la sezione 154 della legge del 2018 sulla protezione dei dati («poteri di accesso e ispezione»); d) esercitare poteri correttivi, anche mediante avvertimenti e ammonimenti, oppure emettere ordini per mezzo di un avviso di esecuzione, che impone ai titolari del trattamento/responsabili del trattamento di adottare o di astenersi dall'adottare misure specificate, in particolare di compiere qualsiasi azione specificata dall'articolo 58, paragrafo 2, lettere da c) a g) e lettera j) del GDPR del Regno Unito («avviso di esecuzione») (93); e) comminare sanzioni amministrative pecuniarie sotto forma di un avviso di irrogazione di sanzioni («avviso di irrogazione di sanzioni») (94). Quest'ultimo può essere emesso anche qualora un'autorità pubblica non abbia rispettato le disposizioni del GDPR del Regno Unito (95).

(93) Il documento Regulatory Action Policy dell'ICO stabilisce le circostanze nelle quali l'Information Commissioner emetterà un avviso di informazione, valutazione, esecuzione e irrogazione di sanzioni (96). Un avviso di esecuzione notificato a seguito di un inadempimento da parte di un titolare del trattamento o di un responsabile del trattamento può esclusivamente imporre i requisiti che l'Information Commissioner ritiene opportuni al fine di porre rimedio a tale inadempimento. Gli avvisi di esecuzione e di irrogazione di sanzioni possono essere emessi nei confronti di un titolare del trattamento o di un responsabile del trattamento in relazione a violazioni del capo II del GDPR del Regno Unito (principi di trattamento), degli articoli da 12 a 22 (diritti dell'interessato), degli articoli da 25 a 39 (obblighi dei titolari del trattamento e dei responsabili del trattamento) e degli articoli da 44 a 49 (trasferimenti internazionali) del GDPR del Regno Unito. Un avviso di esecuzione può essere notificato anche nel caso in cui un titolare del trattamento non abbia rispettato l'obbligo di versare un contributo spese fissato in regolamenti emessi ai sensi della sezione 137 della legge del 2018 sulla protezione dei dati. Inoltre un organismo di controllo ai sensi dell'articolo 41 o un fornitore di certificazione può vedersi notificare un avviso di esecuzione nel caso in cui non rispetti gli obblighi cui è soggetto ai sensi del GDPR del Regno Unito. Un avviso di irrogazione di sanzioni può essere notificato anche a una persona che non ha rispettato un avviso di informazione, un avviso di valutazione o un avviso di esecuzione.

(94) L'avviso di irrogazione di sanzioni impone a una persona di corrispondere all'Information Commissioner un importo specificato nell'avviso stesso. Nello stabilire se notificare un avviso di irrogazione di sanzioni a una persona e determinare l'ammontare della sanzione, l'Information Commissioner deve tener conto delle questioni elencate all'articolo 83, paragrafi 1 e 2, del GDPR del Regno Unito, che sono disposizioni identiche alle norme corrispondenti del regolamento (UE) 2016/679 (97). Conformemente all'articolo 83, paragrafi 4 e 5, gli importi massimi delle sanzioni amministrative pecuniarie in caso di mancato rispetto degli obblighi di cui a tali disposizioni sono rispettivamente 8 700 000 GBP o 17 500 000 GBP. Nel caso di un'impresa, l'Information Commissioner può altresì imporre sanzioni pecuniarie espresse in percentuale rispetto al fatturato mondiale annuo, laddove superiore. Come nelle disposizioni equivalenti del regolamento (UE) 2016/679, tali importi sono fissati al 2 % e al 4 % all'articolo 83, paragrafi 4 e 5, rispettivamente. In caso di mancato rispetto di un avviso di informazione, di un avviso di valutazione o un di avviso di esecuzione, l'importo massimo della sanzione che può essere comminata da un avviso di irrogazione di sanzioni è 17 500 000 GBP o, nel caso di un'impresa, il 4 % del fatturato mondiale annuo, se più elevato.

(95) Il GDPR del Regno Unito unitamente alla legge del 2018 sulla protezione dei dati hanno anche rafforzato altri poteri dell'Information Commissioner. Ad esempio l'Information Commissioner può ora condurre audit obbligatori in relazione a tutti i titolari del trattamento e i responsabili del trattamento attraverso l'uso di avvisi di valutazione, mentre nel contesto della legislazione precedente, la legge del 1998 sulla protezione dei dati, l'Information Commissioner disponeva di tale potere soltanto nei confronti di organizzazioni del governo centrale e di organizzazioni della sanità, mentre gli altri soggetti dovevano acconsentire di sottoporsi a un audit.

(96) Dall'introduzione del regolamento (UE) 2016/679, l'ICO gestisce circa 40 000 reclami l'anno promossi da interessati (98) e, in aggiunta, svolge circa 2 000 indagini d'ufficio (99). La maggior parte dei reclami è correlata ai diritti di accesso e alla comunicazione di dati. A seguito delle sue indagini, l'Information Commissioner sta adottando misure di esecuzione in un'ampia gamma di settori. Più specificamente, secondo l'ultima relazione annuale dell'Information Commissioner (2019-2020) (100), quest'ultimo ha emesso 54 avvisi di informazione, 8 avvisi di valutazione, 7 avvisi di esecuzione, 4 diffide, ha avviato 8 procedimenti giudiziari e ha irrogato 15 sanzioni pecuniarie durante il periodo di riferimento (101).

(97) Queste misure comprendono diverse sanzioni pecuniarie significative imposte ai sensi del regolamento (UE) 2016/679 e della legge del 2018 sulla protezione dei dati. In particolare, nell'ottobre del 2020, l'Information Commissioner ha irrogato una sanzione pecuniaria di 20 milioni di GBP a una compagnia aerea britannica per una violazione dei dati che ha interessato più di 400 000 clienti. Alla fine di ottobre del 2020, una catena alberghiera internazionale si è vista imporre una sanzione pecuniaria di 18,4 milioni di GBP per non aver garantito la sicurezza dei dati personali di milioni di clienti; mentre nel novembre del 2020 una sanzione pecuniaria di 1,25 milioni di GBP è stata irrogata a un fornitore britannico di servizi che vende online biglietti per eventi per non aver protetto i dettagli di pagamento dei clienti (102).

(98) Oltre ai poteri di esecuzione dell'Information Commissioner descritti al considerando 92, talune violazioni della legislazione in materia di protezione dei dati costituiscono reati e possono pertanto essere soggette a sanzioni penali (sezione 196 della legge del 2018 sulla protezione dei dati). Si tratta ad esempio dell'ottenimento e della comunicazione, in modo consapevole o incauto, di dati personali senza il consenso del titolare del trattamento, della trasmissione di dati personali a un'altra persona senza il consenso del titolare del trattamento (103), della reidentificazione di informazioni a partire da dati personali anonimizzati senza il consenso del titolare del trattamento responsabile dell'anonimizzazione dei dati personali (104), dell'ostruzione intenzionale dell'esercizio dei poteri dell'Information Commissioner in relazione all'ispezione di dati personali conformemente agli obblighi internazionali (105), del rilascio di dichiarazioni false in risposta a un avviso di informazione o della distruzione di informazioni relative ad avvisi di informazione e valutazione (106).

2.6.3 Vigilanza sul potere giudiziario

(99) La vigilanza sul trattamento di dati personali da parte di organi giurisdizionali e della magistratura è duplice. Se un titolare di funzioni giurisdizionali o un organo giurisdizionale non agisce nell'esercizio delle proprie funzioni giurisdizionali, la vigilanza è esercitata dall'ICO. Quando il titolare del trattamento opera nell'esercizio delle proprie funzioni giurisdizionali, l'ICO non può esercitare le sue funzioni di vigilanza (107) e detta vigilanza è esercitata da organismi speciali. Ciò riflette l'approccio adottato dal regolamento (UE) 2016/679 (articolo 55, paragrafo 3).

(100) In particolare, nel secondo caso, per gli organi giurisdizionali di Inghilterra e Galles e per gli organi giurisdizionali di primo grado e di grado superiore di Inghilterra e Galles, tale vigilanza è attuata dal Judicial Data Protection Panel (108) (comitato sulla protezione dei dati da parte del potere giudiziario). Inoltre il Lord Chief Justice (Lord Giudice capo) e il Senior President of Tribunals (Presidente senior degli organi giurisdizionali) hanno emesso un'informativa sulla protezione dei dati (109) che stabilisce le modalità con cui gli organi giurisdizionali di Inghilterra e Galles trattano personali per espletare una funzione giudiziaria. Un'informativa analoga è stata emessa dalla magistratura dell'Irlanda del Nord (110) e della Scozia (111).

(101) Inoltre, in Irlanda del Nord, il Lord Giudice capo dell'Irlanda del Nord ha nominato un giudice dell'Alta Corte Data Supervisory Judge (DSJ, Giudice incaricato del controllo sui dati) (112), e ha rivolto alla magistratura dell'Irlanda del Nord orientamenti in merito alle azioni da intraprendere in caso di perdita o potenziale perdita di dati e al processo per affrontare qualsiasi problema derivante da tale circostanza (113).

(102) In Scozia il Lord President (Lord Presidente) ha nominato un Giudice incaricato del controllo sui dati affinché indaghi su eventuali reclami per motivi di protezione dei dati. Ciò è sancito nelle norme sui reclami in materia giudiziaria che rispecchiano quelle stabilite per Inghilterra e Galles (114).

(103) Infine, nell'ambito della Corte suprema uno dei giudici è incaricato di vigilare in merito alla protezione dei dati.

2.6.4 Mezzi di ricorso

(104) Al fine di assicurare una protezione adeguata e, in particolare, il rispetto dei diritti individuali, l'interessato dovrebbe avere a disposizione mezzi di ricorso effettivi in sede amministrativa e giudiziale, compreso il risarcimento dei danni.

(105) Innanzitutto l'interessato ha il diritto di proporre reclamo presso l'Information Commissioner qualora ritenga che, in relazione ai dati personali che lo riguardano, sia stata commessa una violazione del GDPR del Regno Unito (115). Il GDPR del Regno Unito mantiene le norme di cui all'articolo 77 del regolamento (UE) 2016/679 in merito a tale diritto senza modifiche sostanziali. Lo stesso vale per l'articolo 57, paragrafo 1, lettera f) e per l'articolo 57, paragrafo 2, che stabiliscono i compiti dell'Information Commissioner in relazione alla gestione dei reclami. Come descritto nei considerando 92 e 98, l'Information Commissioner ha il potere di valutare il rispetto del GDPR del Regno Unito e della legge del 2018 sulla protezione dei dati da parte del titolare del trattamento e del responsabile del trattamento, di richiede loro di adottare, o di astenersi dall'adottare, misure necessarie in caso di non conformità nonché di irrogare sanzioni pecuniarie.

(106) In secondo luogo il GDPR del Regno Unito e la legge del 2018 sulla protezione dei dati riconoscono il diritto di ricorso nei confronti dell'Information Commissioner. Ai sensi dell'articolo 78, paragrafo 1, del GDPR del Regno Unito, una persona fisica ha diritto ad un ricorso giurisdizionale effettivo nei confronti di una decisione giuridicamente vincolante dell'Information Commissioner che la riguarda. Nel contesto del controllo giurisdizionale, l'organo giurisdizionale esamina la decisione impugnata nel ricorso e valuta se l'Information Commissioner ha agito in maniera lecita. Inoltre, a norma dell'articolo 78, paragrafo 2, del GDPR del Regno Unito, se l'Information Commissioner non gestisce in maniera adeguata un reclamo promosso da un interessato (116) il reclamante ha accesso al ricorso giurisdizionale e può adire un First-tier Tribunal chiedendogli di ordinare all'Information Commissioner di adottare misure adeguate per dare seguito al reclamo oppure di informare il reclamante in merito ai progressi compiuti in relazione al reclamo (117). Inoltre qualsiasi persona che riceva la notifica di uno degli avvisi di cui sopra (di informazione, di valutazione, di esecuzione o di irrogazione di sanzioni) dall'Information Commissioner può impugnarlo adendo un First-tier Tribunal (118). Laddove quest'ultimo ritenga che la decisione dell'Information Commissioner non sia conforme alla legge o che questi avrebbe dovuto esercitare il proprio potere discrezionale in modo diverso, detto organo deve accogliere il ricorso oppure sostituire l'avviso o la decisione con un altro avviso o un'altra decisione che l'Information Commissioner avrebbe potuto emettere o rendere.

(107) In terzo luogo le persone fisiche possono proporre un ricorso giurisdizionale nei confronti di titolari del trattamento e responsabili del trattamento direttamente adendo gli organi giurisdizionali conformemente all'articolo 79 del GDPR del Regno Unito e alla sezione 167 della legge del 2018 sulla protezione dei dati. Se, su domanda di un interessato, un organo giurisdizionale è convinto che sia stata commessa una violazione dei diritti dell'interessato sanciti dalla legislazione in materia di protezione dei dati, esso può ordinare al titolare del trattamento, in relazione al trattamento, o a un responsabile del trattamento che agisce per conto di tale titolare del trattamento, di adottare le misure specificate nell'ordinanza oppure di astenersi dall'adottare le misure specificate nell'ordinanza.

(108) Inoltre, a norma dell'articolo 82 del GDPR del Regno Unito e della sezione 168 della legge del 2018 sulla protezione dei dati, chiunque subisca un danno materiale o immateriale a causa di una violazione del GDPR del Regno Unito ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento. Le norme relative al risarcimento e alla responsabilità di cui all'articolo 82, paragrafi da 1 a 5, del GDPR del Regno Unito sono identiche alle norme corrispondenti del regolamento (UE) 2016/679. Conformemente alla sezione 168 della legge del 2018 sulla protezione dei dati, i danni immateriali comprendono anche la sofferenza. Ai sensi dell'articolo 80 del GDPR del Regno Unito, l'interessato ha altresì il diritto di incaricare un organismo rappresentativo o un'organizzazione rappresentativa affinché promuova reclamo presso l'Information Commissioner per suo conto (ai sensi dell'articolo 77 del GDPR del Regno Unito) ed eserciti per suo conto i diritti di cui all'articolo 78 (diritto a un ricorso giurisdizionale effettivo nei confronti dell'Information Commissioner), all'articolo 79 (diritto a un ricorso giurisdizionale effettivo nei confronti di un titolare del trattamento o di un responsabile del trattamento) e all'articolo 82 (diritto al risarcimento e responsabilità) del GDPR del Regno Unito.

(109) In quarto luogo, e in aggiunta ai mezzi di ricorso sopra citati, nella misura in cui una persona ritenga che i suoi diritti, anche in materia di tutela della vita privata e protezione dei dati, siano stati violati da autorità pubbliche, può ottenere rimedio adendo gli organi giurisdizionali del Regno Unito conformemente alla legge del 1998 sui diritti umani (119). Una persona fisica che sostenga che un'autorità pubblica ha agito (o propone di agire) in maniera incompatibile con un diritto sancito da una convenzione e pertanto in maniera illecita ai sensi della sezione 6, paragrafo 1, della legge del 1998 sui diritti umani può avviare un procedimento contro l'autorità in questione dinanzi l'organo giurisdizionale adeguato oppure fare affidamento sui diritti interessati nel contesto di qualsiasi procedimento legale, quando tale persona è (o diventi) vittima dell'atto illecito.

(110) Laddove l'organo giurisdizionale constati che un atto di un'autorità pubblica è illecito, può concedere tale misura o provvedimento oppure emettere una tale ordinanza, entro i suoi poteri, nella misura che ritiene giusta ed adeguata (120). L'organo giurisdizionale può altresì dichiarare che una disposizione del diritto primario è incompatibile con un diritto garantito dalla convenzione.

(111) Infine, dopo aver esperito i mezzi di ricorso nazionali, una persona fisica può ottenere rimedio adendo la Corte europea dei diritti dell'uomo per violazioni dei diritti garantiti ai sensi della convenzione europea dei diritti dell'uomo.

3. ACCESSO E USO DEI DATI PERSONALI TRASFERITI DALL'UNIONE EUROPEA DA PARTE DI AUTORITÀ PUBBLICHE NEL REGNO UNITO

(112) La Commissione ha inoltre valutato il quadro giuridico del Regno Unito per la raccolta e l'uso successivo dei dati personali trasferiti ad operatori economici nel Regno Unito da parte delle autorità pubbliche del Regno Unito nell'interesse pubblico, in particolare per attività di contrasto penale e per finalità di sicurezza nazionale (in appresso denominato «accesso da parte di pubbliche amministrazioni»). Nel valutare se le condizioni in base alle quali l'accesso da parte delle pubbliche amministrazioni ai dati trasferiti verso il Regno Unito ai sensi della presente decisione soddisfino la verifica dell'«equivalenza sostanziale» ai sensi dell'articolo 45, paragrafo 1, del regolamento (UE) 2016/679, come interpretato dalla Corte di giustizia dell'Unione europea alla luce della Carta dei diritti fondamentali, la Commissione ha tenuto conto in particolare dei criteri illustrati in appresso.

(113) Innanzitutto qualsiasi limitazione dell'esercizio del diritto alla protezione dei dati personali deve essere prevista dalla legge e implica che la base giuridica che consente l'ingerenza in tali diritti deve definire essa stessa la portata della limitazione dell'esercizio del diritto considerato (121).

(114) In secondo luogo, per soddisfare il requisito di proporzionalità secondo cui le deroghe e le limitazioni alla protezione dei dati personali devono operare nei limiti dello stretto necessario in una società democratica per soddisfare gli obbiettivi specifici di interesse generale equivalenti a quelli riconosciuti dall'Unione, la legislazione del paese terzo in questione che consente tale ingerenza deve prevedere regole chiare e precise che disciplinino la portata e l'applicazione della misura in questione e impongano requisiti minimi in modo che le persone i cui dati sono trasferiti dispongano di garanzie sufficienti che permettano di proteggere efficacemente i loro dati personali contro il rischio di abusi (122). In particolare, essa deve indicare in quali circostanze e a quali condizioni possa essere adottata una misura che prevede il trattamento di siffatti dati (123) nonché assoggettare il soddisfacimento di tali requisiti alla vigilanza indipendente (124).

(115) In terzo luogo tale legislazione deve essere giuridicamente vincolante ai sensi del diritto interno e tali requisiti giuridici devono non solo essere vincolanti per le autorità, ma anche azionabili dinanzi gli organi giurisdizionali nei confronti di autorità del paese terzo di cui trattasi (125). In particolare gli interessati devono disporre della possibilità di esperire mezzi di ricorso dinanzi a un giudice indipendente e imparziale al fine di avere accesso a dati personali che li riguardano, o di ottenere la rettifica o la soppressione di tali dati (126).

3.1 Quadro giuridico generale

(116) Trattandosi di un esercizio di poteri da parte di un'autorità pubblica, l'accesso da parte delle pubbliche amministrazioni nel Regno Unito deve avvenire nel pieno rispetto della legge. Il Regno Unito ha ratificato la convenzione europea dei diritti dell'uomo (cfr. considerando 9) e tutte le autorità pubbliche del Regno Unito sono tenute ad agire in conformità con tale convenzione (127). L'articolo 8 della convenzione prevede che qualsiasi ingerenza in relazione alla tutela della vita privata debba avvenire in conformità con la legge, nell'interesse di uno degli obiettivi di cui all'articolo 8, paragrafo 2, e in maniera proporzionata alla luce di tale obiettivo. L'articolo 8 richiede inoltre che tale ingerenza sia «prevedibile», ossia che la sua base giuridica sia chiara e precisa, e che la legislazione specifichi le garanzie adeguate per prevenire gli abusi.

(117) Inoltre, nella sua giurisprudenza, la Corte europea dei diritti dell'uomo ha specificato che qualsiasi ingerenza nel diritto alla tutela della vita privata e alla protezione dei dati dovrebbe essere soggetta ad un sistema di vigilanza efficace, indipendente e imparziale da parte di un giudice o un altro organo indipendente (128) (ad esempio un'autorità amministrativa o un organo parlamentare).

(118) Inoltre alle persone fisiche deve essere riconosciuto un ricorso effettivo, e la Corte europea dei diritti dell'uomo ha chiarito che tale ricorso deve essere offerto da un organismo indipendente e imparziale che abbia adottato il proprio regolamento interno e sia costituito da membri che svolgono o abbiano svolto funzioni giurisdizionali di alto livello o siano avvocati esperti, e che non deve sussistere alcun onere probatorio per poter adire tale organismo. Nell'intraprendere l'esame dei reclami presentati da persone fisiche, detto organismo indipendente e imparziale dovrebbe avere accesso a tutte le informazioni pertinenti, comprese quelle riservate. Infine dovrebbe disporre di poteri per porre rimedio ai casi di non conformità (129).

(119) Il Regno Unito ha inoltre ratificato la convenzione del Consiglio d'Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale (convenzione 108) e, nel 2018, ha firmato il protocollo che modifica tale convenzione (noto come convenzione 108+) (130). L'articolo 9 della convenzione 108 prevede che le deroghe ai principi generali in materia di protezione dei dati (articolo 5 Qualità dei dati), alle norme che disciplinano le categorie particolari di dati (articolo 6 Categorie particolari di dati) e ai diritti degli interessati (articolo 8 Garanzie supplementari per l'interessato) siano ammissibili soltanto laddove previste dalla legge della Parte e costituiscano una misura necessaria, in una società democratica, nell'interesse della protezione della sicurezza dello Stato, della sicurezza pubblica, degli interessi monetari dello Stato o della repressione di reati o per proteggere l'interessato o i diritti e le libertà altrui (131).

(120) Di conseguenza, attraverso l'adesione al Consiglio d'Europa, l'adesione alla convenzione europea dei diritti dell'uomo e l'assoggettamento alla competenza giurisdizionale della Corte europea dei diritti dell'uomo, il Regno Unito è soggetto a una serie di obblighi, sanciti dal diritto internazionale, che inquadrano il suo sistema di accesso da parte delle pubbliche amministrazioni sulla base di principi, garanzie e diritti individuali simili a quelli garantiti dal diritto dell'Unione e applicabili agli Stati membri. Come sottolineato al considerando 19, la continua adesione a tali strumenti costituisce pertanto un aspetto particolarmente importante della valutazione sulla quale si basa la presente decisione.

(121) Inoltre la legge del 2018 sulla protezione dei dati prevede ulteriori garanzie e diritti specifici in materia di protezione dei dati nell'ambito del trattamento dei dati da parte delle autorità pubbliche, comprese le autorità di contrasto e gli organismi preposti alla sicurezza nazionale.

(122) In particolare il regime per il trattamento dei dati personali nel contesto delle attività di contrasto penale è stabilito nella parte 3 della legge del 2018 sulla protezione dei dati, emanata per recepire la direttiva (UE) 2016/680. La parte 3 della legge del 2018 sulla protezione dei dati si applica al trattamento di dati personali da parte di autorità competenti ai fini di prevenzione, indagine, accertamento e perseguimento di reati o di esecuzione di sanzioni penali, compresa la salvaguardia contro, e la prevenzione di, minacce alla sicurezza pubblica (132).

(123) Ai sensi della sezione 30 della legge sulla protezione dei dati, per «autorità competente» si intende una persona elencata nell'allegato 7 della legge del 2018 sulla protezione dei dati e qualsiasi altra persona nella misura in cui svolga funzioni fissate dalla legge per una delle finalità di contrasto (133). Come spiegato di seguito (cfr. considerando 139), alcune autorità competenti (ad esempio la National Crime Agency) possono avvalersi, a determinate condizioni, dei poteri conferiti dalla legge del 2016 sui poteri di indagine (Investigatory Power Act). In tal caso, le garanzie previste dalla legge del 2016 sui poteri di indagine si applicheranno in aggiunta a quelle previste dalla parte 3 della legge del 2018 sulla protezione dei dati. I servizi di intelligence (Secret Intelligence Service, Security Service e Government Communications Headquarters) non sono «autorità competenti» (134) ai sensi della parte 3 della legge del 2018 sulla protezione dei dati, pertanto le norme ivi previste non si applicano ad alcuna delle loro attività. Una parte specifica della legge del 2018 sulla protezione dei dati (parte 4) è dedicata al trattamento dei dati personali ad opera dei servizi di intelligence (per maggiori dettagli si veda il considerando 125).

(124) Analogamente alla direttiva (UE) 2016/680, la parte 3 della legge del 2018 sulla protezione dei dati stabilisce i principi di liceità e correttezza (135), limitazione delle finalità (136), minimizzazione dei dati (137), esattezza (138), limitazione della conservazione (139) e sicurezza (140). La legislazione impone obblighi specifici di trasparen