P7_TA(2014)0212

Tutela delle persone fisiche con riguardo al trattamento dei dati personali ***I

Risoluzione legislativa del Parlamento europeo del 12 marzo 2014 sulla proposta di regolamento del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati) (COM(2012)0011 — C7-0025/2012 — 2012/0011(COD))

(Procedura legislativa ordinaria: prima lettura)

(2017/C 378/55)

Il Parlamento europeo,

visti la relazione della commissione per le libertà civili, la giustizia e gli affari interni e i pareri della commissione per l'occupazione e gli affari sociali, della commissione per l'industria, la ricerca e l'energia, della commissione per il mercato interno e la protezione dei consumatori e della commissione giuridica (A7-0402/2013),

adotta la posizione in prima lettura figurante in appresso;

(1) GU C 229 del 31.7.2012, pag. 90.

(2) GU C 192 del 30.6.2012, pag. 7.

P7_TC1-COD(2012)0011

Posizione del Parlamento europeo definita in prima lettura il 12 marzo 2014 in vista dell'adozione del regolamento (UE) n. …/2014 del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati)

(Testo rilevante ai fini del SEE)

IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA,

visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16, paragrafo 2, e l’articolo 114, paragrafo 1,

vista la proposta della Commissione europea,

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,

visto il parere del Comitato economico e sociale europeo (1),

previa consultazione del Comitato delle regioni,

visto il parere del Garante europeo della protezione dei dati (2),

deliberando secondo la procedura legislativa ordinaria (3),

considerando quanto segue:

(1) La tutela delle persone fisiche con riguardo al trattamento dei dati personali è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea («Carta») e l’articolo 16, paragrafo 1, del trattato stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.

(2) Il trattamento dei dati personali è al servizio dell’uomo; i principi e le norme a tutela delle persone fisiche con riguardo al trattamento dei dati personali devono rispettarne i diritti e le libertà fondamentali, in particolare il diritto alla protezione dei dati personali, a prescindere dalla nazionalità o dalla residenza dell’interessato. Il trattamento dei dati personali dovrebbe contribuire alla realizzazione di uno spazio di libertà, sicurezza e giustizia e di un’unione economica, al progresso economico e sociale, al rafforzamento e alla convergenza delle economie nel mercato interno e al benessere delle persone.

(3) Obiettivo della direttiva 95/46/CE del Parlamento europeo e del Consiglio (4) è armonizzare la protezione dei diritti e delle libertà fondamentali delle persone fisiche rispetto alle attività di trattamento dei dati e assicurare la libera circolazione dei dati personali tra gli Stati membri.

(4) L’integrazione economica e sociale conseguente al funzionamento del mercato interno ha portato a un considerevole aumento dei flussi transfrontalieri e quindi anche dei dati scambiati, in tutta l’Unione, tra gli operatori economici e sociali, pubblici e privati. Il diritto dell’Unione impone alle autorità nazionali degli Stati membri di cooperare e scambiarsi dati personali per essere in grado di svolgere le rispettive funzioni o eseguire compiti per conto di un’autorità di un altro Stato membro.

(5) La rapidità dell’evoluzione tecnologica e la globalizzazione comportano anche nuove sfide per la protezione dei dati personali. La portata della condivisione e della raccolta di dati è aumentata in modo vertiginoso; la tecnologia attuale consente alle imprese private quanto alle autorità pubbliche di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attività e, sempre più spesso, gli stessi privati rendono pubbliche sulla rete mondiale informazioni personali che li riguardano. Le nuove tecnologie hanno trasformato non solo l’economia ma anche le relazioni sociali e impongono che si faciliti ancora di più la libera circolazione dei dati all’interno dell’Unione e il loro trasferimento verso paesi terzi e organizzazioni internazionali; al tempo stesso, però, occorre garantire un elevato livello di protezione dei dati personali.

(6) Tale evoluzione richiede un quadro giuridico più solido e coerente in materia di protezione dei dati nell’Unione, affiancato da efficaci misure di attuazione, data l’importanza di creare il clima di fiducia che consentirà lo sviluppo dell’economia digitale in tutto il mercato interno. È necessario che le persone fisiche abbiano il controllo dei dati personali che li riguardano e che la certezza giuridica e operativa sia rafforzata tanto per i privati che per i operatori economici e le autorità pubbliche.

(7) Sebbene i suoi obiettivi e principi rimangano tuttora validi, la direttiva 95/46/CE non ha impedito la frammentazione delle modalità di applicazione della protezione dei dati personali nel territorio dell’Unione, né ha eliminato l’incertezza giuridica e la percezione, largamente diffusa nel pubblico, che soprattutto le operazioni on line comportino notevoli rischi. La compresenza di diversi livelli di tutela dei diritti e delle libertà delle persone fisiche, in particolare del diritto alla protezione dei dati personali, riservata al trattamento di tali dati negli Stati membri può ostacolare la libera circolazione dei dati personali all’interno dell’Unione. Tali differenze possono pertanto costituire un freno all’esercizio delle attività economiche su scala dell’Unione, falsare la concorrenza e impedire alle autorità nazionali di adempiere agli obblighi loro derivanti dal diritto dell’Unione. Il divario creatosi nei livelli di protezione è dovuto alle divergenze nell’attuare e applicare la direttiva 95/46/CE.

(8) Al fine di garantire un livello coerente ed elevato di protezione delle persone e rimuovere gli ostacoli alla circolazione dei dati personali, il livello di tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati deve essere equivalente in tutti gli Stati membri. Occorre pertanto garantire un’applicazione coerente ed omogenea delle norme a tutela delle libertà e dei diritti fondamentali delle persone fisiche con riguardo al trattamento dei dati personali su tutto il territorio dell’Unione.

(9) Ai fini di un’efficace protezione dei dati personali in tutta l’Unione è necessario rafforzare e precisare i diritti degli interessati e gli obblighi di coloro che effettuano e determinano il trattamento dei dati, dotare gli Stati membri di poteri equivalenti per monitorare e garantire il rispetto delle norme di protezione dei dati personali, e prevedere sanzioni equivalenti per i trasgressori.

(10) L’articolo 16, paragrafo 2, del trattato conferisce al Parlamento europeo e al Consiglio il mandato di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale e le norme relative alla libera circolazione di tali dati.

(11) Per garantire un livello uniforme di protezione delle persone in tutta l’Unione e prevenire disparità che possono ostacolare la libera circolazione dei dati nel mercato interno, è necessario un regolamento che garantisca certezza del diritto e trasparenza agli operatori economici, comprese le micro, piccole e medie imprese, offra alla persona in tutti gli Stati membri il medesimo livello di diritti giuridicamente tutelati, definisca obblighi e responsabilità dei responsabili del trattamento e degli incaricati del trattamento e assicuri un monitoraggio costante del trattamento dei dati personali, sanzioni equivalenti in tutti gli Stati membri e una cooperazione efficace tra le autorità di controllo dei diversi Stati membri. Per tener conto della specifica situazione delle micro, piccole e medie imprese, il presente regolamento prevede una serie di deroghe. Inoltre, le istituzioni e gli organi dell’Unione, gli Stati membri e le loro autorità di controllo sono invitati a considerare le esigenze specifiche delle micro, piccole e medie imprese nell’applicare il presente regolamento. Il concetto di micro, piccola e media impresa deve ispirarsi alla raccomandazione 2003/361/CE della Commissione (5).

(12) La protezione prevista dal presente regolamento si applica alle persone fisiche, a prescindere dalla nazionalità o dal luogo di residenza, in relazione al trattamento dei dati personali. La protezione offerta dal presente regolamento non potrà essere invocata per il trattamento dei dati relativi a persone giuridiche, in particolare imprese dotate di personalità giuridica, compreso il nome, la forma giuridica e i contatti. Ciò vale anche quando il nome della persona giuridica contiene il nome di una o più persone fisiche.

(13) La protezione delle persone fisiche deve essere neutrale sotto il profilo tecnologico e non dipendere dalle tecniche impiegate; in caso contrario, si correrebbero gravi rischi di elusione. La protezione delle persone fisiche deve applicarsi sia al trattamento automatizzato che al trattamento manuale dei dati personali, se i dati sono contenuti o destinati ad essere contenuti in un archivio. Non dovrebbero rientrare nel campo di applicazione del presente regolamento i fascicoli o le serie di fascicoli, e le rispettive copertine, non strutturati secondo criteri specifici.

(14) Il presente regolamento non si applica a questioni di tutela dei diritti e delle libertà fondamentali o di libera circolazione dei dati riferite ad attività che non rientrano nell’ambito di applicazione del diritto dell’Unione europea, né si applica al trattamento dei dati personali effettuato da istituzioni, organi, uffici e agenzie dell’Unione, che sono soggetti al . È opportuno che il regolamento (CE) n. 45/2001, e nemmeno al trattamento effettuato dagli Stati membri nell’esercizio di attività relative alla politica estera e di sicurezza comune dell’Unione del Parlamento europeo e del Consiglio (6) sia allineato al presente regolamento e sia applicato in conformità dello stesso . [Em. 1]

(15) Il presente regolamento non deve applicarsi al trattamento di dati personali effettuato da una persona fisica nell’ambito di attività esclusivamente personali , di natura familiare o domestiche, quali la corrispondenza e gli indirizzari o una vendita tra privati , e senza scopo di lucro, vale a dire senza alcuna connessione con un’attività commerciale o professionale. Tale deroga non Tuttavia, il presente regolamento deve valere per i responsabili del trattamento o gli incaricati del trattamento che forniscono i mezzi per trattare dati personali nell’ambito di tali attività personali o domestiche. [Em. 2]

(16) La tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati sono oggetto di uno specifico strumento giuridico a livello di Unione. Il presente regolamento non si applica pertanto ai trattamenti effettuati per queste finalità. I dati trattati dalle autorità pubbliche in forza del presente regolamento per queste finalità dovranno invece essere disciplinati dal più specifico strumento giuridico a livello di Unione (direttiva 2014/…/UE del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati).

(17) Il presente regolamento non deve pregiudicare l’applicazione della direttiva 2000/31/CE del Parlamento europeo e del Consiglio (7), in particolare le norme relative alla responsabilità dei prestatori intermediari di servizi di cui ai suoi articoli da 12 a 15.

(18) Il presente regolamento ammette, nell’applicazione delle sue disposizioni, che si tenga conto del principio del pubblico accesso ai documenti ufficiali. I dati personali contenuti in documenti conservati da un'autorità pubblica o da un organismo pubblico possono essere divulgati da tale autorità o organismo in conformità della legislazione dell'Unione o di uno Stato membro in materia di accesso del pubblico ai documenti ufficiali, che concilia il diritto alla protezione dei dati con il diritto dell'accesso pubblico ai documenti ufficiali e costituisce un'equa ponderazione dei vari interessi coinvolti. [Em. 3]

(19) Qualsiasi trattamento di dati personali effettuato nell’ambito delle attività di uno stabilimento di un responsabile del trattamento o incaricato del trattamento nel territorio dell’Unione deve essere conforme al presente regolamento, che il trattamento avvenga all’interno dell’Unione o al di fuori. Lo stabilimento implica l’effettivo e reale svolgimento di attività nel quadro di un’organizzazione stabile. A tale riguardo non è determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalità giuridica.

(20) Onde evitare che una persona venga privata della tutela cui ha diritto in base al presente regolamento, è necessario che questo disciplini anche il trattamento dei dati personali di residenti interessati nell’Unione effettuato da un responsabile del trattamento non stabilito nell’Unione, quando le attività di trattamento sono finalizzate all’offerta di beni o servizi , a prescindere che siano legati a un pagamento o meno, a dette persone o al controllo del loro comportamento. Per determinare se tale responsabile del trattamento stia offrendo beni o servizi a dette persone nell'Unione, occorre verificare se risulta che il responsabile del trattamento intenda fornire tali servizi agli interessati in uno o più Stati membri dell'Unione. [Em. 4]

(21) Per stabilire se un’attività di trattamento sia assimilabile al «controllo del comportamento» dell’interessato, occorre verificare se le operazioni che questi esegue su Internet sono sottoposte a tracciate, a prescindere dall'origine dei dati, o se altri dati che lo riguardano sono raccolti, anche da registri pubblici e comunicazioni a livello dell'Unione accessibili al suo esterno, compreso il previsto utilizzo o il potenziale utilizzo successivo di tecniche di trattamento dei dati volte alla «profilazione» dell’utente, in particolare per prendere decisioni che li lo riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali. [Em. 5]

(22) Laddove vige la legislazione nazionale di uno Stato membro in virtù del diritto internazionale pubblico, ad esempio nella rappresentanza diplomatica o consolare di uno Stato membro, il presente regolamento deve applicarsi anche a un responsabile del trattamento non stabilito nell’Unione.

(23) È necessario applicare i principi di protezione dei dati a tutte le informazioni relative ad una persona fisica identificata o identificabile. Per stabilire l’identificabilità di una persona, è opportuno considerare tutti i mezzi di cui può ragionevolmente avvalersi il responsabile del trattamento o un terzo per identificare o individuare detta persona direttamente o indirettamente . Per accertare la ragionevole probabilità che i mezzi siano utilizzati per identificare la persona, è opportuno prendere in considerazione tutti i fattori obiettivi, tra cui i costi e il tempo necessario per l'identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento sia dello sviluppo tecnologico . Non è quindi necessario applicare i principi di protezione ai dati resi sufficientemente anonimi da impedire l’identificazione dell’interessato , vale a dire le informazioni che non riguardano una persona fisica identificata o identificabile . Il presente regolamento non si applica pertanto al trattamento di tali dati anonimi, anche per finalità statistiche e di ricerca . [Em. 6]

(24) Navigando on line, accade che si sia associati a Occorre che il presente regolamento si applichi al trattamento di identificativi on line prodotti dai da dispositivi, dalle applicazioni, dagli strumenti e protocolli utilizzati, quali gli indirizzi IP o i marcatori temporanei (cookies). Tali identificativi possono lasciare tracce che, combinate con altri identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili e identificare gli utenti. Ne consegue che numeri di identificazione, dati relativi all’ubicazione, identificativi on line o altri fattori specifici non debbano di per sé essere necessariamente considerati dati personali in tutte le circostanze e i tag di identificazione a radiofrequenza, salvo il caso in cui tali identificativi non si riferiscono a una persona fisica identificata o identificabile . [Em. 7]

(25) Il consenso dovrebbe essere prestato esplicitamente con qualsiasi modalità appropriata che permetta all’interessato di manifestare una volontà libera, specifica e informata, mediante dichiarazione o azione positiva inequivocabile che sia il risultato di una scelta, da cui si evinca che consapevolmente acconsente al trattamento dei suoi dati personali, anche selezionando . Un'azione positiva inequivocabile potrebbe comprendere la selezione di un’apposita casella in un sito Internet o con altra dichiarazione o comportamento che indichi chiaramente in questo contesto che l'interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il consenso tacito o passivo o il semplice utilizzo di un servizio . Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per lo stesso o gli stessi scopi. Se il consenso dell’interessato è richiesto con modalità elettronica, la richiesta deve essere chiara, concisa e non disturbare inutilmente il servizio per il quale è espresso. [Em. 8]

(26) Nei dati personali relativi alla salute dovrebbero rientrare, in particolare, tutti i dati riguardanti lo stato di salute dell’interessato; le informazioni sulle richieste di prestazione di servizi sanitari; le informazioni sui pagamenti o l’ammissibilità all’assistenza sanitaria; un numero, simbolo o elemento specifico attribuito per identificare l’interessato in modo univoco a fini sanitari; qualsiasi informazione raccolta nel corso della prestazione di servizi sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i campioni biologici; l’identificazione di una persona come prestatore di assistenza sanitaria all’interessato; qualsiasi informazione riguardante, ad esempio, una malattia, l’invalidità, il rischio di malattie, l’anamnesi medica, i trattamenti clinici o l’effettivo stato fisiologico o biomedico dell’interessato, indipendentemente dalla fonte, ad esempio un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro.

(27) È necessario che lo stabilimento principale di un responsabile del trattamento dell’Unione sia determinato in base a criteri obiettivi e implichi l’effettivo e reale svolgimento di attività di gestione finalizzate alle principali decisioni sulle finalità, le condizioni e i mezzi del trattamento nel quadro di un’organizzazione stabile. Tale criterio non deve dipendere dal fatto che i dati personali siano effettivamente trattati in quella sede; la presenza o l’uso di mezzi tecnici e tecnologie di trattamento di dati personali o di attività di trattamento non costituiscono di per sé lo stabilimento principale né sono quindi criteri determinanti della sua esistenza. Per quanto riguarda l’incaricato del trattamento, per «stabilimento principale» deve intendersi il luogo in cui ha sede la sua amministrazione centrale nell’Unione.

(28) Un gruppo di imprese dovrebbe costituirsi di un’impresa controllante e delle sue controllate, là dove l’impresa controllante sarebbe quella che può esercitare un’influenza dominante sulle controllate in forza, ad esempio, della proprietà, della partecipazione finanziaria o delle norme societarie o del potere di fare applicare le norme di protezione dei dati personali.

(29) I minori necessitano di una specifica protezione dei loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze, delle misure di protezione e dei loro diritti in relazione al trattamento dei dati personali. Per determinare chi è minore, è opportuno che il presente regolamento riprenda la definizione stabilita dalla convenzione delle Nazioni Unite sui diritti del fanciullo Qualora il trattamento dei dati sia basato consenso dell'interessato in relazione all'offerta di beni o servizi direttamente a un minore, è opportuno che il consenso sia espresso o autorizzato dal genitore o dal tutore legale del minore nel caso in cui il egli abbia un'età inferiore ai tredici anni. Se i destinatari previsti sono minori, è necessario utilizzare un linguaggio adeguato all'età. Occorre che continuino a essere applicabili altri criteri di legittimità del trattamento, quali i motivi di interesse pubblico, ad esempio per il trattamento nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore . [Em. 9]

(30) Qualsiasi trattamento di dati personali deve essere lecito, equo e trasparente nei confronti dell’interessato. In particolare, le finalità specifiche del trattamento dei dati devono essere esplicite e legittime e precisate al momento della raccolta. I dati devono essere adeguati, pertinenti e limitati al minimo necessario per le finalità del trattamento, donde l’obbligo, soprattutto, di garantire che la raccolta non sia eccessiva e che il periodo di conservazione dei dati sia limitato al minimo necessario. I dati personali dovrebbero essere trattati solo se la finalità del trattamento non è conseguibile con altri mezzi. Occorre prendere tutte le misure ragionevoli affinché i dati personali inesatti siano rettificati o cancellati. Onde garantire che i dati non siano conservati più a lungo del necessario, il responsabile del trattamento dovrebbe fissare un termine per la cancellazione o per la verifica periodica.

(31) Perché sia lecito il trattamento dati deve fondarsi sul consenso dell’interessato o su altra base legittima prevista per legge, dal presente regolamento o in altro atto legislativo dell’Unione o degli Stati membri, come indicato nel presente regolamento. Nel caso di un minore o di una persona priva di capacità giuridica, è opportuno che il pertinente diritto dell'Unione o dello Stato membro determini le condizioni alle quali il consenso è espresso o autorizzato da tale persona. [Em. 10]

(32) Per i trattamenti basati sul consenso dell’interessato, dovrebbe incombere al responsabile del trattamento dimostrare che l’interessato ha acconsentito al trattamento. In particolare, nel contesto di una dichiarazione scritta relativa a un’altra materia, occorrono garanzie che assicurino che l’interessato sia consapevole di esprimere un consenso e in qual misura. Ai fini della conformità al principio della minimizzazione dei dati, l'onere della prova non deve essere interpretato come richiesta di accertamento dell'identità degli interessati, a meno che ciò non sia necessario. Analogamente a quanto avviene nell'ambito dei contratti di diritto civile (ad esempio direttiva 93/13/CEE del Consiglio (8) ), è necessario che le politiche di protezione dei dati siano quanto più chiare e trasparenti possibile. Esse non dovrebbero contenere clausole nascoste o svantaggiose. Non è possibile esprimere il consenso per il trattamento dei dati personali di terzi. [Em. 11]

(33) Perché il consenso sia libero, occorre chiarire che non costituisce una valida base giuridica qualora l’interessato non sia in grado di operare una scelta autenticamente libera e non possa, pertanto, rifiutare o ritirare il consenso senza subire pregiudizio. Ciò vale specialmente se il responsabile del trattamento è un'autorità pubblica che può imporre un obbligo in forza dei suoi pubblici poteri; in tal caso, il consenso non può essere considerato libero. L'utilizzo di opzioni predefinite che l'interessato deve modificare per opporsi al trattamento dei dati, come le caselle preselezionate, non esprime il consenso libero. Il consenso al trattamento di dati personali supplementari non necessari ai fini della fornitura di un servizio non dovrebbe essere richiesto per poter fruire del servizio. L'eventuale revoca del consenso può consentire la cessazione o la mancata esecuzione di un servizio che dipenda dai dati. Se la conclusione dello scopo previsto non è chiara, occorre che il responsabile del trattamento a intervalli regolari fornisca all'interessato informazioni relative al trattamento e richieda una conferma del consenso. [Em. 12]

(34) Il consenso non costituisce una valida base giuridica per il trattamento dei dati personali quando esiste un evidente squilibrio tra l’interessato e il responsabile del trattamento. Ciò avviene, in particolare, quando l’interessato si trova in situazione di dipendenza dal responsabile del trattamento, tra l’altro quando i dati personali di un dipendente sono trattati dal suo datore di lavoro nel contesto dei rapporti di lavoro. Se il responsabile del trattamento è un’autorità pubblica, vi è squilibrio soltanto nelle specifiche operazioni di trattamento in cui l’autorità pubblica può imporre un obbligo in forza dei suoi pubblici poteri; in tal caso, il consenso non può essere considerato libero, tenuto conto degli interessi dell’interessato. [Em. 13]

(35) Il trattamento dati deve essere considerato lecito se è necessario nell’ambito di un contratto o ai fini della conclusione di un contratto.

(36) È opportuno che il trattamento effettuato per adempiere un obbligo legale che incombe al responsabile del trattamento o necessario per l’esecuzione di un compito di interesse pubblico o per l’esercizio di pubblici poteri abbia una base giuridica tratta dal diritto dell’Unione o di uno Stato membro che soddisfi i requisiti della per eventuali limitazione limitazioni dei diritti e delle libertà. Ciò dovrebbe includere altresì contratti collettivi la cui validità generale potrebbe essere riconosciuta nel quadro del diritto nazionale. Spetta altresì al diritto dell’Unione o alle legislazioni nazionali stabilire se il responsabile del trattamento che esegue un compito di interesse pubblico o connesso all’esercizio di pubblici poteri debba essere una pubblica amministrazione o altra persona fisica o giuridica di diritto pubblico o privato, quale un’associazione professionale. [Em. 14]

(37) Il trattamento di dati personali deve essere parimenti considerato lecito quando è necessario per tutelare un interesse essenziale per la vita dell’interessato.

(38) I legittimi interessi di un del responsabile del trattamento , o in caso di divulgazione, del terzo cessionario dei dati, possono costituire una base giuridica del trattamento, a condizione che soddisfino le ragionevoli aspettative dell'interessato sulla base dei suoi rapporti con il responsabile del trattamento e che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato. Ciò richiede un’attenta valutazione specie se l’interessato è un minore, dato che i minori necessitano di una specifica protezione. A condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato, si presume che il trattamento limitato ai dati pseudonimi soddisfi le ragionevoli aspettative dell'interessato sulla base dei suoi rapporti con il responsabile del trattamento. L’interessato deve potersi opporsi opporre al trattamento, per motivi inerenti alla sua situazione particolare, e gratuitamente. Per garantire la trasparenza, il responsabile del trattamento deve essere obbligato a informare esplicitamente l’interessato sui legittimi interessi perseguiti, che deve documentare, e sul diritto di opporsi al trattamento dei dati. Gli interessi e i diritti fondamentali dell'interessato potrebbero in particolare prevalere sugli interessi del responsabile del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati. Posto che spetta al legislatore prevedere la base giuridica che autorizza le autorità pubbliche a trattare i dati, questo motivo non dovrebbe valere per il trattamento dati effettuato dalle autorità pubbliche nell’esercizio delle loro funzioni. [Em. 15]

(39) Costituisce legittimo interesse del responsabile del trattamento trattare dati relativi al traffico, in misura strettamente proporzionata e necessaria a garantire la sicurezza delle reti e dell’informazione, vale a dire la capacità di una rete o di un sistema d’informazione di resistere, a un dato livello di sicurezza, ad eventi imprevisti o atti illeciti o dolosi che compromettano la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati conservati o trasmessi e la sicurezza dei relativi servizi offerti o resi accessibili tramite tali reti e sistemi da autorità pubbliche, organismi di intervento in caso di emergenza informatica (CERT), gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT), fornitori di reti e servizi di comunicazione elettronica e fornitori di tecnologie e servizi di sicurezza. Ciò potrebbe, ad esempio, includere misure atte a impedire l’accesso non autorizzato a reti di comunicazioni elettroniche e la diffusione di codici maligni, e a porre termine agli attacchi da blocco di servizio e ai danni ai sistemi informatici e di comunicazione elettronica. Tale principio si applica altresì al trattamento di dati personali volto a limitare l'accesso non autorizzato e l'utilizzo di reti o di sistemi di informazione accessibili al pubblico, come l'iscrizione in liste nere degli identificativi elettronici. [Em. 16]

(39 bis) A condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato, si dovrebbe presumere che la prevenzione o la limitazione dei danni del responsabile del trattamento sia eseguita nel legittimo interesse del responsabile stesso o, in caso di divulgazione, del terzo cessionario dei dati, nonché che soddisfi le ragionevoli aspettative dell'interessato sulla base dei suoi rapporti con il responsabile dei dati. Lo stesso principio si applica altresì in caso di azioni legali nei confronti di un interessato, quali il recupero del credito o il risarcimento danni. [Em. 17]

(39 ter) A condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato, si dovrebbe presumere che il trattamento dei dati personali per finalità di marketing diretto per prodotti e servizi propri o analoghi o per finalità di marketing postale diretto sia eseguito nel legittimo interesse del responsabile del trattamento o, in caso di divulgazione, del terzo cessionario dei dati, e che soddisfi le ragionevoli aspettative dell'interessato sulla base dei suoi rapporti con il responsabile se sono fornite informazioni aventi grande visibilità in merito al diritto di opporsi e alla fonte dei dati personali. Si dovrebbe generalmente presumere che il trattamento dei dati di contatto professionali sia eseguito nel legittimo interesse del responsabile del trattamento o, in caso di divulgazione, del terzo cessionario dei dati, e che soddisfi le ragionevoli aspettative dell'interessato sulla base dei suoi rapporti con il responsabile del trattamento. Ciò dovrebbe valere anche per il trattamento dei dati personali resi manifestamente pubblici dall'interessato. [Em. 18]

(40) Il trattamento dei dati personali per altri fini dovrebbe essere consentito solo se compatibile con le finalità per le quali i dati sono stati inizialmente raccolti, in particolare se il trattamento è necessario per finalità storiche, statistiche o di ricerca scientifica. Se l’ulteriore finalità non è compatibile con la finalità iniziale della raccolta dati, sarebbe opportuno che il responsabile del trattamento ottenga il consenso specifico dell’interessato per tale finalità o basi il trattamento dati su un altro motivo legittimo, in particolare ove previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il responsabile del trattamento. In ogni caso, dovrebbe essere garantita l’applicazione dei principi stabiliti dal presente regolamento, in particolare l’obbligo di informare l’interessato di tali altre finalità. [Em. 19]

(41) Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili e vulnerabili sotto il profilo dei diritti fondamentali o della vita privata. Tali dati non devono essere oggetto di trattamento, salvo esplicito consenso dell’interessato. Tuttavia occorre prevedere espressamente deroghe a questo divieto nei casi di necessità specifiche, segnatamente laddove il trattamento viene eseguito nel corso di legittime attività di talune associazioni o fondazioni il cui scopo sia permettere l’esercizio delle libertà fondamentali. [Em. 20]

(42) La deroga al divieto di trattare dati sensibili deve essere consentita anche quando è prevista per legge, fatte salve adeguate garanzie, per proteggere i dati personali e altri diritti fondamentali, quando un interesse pubblico rilevante lo giustifichi, in particolare per finalità inerenti alla salute, compresa la pubblica sanità, la protezione sociale e la gestione dei servizi sanitari, soprattutto al fine di assicurare la qualità e l’economicità delle procedure per soddisfare le richieste di prestazioni e servizi nell’ambito del regime di assicurazione sanitaria, o per finalità storiche, statistiche e di ricerca scientifica o per servizi di archiviazione . [Em. 21]

(43) Inoltre, è effettuato per motivi di interesse pubblico il trattamento di dati personali a cura di autorità pubbliche diretto a realizzare scopi, previsti dal diritto costituzionale o dal diritto internazionale pubblico, di associazioni religiose ufficialmente riconosciute.

(44) Se, nel corso di attività elettorali, il funzionamento del sistema democratico presuppone, in alcuni Stati membri, che i partiti politici raccolgano dati sulle opinioni politiche delle persone, può esserne consentito il trattamento per motivi di interesse pubblico, purché siano predisposte congrue garanzie.

(45) Se i dati che tratta non gli consentono di identificare una persona fisica, il responsabile del trattamento non deve essere obbligato ad acquisire ulteriori informazioni per identificare l’interessato al solo fine di rispettare una disposizione del presente regolamento. Quando riceve una richiesta di accesso, il responsabile del trattamento deve poter chiedere all’interessato ulteriori informazioni per poter localizzare i dati personali richiesti. Se l'interessato può fornire tali dati, i responsabili del trattamento non devono poter invocare la mancanza di informazioni per rifiutare una richiesta di accesso. [Em. 22]

(46) Il principio della trasparenza impone che le informazioni destinate al pubblico o all’interessato siano facilmente accessibili e di facile comprensione e che sia utilizzato un linguaggio semplice e chiaro. Ciò è particolarmente utile in situazioni quali la pubblicità on line, in cui la molteplicità degli operatori coinvolti e la complessità tecnologica dell’operazione fanno sì che sia difficile per l’interessato comprendere se vengono raccolti dati personali, da chi e a quale scopo. Dato che i minori necessitano di una protezione specifica, quando il trattamento dati li riguarda specificamente, qualsiasi informazione e comunicazione deve utilizzare il linguaggio semplice e chiaro che un minore possa capire facilmente.

(47) Occorre prevedere modalità volte ad agevolare l’esercizio dei diritti di cui al presente regolamento, compresi i meccanismi per la richiesta ottenere , gratuita gratuitamente , di accedere l'accesso ai dati, rettificarli la rettifica e cancellarli la cancellazione in particolare, e per l’esercizio del esercitare il diritto di opposizione. Il responsabile del trattamento deve essere tenuto a rispondere alle richieste dell’interessato entro un termine prestabilito ragionevole e a motivare l’eventuale rifiuto. [Em. 23]

(48) I principi di trattamento equo e trasparente implicano che l’interessato sia informato in particolare dell’esistenza del trattamento e delle sue finalità, del probabile periodo di conservazione dei dati per ciascuna finalità, dell'eventuale trasferimento dei dati a soggetti o paesi terzi, dell'esistenza di misure di opposizione , del diritto di accesso, rettifica o cancellazione e del diritto di proporre reclamo. In caso di dati raccolti direttamente presso l’interessato, questi deve inoltre essere informato dell’eventuale obbligo di fornire i propri dati e delle conseguenze a cui va incontro se si rifiuta di fornirli. Tali informazioni vanno fornite all'interessato, anche mettendole rapidamente a sua disposizione, dopo la fornitura di informazioni semplificate in forma di icone standardizzate. Ciò dovrebbe altresì implicare che i dati personali sono trattati in modo tale da consentire efficacemente all'interessato di esercitare i propri diritti. [Em. 24]

(49) L’interessato deve ricevere le informazioni relative al trattamento di dati personali al momento della raccolta o, se i dati non sono raccolti direttamente presso l’interessato, entro un termine ragionevole, in funzione delle circostanze del caso. Se i dati possono essere legittimamente comunicati a un altro destinatario, l’interessato deve esserne informato al momento in cui il destinatario riceve la prima comunicazione dei dati.

(50) Per contro, non è necessario imporre tale obbligo se l’interessato dispone già conosce dell’ l' informazione, se la registrazione o la comunicazione è prevista per legge o se informare l’interessato si rivela impossibile o richiederebbe risorse sproporzionate. Ciò potrebbe verificarsi in particolare con i trattamenti per finalità storiche, statistiche o di ricerca scientifica, nel qual caso si può tener conto del numero di interessati, dell’antichità dei dati e di eventuali misure di compensazione. [Em. 25]

(51) Ogni persona deve avere il diritto di accedere ai dati raccolti che la riguardano e di esercitare tale diritto facilmente, per essere consapevole del trattamento e verificarne la liceità. Occorre pertanto che ogni interessato abbia il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità del trattamento, al periodo di conservazione previsto , ai destinatari, alla logica generale che presiede al trattamento e alle possibili conseguenze, almeno quando i dati si basato sul profilo dell’interessato. Tale diritto non deve ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i ad esempio in relazione ai diritti d’autore che tutelano il software. Tuttavia, queste considerazioni non devono portare a negare all’interessato l’accesso a tutte le informazioni. [Em. 26]

(52) Il responsabile del trattamento deve prendere tutte le misure ragionevoli per verificare l’identità di un interessato che chieda l’accesso, in particolare nel contesto di servizi on line e di identificativi on line. Il responsabile del trattamento non deve conservare dati personali al solo scopo di poter rispondere a potenziali richieste.

(53) Ogni persona deve avere il diritto di rettificare i dati personali che la riguardano e il «diritto all’oblio alla cancellazione », se la conservazione di tali dati non è conforme al presente regolamento. In particolare, l’interessato deve avere il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali che non siano più necessari per le finalità per le quali sono stati raccolti o altrimenti trattati, quando abbia ritirato il consenso o si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al presente regolamento. Tale diritto è particolarmente rilevante se l’interessato ha dato il consenso quando era minore, e quindi non pienamente consapevole dei rischi derivanti dal trattamento, e vuole successivamente eliminare questo tipo di dati personali, in particolare da Internet. Tuttavia, occorre consentire l’ulteriore conservazione dei dati qualora sia necessario per finalità storiche, statistiche e di ricerca scientifica, per motivi di interesse pubblico nel settore della sanità pubblica, per l’esercizio del diritto alla libertà di espressione, ove richiesto per legge o quando sia giustificata una limitazione del trattamento dei dati anziché una loro cancellazione. Inoltre, il diritto alla cancellazione non si dovrebbe applicare quando la conservazione di dati personali è necessaria per l'esecuzione di un contratto con l'interessato o quando vi sia l'obbligo giuridico di conservare tali dati. [Em. 27]

(54) Per rafforzare il «diritto all’oblio alla cancellazione » nell’ambiente on line, è necessario che il diritto di cancellazione sia esteso in modo da obbligare il responsabile del trattamento che ha pubblicato dati personali a informare i terzi che stanno trattando tali dati della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali. Per garantire tale informazione, è necessario che il responsabile del trattamento prenda tutte le misure ragionevoli, anche di natura tecnica, in relazione ai dati della cui pubblicazione è responsabile. Se ha autorizzato un terzo a pubblicare dati personali, il responsabile del trattamento deve essere ritenuto responsabile di tale pubblicazione senza una giustificazione legittima ad adottare tutti i provvedimenti necessari affinché i dati siano cancellati, anche dai terzi, fatto salvo il diritto dell'interessato di esigere il risarcimento . [Em. 28]

(54 bis) I dati contestati dall'interessato per i quali non sia possibile stabilire se sono esatti o meno sono bloccati fino al chiarimento della questione. [Em. 29]

(55) Per rafforzare ulteriormente il controllo sui propri dati e il diritto di accedervi, occorre che l’interessato abbia il diritto, se i dati personali sono trattati con mezzi elettronici e in un formato strutturato e di uso comune, di ottenere una copia dei dati che lo riguardano ugualmente in formato elettronico di uso comune. Occorre anche che l’interessato sia autorizzato a trasferire i dati che ha fornito da un’applicazione automatizzata, ad esempio un social network, ad un’altra. È necessario incoraggiare i responsabili del trattamento a sviluppare formati interoperabili che permettano la portabilità dei dati. Tale diritto dovrebbe applicarsi quando l’interessato ha fornito i dati al sistema di trattamento automatizzato acconsentendo al trattamento o in esecuzione di un contratto. È opportuno che i fornitori di servizi della società dell'informazione non rendano obbligatorio il trasferimento di tali dati per la fornitura dei loro servizi. [Em. 30]

(56) Anche nei casi in cui i dati personali possano essere lecitamente trattati per proteggere interessi vitali dell’interessato, oppure per motivi di pubblico interesse, nell’esercizio di pubblici poteri o per il legittimo interesse di un responsabile del trattamento, l’interessato deve comunque avere il diritto di opporsi al trattamento dei dati che lo riguardano , gratuitamente e con modalità facili ed effettive . È opportuno che incomba al responsabile del trattamento dimostrare che i suoi legittimi interessi possono prevalere sull’interesse o sui diritti e sulle libertà fondamentali dell’interessato. [Em. 31]

(57) Qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato deve avere abbia il diritto di opporsi a tale al trattamento, gratuitamente e con una modalità facili e effettive il responsabile dovrebbe comunicarlo esplicitamente all'interessato in modo e forma per lui intelligibili usando una formulazione chiara e semplice, e distinguerlo chiaramente dalle altre informazioni . [Em. 32]

(58) Fatta salva la liceità del trattamento dei dati, ogni persona deve avere il diritto di non essere sottoposta a una misura basata sulla opporsi alla profilazione mediante trattamento automatizzato. Tuttavia, è opportuno che tale misura sia La profilazione avente come conseguenza misure che producono effetti giuridici sull'interessato o che, parimenti, incidono significativamente sugli interessi, sui diritti o sulle libertà dello stesso dovrebbe essere consentita solamente se è espressamente prevista per legge, se è applicata nel contesto della conclusione o dell’esecuzione di un contratto o se l’interessato ha espresso il proprio consenso. In ogni caso, tale trattamento deve essere subordinato a garanzie adeguate, compresa la specifica informazione dell’interessato e il diritto di ottenere l’intervento umano una valutazione umana , e la misura non deve riguardare un minore. Tali misure non devono condurre alla discriminazione degli individui fondata sulla razza o sull'origine etnica, sulle opinioni politiche, sulla religione o sulle convinzioni personali, sull'appartenenza sindacale, sull'orientamento sessuale o sull'identità di genere. [Em. 33]

(58 bis) Si deve presumere che la profilazione basata esclusivamente sul trattamento dei dati pseudonimi non incida significativamente sugli interessi, sui diritti o sulle libertà dell'interessato. Qualora la profilazione, sia essa basata su una singola fonte di dati pseudonimi o sull'aggregazione dei dati pseudonimi da diverse fonti, consenta al responsabile del trattamento di attribuire i dati pseudonimi a un soggetto specifico, i dati trattati non vanno più considerati pseudonimi. [Em. 34]

(59) Il diritto dell’Unione o di uno Stato membro può imporre limitazioni a specifici principi e ai diritti di informazione, accesso, rettifica e cancellazione di dati, al diritto alla portabilità all'accesso e all'ottenimento dei dati, al diritto di opporsi, alle misure basate sulla alla profilazione, alla comunicazione di una violazione di dati personali all’interessato e ad alcuni obblighi connessi in capo ai responsabili del trattamento, ove ciò sia necessario e proporzionato in una società democratica per la salvaguardia della pubblica sicurezza, ivi comprese la protezione della vita umana, in particolare in risposta a catastrofi di origine naturale o umana, e le attività di prevenzione, indagine e perseguimento di reati o di violazioni della deontologia professionale, per la tutela di altri interessi pubblici specifici e ben definiti , tra cui un interesse economico o finanziario rilevante dell’Unione o di uno Stato membro, o per la protezione dell’interessato o dei diritti e delle libertà altrui. Tali limitazioni devono essere conformi alla Carta e alla convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali. [Em. 35]

(60) Occorre stabilire una responsabilità generale del responsabile del trattamento per qualsiasi trattamento di dati personali che abbia effettuato direttamente o altri abbia effettuato per suo conto , in particolare per quanto concerne la documentazione, la sicurezza dei dati, le valutazioni d'impatto, il responsabile della protezione dei dati e la vigilanza da parte delle autorità per la protezione dei dati . In particolare, il responsabile del trattamento deve garantire ed essere tenuto a in grado di dimostrare la conformità di ogni trattamento con il presente regolamento. È necessario che tali aspetti siano verificati da revisori interni o esterni indipendenti. [Em. 36]

(61) La tutela dei diritti e delle libertà degli interessati con riguardo al trattamento dei dati personali richiede l’attuazione di adeguate misure tecniche e organizzative al momento sia della progettazione che dell’esecuzione del trattamento stesso, onde garantire il rispetto delle disposizioni del presente regolamento. Al fine di garantire e dimostrare la conformità con il presente regolamento, il responsabile del trattamento deve adottare politiche interne e attuare misure adeguate, che soddisfino in particolare i principi della protezione fin dalla progettazione e della protezione di default. Il principio della protezione dei dati sin dalla progettazione prevede che la protezione dei dati sia integrata nell'intero ciclo di vita della tecnologia, dalla primissima fase di progettazione fino alla sua ultima distribuzione, all'utilizzo e allo smaltimento finale. Va altresì inclusa la responsabilità per i prodotti e i servizi utilizzati dal responsabile o dall'incaricato del trattamento. Il principio della protezione dei dati di default prevede che le impostazioni di tutela della vita privata relative ai servizi e prodotti rispettino di default i principi generali della protezione dei dati, quali la minimizzazione dei dati e la limitazione delle finalità. [Em. 37]

(62) La protezione dei diritti e delle libertà dell’interessato così come le responsabilità del responsabile del trattamento e dell’incaricato del trattamento, anche in relazione al monitoraggio e alle misure delle autorità di controllo, esigono una chiara attribuzione delle responsabilità ai sensi del presente regolamento, compresi i casi in cui un responsabile del trattamento stabilisca le finalità, le condizioni e i mezzi del trattamento congiuntamente con altri responsabili del trattamento o quando l’operazione viene eseguita per conto del responsabile del trattamento. Occorre che gli accordi tra i corresponsabili del trattamento riflettano i loro ruoli e rapporti effettivi. È necessario che il trattamento dei dati personali a norma del presente regolamento preveda la possibilità per un responsabile del trattamento di trasmettere i dati a un corresponsabile o a un incaricato del trattamento affinché esegua il trattamento per suo conto. [Em. 38]

(63) Quando un responsabile del trattamento non stabilito nell’Unione tratta dati personali di residenti interessati nell’Unione e la sua attività di trattamento è finalizzata all’offerta di beni o alla prestazione di servizi a tali interessati o al controllo del loro comportamento, è opportuno che tale responsabile del trattamento designi un rappresentante, salvo che non sia stabilito in un paese terzo che garantisce un livello di protezione adeguato, non sia una piccola o media impresa o o che il trattamento riguardi un numero inferiore a 5 000 interessati in un periodo di 12 mesi consecutivi e non sia eseguito su categorie particolari di dati personali, o che sia un’autorità o organismo pubblico oppure non offra beni o servizi agli interessati solo occasionalmente. Il rappresentante deve agire per conto del responsabile del trattamento e può essere interpellato da qualsiasi autorità di controllo. [Em. 39]

(64) Per determinare se un responsabile del trattamento offre solo occasionalmente beni e servizi agli interessati residenti nell’Unione, occorre verificare se dalle sue attività complessive risulta che l’offerta di beni o servizi agli interessati sia solo accessoria rispetto alle attività principali. [Em. 40]

(65) Per essere in grado di dimostrare che si conforma al presente regolamento, il responsabile del trattamento o l’incaricato del trattamento deve documentare ciascuna operazione di trattamento conservare la documentazione necessaria al fine di soddisfare i requisiti previsti dal presente regolamento . Bisognerebbe obbligare tutti i responsabili del trattamento e gli incaricati del trattamento a cooperare con l’autorità di controllo e a mettere, su richiesta, detta documentazione a sua disposizione affinché possa servire per monitorare i trattamenti valutare il rispetto del presente regolamento . Tuttavia, occorre attribuire pari enfasi e importanza alle buone prassi e all'ottemperanza, e non solo alla compilazione della documentazione . [Em. 41]

(66) Per mantenere la sicurezza e prevenire trattamenti contrari al presente regolamento, il responsabile del trattamento o l’incaricato del trattamento deve valutare i rischi inerenti al trattamento e provvedere a limitarli. Tali provvedimenti devono assicurare un adeguato livello di sicurezza, tenuto conto degli sviluppi tecnici e dei costi di attuazione rispetto ai rischi che presentano i trattamenti e alla natura dei dati da proteggere. Nel definire le norme tecniche e le misure organizzative atte a garantire la sicurezza del trattamento, la Commissione deve occorre promuovere la neutralità tecnologica, l’interoperabilità e l’innovazione e, ove opportuno, incoraggiare la cooperazione con i paesi terzi. [Em. 42]

(67) Una violazione di dati personali può, se non affrontata in modo adeguato e tempestivo, provocare un grave danno economico e sociale all’interessato, tra cui l’usurpazione dell’identità. Pertanto, non appena viene a conoscenza di una violazione, il responsabile del trattamento la deve notificare la violazione all’autorità di controllo senza ritardo e, quando possibile, vale a dire, presubilmente, entro 24 72 ore. Oltre il termine di 24 ore Ove applicabile , la notificazione deve essere corredata di una giustificazione motivata. È opportuno che le persone i cui dati o la cui vita privata potrebbero essere compromessi da una siffatta violazione siano informate tempestivamente affinché possano prendere le precauzioni del caso. Si considera che una violazione pregiudica i dati personali o la vita privata dell’interessato quando comporta, ad esempio, il furto o l’usurpazione d’identità, un danno fisico, un’umiliazione grave o attenta alla sua reputazione. La notifica deve descrivere la natura della violazione dei dati personali e formulare raccomandazioni per l’interessato intese ad attenuare i potenziali effetti negativi. La notifica deve essere trasmessa non appena possibile, in stretta collaborazione con l’autorità di controllo e nel rispetto degli orientamenti impartiti da questa o da altre autorità competenti (come le autorità incaricate dell’applicazione della legge). Ad esempio, affinché gli interessati possano attenuare un rischio immediato di pregiudizio è opportuno che la notifica sia tempestiva, ma la necessità di attuare misure adeguate per contrastare violazioni ripetute o analoghe potrebbe giustificare tempi più lunghi. [Em. 43]

(68) Per determinare se una violazione dei dati personali è notificata all’autorità di controllo e all’interessato senza ingiustificato ritardo, occorre verificare se il responsabile del trattamento ha predisposto e applicato un’adeguata protezione tecnologica e le misure organizzative necessarie a stabilire immediatamente se c’e stata violazione di dati personali e a informare tempestivamente l’autorità di controllo e l’interessato, prima che ne vengano pregiudicati gli interessi personali ed economici, tenendo conto in particolare della natura e della gravità della violazione e delle sue conseguenze e effetti negativi per l’interessato.

(69) Nel definire modalità dettagliate relative al formato e alle procedure applicabili alla notificazione delle violazioni di dati personali, è opportuno tenere debitamente conto delle circostanze della violazione, ad esempio stabilire se i dati personali fossero o meno protetti con opportuni dispositivi tecnici atti a limitare efficacemente il rischio di furto d’identità o altre forme di abuso. Inoltre, è opportuno che tali modalità e procedure tengano conto dei legittimi interessi delle autorità giudiziarie e di polizia, nei casi in cui una divulgazione prematura possa ostacolare inutilmente l’indagine sulle circostanze di una violazione di sicurezza.

(70) La direttiva 95/46/CE ha introdotto un obbligo generale di notificare alle autorità di controllo il trattamento dei dati personali. Tale obbligo comporta oneri amministrativi e finanziari senza per questo aver mai veramente contribuito a migliorare la protezione dei dati personali. È pertanto necessario abolire tale obbligo generale e indiscriminato di notificazione e sostituirlo con meccanismi e procedure efficaci che si concentrino piuttosto su quelle operazioni di trattamento che potenzialmente presentano rischi specifici per i diritti e le libertà degli interessati, per loro natura, portata o finalità. In tali casi, è opportuno che il responsabile del trattamento o l’incaricato del trattamento effettui una valutazione d’impatto sulla protezione dei dati prima del trattamento, che verta in particolare anche sulle misure, sulle garanzie e sui meccanismi previsti per assicurare la protezione dei dati personali e per comprovare il rispetto del presente regolamento.

(71) Ciò deve applicarsi in particolare ai nuovi sistemi di archiviazione su larga scala, che mirano al trattamento di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati.

(71 bis) Le valutazioni d'impatto rappresentano la componente essenziale di qualsiasi quadro sostenibile in materia di protezione dei dati, garantendo che le imprese siano consapevoli sin dall'inizio di tutte le possibili conseguenze delle operazioni di trattamento dei dati che effettuano. L'esecuzione di valutazioni d'impatto meticolose limita in modo significativo la probabilità di una violazione dei dati o di un'operazione di intrusione nella vita privata. Le valutazioni d'impatto sulla protezione dei dati devono pertanto considerare la gestione dell'intero ciclo di vita dei dati personali, dalla raccolta al trattamento fino alla cancellazione, descrivendo nel dettaglio le operazioni di trattamento previste, i rischi per i diritti e le libertà degli interessati, le misure previste per affrontare i rischi, le garanzie, le misure di sicurezza e i meccanismi per garantire la conformità al presente regolamento. [Em. 44]

(71 ter) I responsabili del trattamento devono concentrarsi sulla protezione dei dati personali durante l'intero ciclo di vita, dalla raccolta al trattamento fino alla cancellazione, investendo sin dall'inizio in un quadro sostenibile per la gestione dei dati corredato da un meccanismo globale di conformità. [Em. 45]

(72) Vi sono circostanze in cui può essere ragionevole ed economico effettuare una valutazione d’impatto sulla protezione dei dati che verta su un oggetto più ampio di un unico progetto, per esempio quando autorità o enti pubblici intendono istituire un’applicazione o una piattaforma di trattamento comune o quando diversi responsabili del trattamento progettano di introdurre un’applicazione o un ambiente di trattamento comune in un settore o segmento industriale o per una attività trasversale ampiamente utilizzata.

(73) È necessario che un’autorità pubblica o un ente pubblico procedano a una valutazione d’impatto sulla protezione dei dati se ciò non è già stato fatto in vista dell’adozione della legge nazionale che disciplina i compiti dell’autorità pubblica o dell’ente pubblico e lo specifico trattamento o insieme di trattamenti. [Em. 46]

(74) Se dalla valutazione d’impatto sulla protezione dei dati risulta che operazioni di trattamento o l’uso di nuove particolari tecnologie espongono i diritti e le libertà degli interessati a un grado elevato di rischi specifici, privandoli ad esempio di un diritto, il responsabile della protezione dei dati o l’autorità di controllo deve devono essere consultata consultati prima dell’inizio delle operazioni, affinché verifichi verifichino se un trattamento rischioso sia conforme al presente regolamento e formuli formulino proposte per ovviare a tale situazione. Siffatta Una consultazione dell'autorità di controllo deve aver luogo anche durante l’elaborazione di una proposta legislativa del parlamento nazionale o di una misura basata su quella proposta legislativa, che definisca la natura del trattamento e precisi le garanzie appropriate. [Em. 47]

(74 bis) Le valutazioni d'impatto possono essere utili solo se i responsabili del trattamento assicurano il rispetto dei propositi inizialmente formulati. I responsabili del trattamento dei dati devono pertanto effettuare controlli periodici della conformità della protezione dei dati da cui risulti che i meccanismi di trattamento dei dati che vengono utilizzati sono conformi alle garanzie espresse nella valutazione d'impatto sulla protezione dei dati. Dalla valutazione deve inoltre emergere la capacità del responsabile del trattamento di rispettare le scelte autonome degli interessati. Infine, se dal controllo dovessero emergere incongruenze in relazione alla conformità, esse devono essere evidenziate e devono essere presentate raccomandazioni su come ottenere la piena conformità. [Em. 48]

(75) Per i trattamenti effettuati nel settore pubblico o per i trattamenti effettuati nel settore privato da una grande impresa riguardanti un numero superiore a 5000 interessati in 12 mesi , o per i trattamenti effettuati o da un’impresa, a prescindere dalle sue dimensioni, le cui attività principali implicano operazioni di trattamento su dati sensibili o operazioni che richiedono un monitoraggio regolare e sistematico, il responsabile del trattamento o l’incaricato del trattamento deve essere assistito da un’altra persona nel controllo del rispetto interno del presente regolamento. Nel valutare se i dati concernenti un vasto numero di interessati siano oggetto di trattamento, è opportuno non prendere in considerazione i dati archiviati limitati a tal punto da non essere soggetti al normale accesso ai dati e ai trattamenti del responsabile del trattamento e da non potere più essere modificati. Tali «responsabili della protezione dei dati», dipendenti o meno del responsabile del trattamento e che svolgono o meno tale compito a tempo pieno , devono essere in grado di esercitare le loro funzioni e compiti in modo indipendente e beneficiare di una tutela specifica contro il licenziamento . La responsabilità finale deve rimanere di competenza della direzione di un'organizzazione. Il responsabile della protezione dei dati deve, in particolare, essere consultato anteriormente alla progettazione, all'approvvigionamento, allo sviluppo e alla messa a punto di sistemi per il trattamento automatizzato dei dati personali, al fine di garantire i principi della protezione della vita privata fin dalla progettazione e della protezione della vita privata di default . [Em. 49]

75 bis) Il responsabile della protezione dei dati deve avere almeno le seguenti qualifiche: conoscenza approfondita del contenuto e dell'applicazione della normativa sulla protezione dei dati, incluse le misure e le procedure tecniche e organizzative; padronanza dei requisiti tecnici in materia di protezione della vita privata fin dalla progettazione, protezione della vita privata di default e sicurezza dei dati; specifica conoscenza del settore a seconda della dimensione del responsabile del trattamento o dell'incaricato del trattamento e della sensibilità dei dati da sottoporre a trattamento; capacità di effettuare ispezioni, consultazioni, attività di documentazione e analisi dei file di registro; capacità di collaborare con i rappresentanti dei lavoratori. Il responsabile del trattamento deve autorizzare il responsabile della protezione dei dati a partecipare a misure di formazione avanzate intese a mantenere le conoscenze specifiche necessarie per svolgere le proprie mansioni. L'incarico di responsabile della protezione dei dati non richiede necessariamente un'occupazione a tempo pieno del dipendente in questione. [Em. 50]

(76) Le associazioni o altre organizzazioni rappresentative dei responsabili del trattamento devono essere incoraggiate , previa consultazione dei rappresentanti dei lavoratori, ad elaborare codici di condotta, nei limiti del presente regolamento, in modo da facilitarne l’effettiva applicazione, tenendo conto delle caratteristiche specifiche delle operazioni effettuate in alcuni settori. Detti codici devono semplificare la conformità dell'industria con il presente regolamento. [Em. 51]

(77) Al fine di migliorare la trasparenza e il rispetto del presente regolamento deve essere incoraggiata l’istituzione di meccanismi di certificazione, sigilli e marchi standardizzati di protezione dei dati che consentano agli interessati di valutare rapidamente e in maniera affidabile e verificabile il livello di protezione dei dati dei relativi prodotti e servizi. È necessario istituire un «sigillo europeo per la protezione dei dati» a livello europeo al fine di creare fiducia tra gli interessati, certezza giuridica per i responsabili del trattamento e al tempo stesso esportare le norme europee per la protezione dei dati, permettendo a società non europee di accedere con maggiore facilità ai mercati europei in forza della certificazione. [Em. 52]

(78) I flussi transfrontalieri di dati personali sono necessari per l’espansione del commercio internazionale e della cooperazione internazionale. L’aumento di tali flussi ha posto nuove sfide e problemi riguardanti la protezione dei dati personali. È importante però che quando i dati personali sono trasferiti dall’Unione a paesi terzi o a organizzazioni internazionali non sia compromesso il livello di protezione delle persone garantito nell’Unione dal presente regolamento. In ogni caso, i trasferimenti di dati verso paesi terzi possono soltanto essere effettuati nel pieno rispetto del presente regolamento.

(79) Il presente regolamento lascia impregiudicate le disposizioni degli accordi internazionali conclusi tra l’Unione e i paesi terzi che disciplinano il trasferimento di dati personali, comprese adeguate garanzie per gli interessati in grado di assicurare un livello adeguato di tutela dei diritti fondamentali dei cittadini . [Em. 53]

(80) La Commissione può decidere, con effetto nell’intera Unione europea, che taluni paesi terzi, o un territorio o settore di trattamento all’interno di un paese terzo, o un’organizzazione internazionale offrono un livello adeguato di protezione dei dati, garantendo in tal modo la certezza del diritto e l’uniformità in tutta l’Unione nei confronti dei paesi terzi o delle organizzazioni internazionali che si ritiene offrano un livello di protezione adeguato. In questi casi, i trasferimenti di dati personali possono avere luogo senza ulteriori autorizzazioni. La Commissione può inoltre decidere, dopo aver fornito una comunicazione e una motivazione completa al paese terzo, di revocare una tale decisione. [Em. 54]

(81) In linea con i valori fondamentali su cui è fondata l’Unione, in particolare la tutela dei diritti dell’uomo, è opportuno che la Commissione, nella sua valutazione del paese terzo, tenga conto del modo in cui tale paese rispetta lo stato di diritto, l’accesso alla giustizia e le norme e gli standard internazionali in materia di diritti dell’uomo.

(82) La Commissione può anche riconoscere che un paese terzo, o un territorio o settore di trattamento all’interno del paese terzo, o un’organizzazione internazionale non offra un adeguato livello di protezione dei dati, nel qual caso . Qualsiasi legge che preveda un accesso extraterritoriale ai dati personali trattati nell'Unione senza un'autorizzazione a norma del diritto dell'Unione o dello Stato membro è da considerarsi indice di una mancanza di adeguatezza. Di conseguenza, il trasferimento di dati personali verso tale paese terzo deve essere vietato. È altresì opportuno prevedere consultazioni tra la Commissione e detti paesi terzi od organizzazioni internazionali. [Em. 55]

(83) In mancanza di una decisione di adeguatezza, il responsabile del trattamento o l’incaricato del trattamento deve provvedere a compensare la carenza di protezione dei dati in un paese terzo con adeguate garanzie a tutela dell’interessato. Tali adeguate garanzie possono consistere nell’applicazione di norme vincolanti d’impresa, clausole di protezione dei dati adottate dalla Commissione, clausole tipo di protezione dei dati adottate da un’autorità di controllo o clausole contrattuali autorizzate da un’autorità di controllo, o altre opportune misure proporzionate e giustificate alla luce di tutte le circostanze relative ad un trasferimento o ad un insieme di trasferimenti di dati e nei casi autorizzati da un’autorità di controllo. . Tali garanzie appropriate devono assicurare un rispetto dei diritti degli interessati adeguato ai trattamenti all'interno dell'UE, in particolare per quanto riguarda la limitazione delle finalità, il diritto di accesso, rettifica, cancellazione e richiesta di risarcimento. Tali garanzie devono, in particolare, assicurare il rispetto dei principi di trattamento dei dati personali, tutelare i diritti degli interessati e fornire meccanismi di ricorso efficaci, garantire il rispetto dei principi della protezione dei dati fin dalla progettazione e della protezione dei dati di default nonché garantire la presenza di un responsabile della protezione dei dati. [Em. 56]

(84) La possibilità che il responsabile del trattamento o l’incaricato del trattamento utilizzi clausole tipo di protezione dei dati adottate dalla Commissione o da un’autorità di controllo non deve precludere ai responsabili del trattamento o agli incaricati del trattamento la possibilità di includere tali clausole tipo in un contratto più ampio né di aggiungere altre clausole o garanzie supplementari , purché non contraddicano, direttamente o indirettamente, le clausole contrattuali tipo adottate dalla Commissione o da un’autorità di controllo o ledano i diritti o le libertà fondamentali degli interessati. Le clausole tipo di protezione dei dati adottate dalla Commissione potrebbero interessare situazioni diverse, in particolare le operazioni di trasferimento dai responsabili del trattamento stabiliti nell'Unione ai responsabili del trattamento stabiliti al suo esterno nonché dai responsabili del trattamento stabiliti nell'Unione agli incaricati del trattamento, compresi i sub-incaricati, stabiliti al suo esterno. Occorre incoraggiare i responsabili del trattamento e gli incaricati del trattamento affinché forniscano garanzie ancora più solide attraverso impegni contrattuali supplementari che integrino le clausole tipo di protezione. [Em. 57]

(85) Un gruppo di imprese deve poter applicare le norme vincolanti d’impresa approvate per i trasferimenti internazionali dall’Unione agli organismi dello stesso gruppo di imprese, purché tali norme contemplino tutti i principi fondamentali e diritti azionabili in giudizio che costituiscano adeguate garanzie per i trasferimenti o categorie di trasferimenti di dati personali. [Em. 58]

(86) È opportuno prevedere la possibilità di trasferire dati in alcune circostanze se l’interessato ha acconsentito, se il trasferimento è necessario in relazione ad un contratto o un’azione legale, se sussistono motivi di rilevante interesse pubblico previsti dalla legislazione di uno Stato membro o dell’Unione o se i dati sono trasferiti da un registro stabilito per legge e destinato ad essere consultato dal pubblico o dalle persone aventi un legittimo interesse. In quest’ultimo caso, il trasferimento non deve riguardare la totalità dei dati o delle categorie di dati contenuti nel registro; inoltre, quando il registro è destinato ad essere consultato dalle persone aventi un legittimo interesse, i dati possono essere trasferiti soltanto se tali persone lo richiedono o ne sono destinatarie , tenendo pienamente conto degli interessi e dei diritti fondamentali dell'interessato . [Em. 59]

(87) Tali deroghe devono in particolare valere per i trasferimenti di dati richiesti e necessari per la protezione di motivi di interesse pubblico rilevante, ad esempio nel caso di trasferimenti internazionali di dati tra autorità garanti della concorrenza, amministrazioni fiscali o doganali, autorità di controllo finanziario, tra i servizi competenti in materia di sicurezza sociale o sanità pubblica, o verso autorità pubbliche competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati , compresi la prevenzione del riciclaggio di denaro e la lotta contro il finanziamento del terrorismo . Il trasferimento di dati personali dovrebbe essere parimenti considerato lecito quando è necessario per tutelare un interesse essenziale per la vita dell'interessato o di un'altra persona, qualora l'interessato si trovi nell'incapacità di dare il proprio consenso. Il trasferimento dei dati personali per motivi rilevanti di interesse pubblico deve essere utilizzato solo per trasferimenti occasionali. In tutti i casi, è necessario effettuare un'attenta valutazione di tutte le circostanze del trasferimento . [Em. 60]

(88) Potrebbero altresì essere autorizzati anche i trasferimenti non qualificabili come frequenti o massicci Ai fini dei legittimi interessi del responsabile del trattamento o dell’incaricato del trattamento, dopo che questi abbia valutato tutte le circostanze relative al trasferimento. Ai fini del trattamento per finalità storiche, statistiche e di ricerca scientifica, si deve tener conto delle legittime aspettative della società nei confronti di un miglioramento delle conoscenze. [Em. 61]

(89) In ogni caso, se la Commissione non ha preso alcuna decisione circa il livello adeguato di protezione dei dati di un paese terzo, il responsabile del trattamento o l’incaricato del trattamento deve ricorrere a soluzioni che diano all’interessato la garanzia giuridicamente vincolante che continuerà a beneficiare dei diritti e delle garanzie fondamentali previste dall’Unione in relazione al trattamento dei dati personali, anche dopo il trasferimento , purché il trattamento non sia massiccio, ripetitivo e strutturale . Tale garanzia deve includere l'indennizzo finanziario in caso di perdita o di accesso o trattamento non autorizzato dei dati e l'obbligo, indipendentemente dalla legislazione nazionale, di fornire tutti i dettagli relativi all'accesso ai dati da parte delle autorità pubbliche nel paese terzo . [Em. 62]

(90) Alcuni paesi terzi adottano leggi, regolamenti e altri strumenti legislativi finalizzati a disciplinare direttamente le attività di trattamento dati di persone fisiche e giuridiche poste sotto la giurisdizione degli Stati membri. L’applicazione extraterritoriale di tali leggi, regolamenti e altri strumenti legislativi potrebbe essere contraria al diritto internazionale e ostacolare il conseguimento della tutela delle persone garantita nell’Unione con il presente regolamento. I trasferimenti dovrebbero quindi essere consentiti solo se ricorrono le condizioni previste dal presente regolamento per i trasferimenti a paesi terzi. Ciò vale tra l’altro quando la divulgazione è necessaria per un motivo di interesse pubblico rilevante riconosciuto dal diritto dell’Unione o dello Stato membro cui è soggetto il responsabile del trattamento. Occorre che la Commissione precisi le condizioni in cui sussiste un motivo di interesse pubblico rilevante con un atto delegato. Laddove i responsabili del trattamento o gli incaricati del trattamento si trovino di fronte a requisiti di conformità contrastanti tra la giurisdizione dell'Unione, da una parte, e quella di un paese terzo, dall'altra, la Commissione deve garantire che il diritto dell'Unione prevalga in ogni circostanza. La Commissione ha il compito di fornire consulenza e assistenza al responsabile del trattamento e all'incaricato del trattamento nonché di cercare di risolvere il conflitto di giurisdizione con il paese terzo interessato. [Em. 63]

(91) Con il trasferimento transfrontaliero di dati personali aumenta il rischio che l’interessato non eserciti i propri diritti alla protezione dei dati, in particolare per tutelarsi da usi o divulgazioni illecite di tali informazioni. Allo stesso tempo, le autorità di controllo possono concludere di non essere in grado di dar corso alle denunce o svolgere indagini relative ad attività condotte oltre frontiera. I loro sforzi di collaborazione nel contesto transfrontaliero possono anche scontrarsi con poteri insufficienti per prevenire e correggere, regimi giuridici incoerenti e difficoltà pratiche quali la limitatezza delle risorse disponibili. Pertanto vi è la necessità di promuovere una più stretta cooperazione tra le autorità di controllo della protezione dei dati affinché possano scambiare informazioni e condurre indagini di concerto con le loro controparti internazionali.

(92) La designazione di autorità di controllo che agiscano in totale indipendenza in ciascuno Stato membro è un elemento essenziale della protezione delle persone con riguardo al trattamento di dati personali. Gli Stati membri possono istituire più di una autorità di controllo, al fine di rispecchiare la loro struttura costituzionale, organizzativa e amministrativa. Le autorità dispongono delle risorse finanziarie e di personale adeguate per svolgere appieno il proprio ruolo, tenendo conto dell'entità della popolazione e della quantità di dati personali sottoposti a trattamento. [Em. 64]

(93) Laddove siano istituite più autorità di controllo, lo Stato membro deve stabilire per legge meccanismi atti ad assicurare la partecipazione effettiva di dette autorità al meccanismo di coerenza. Lo Stato membro deve in particolare designare l’autorità di controllo che funge da punto di contatto unico per l’effettiva partecipazione di tutte le autorità al meccanismo, onde garantire la rapida e agevole cooperazione con altre autorità di controllo, il comitato europeo per la protezione dei dati e la Commissione.

(94) Ciascuna autorità di controllo deve disporre di risorse umane e finanziarie adeguate, prestando particolare attenzione a garantire che il personale abbia le competenze tecniche e giuridiche adeguate, dei locali e delle infrastrutture necessarie necessari per l’effettivo svolgimento dei propri compiti, compresi i compiti di assistenza reciproca e cooperazione con altre autorità di controllo in tutta l’Unione. [Em. 65]

(95) Le condizioni generali applicabili ai membri dell’autorità di controllo devono essere stabilite da ciascuno Stato membro e devono in particolare prevedere che i membri siano nominati dal parlamento o dal governo dello Stato membro , prestando la debita attenzione a ridurre al minimo la possibilità d'interferenza politica, e contenere disposizioni sulle qualifiche dei membri, sulla prevenzione dei conflitti d'interesse e sulle funzioni di tali membri. [Em. 66]

(96) Spetterebbe alle autorità di controllo controllare l’applicazione delle disposizioni del presente regolamento e contribuire alla sua coerente applicazione in tutta l’Unione, così da tutelare le persone fisiche in relazione al trattamento dei dati personali e facilitare la libera circolazione di tali dati nel mercato interno. A tal fine le autorità di controllo cooperano tra loro e con la Commissione.

(97) Qualora il trattamento dei dati personali nell’ambito delle attività di uno stabilimento di un responsabile del trattamento o incaricato del trattamento nell’Unione abbia luogo in più di uno Stato membro, è opportuno che un’unica autorità di controllo sia competente a funga da punto di contatto unico e da autorità di riferimento incaricata di controllare le attività del il responsabile del trattamento o dell’ l' incaricato del trattamento in tutta l’Unione e ad di prendere le relative decisioni, in modo da aumentare la coerenza nell’applicazione, garantire la certezza giuridica e ridurre gli oneri amministrativi per tali responsabili del trattamento e incaricati del trattamento. [Em. 67]

(98) È necessario che l’autorità competente di riferimento , che funge da «sportello unico», sia l’autorità di controllo dello Stato membro in cui il responsabile del trattamento o l’incaricato del trattamento ha lo stabilimento principale o il suo rappresentante . Il comitato europeo per la protezione dei dati può in alcuni casi nominare l'autorità di riferimento mediante il meccanismo di coerenza su richiesta di un'autorità competente . [Em. 68]

(98 bis) Gli interessati i cui dati personali sono sottoposti a trattamento da un responsabile del trattamento o incaricato del trattamento in un altro Stato membro devono poter sporgere reclamo presso l'autorità di controllo di loro scelta. L'autorità di protezione dei dati di riferimento deve coordinare le proprie attività con quelle delle altre autorità coinvolte. [Em. 69]

(99) Sebbene il presente regolamento si applichi anche alle attività dei giudici nazionali, non è opportuno che rientri nella competenza delle autorità di controllo il trattamento di dati personali effettuato dalle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali, al fine di salvaguardarne l’indipendenza. Tuttavia, tale esenzione deve essere rigorosamente limitata all’attività autenticamente giurisdizionale e non applicarsi ad altre attività a cui i giudici potrebbero partecipare in forza del diritto nazionale.

(100) Al fine di garantire un monitoraggio e un’applicazione coerenti del presente regolamento in tutta l’Unione, le autorità di controllo devono godere in ciascuno Stato membro degli stessi diritti e poteri effettivi, fra cui poteri di indagine e d’intervento giuridicamente vincolanti, di decisione e sanzione, segnatamente in caso di reclamo, così come di agire in giudizio. I poteri d’indagine delle autorità di controllo con riferimento all’accesso ai locali devono essere esercitati nel rispetto del diritto dell’Unione e della legislazione nazionale. Ciò riguarda in particolare l’obbligo di ottenere una preventiva autorizzazione giudiziaria.

(101) È necessario che ciascuna autorità di controllo tratti i reclami proposti da qualsiasi interessato o associazione che agisce nel pubblico interesse e svolga le relative indagini; che a seguito di reclamo vada condotta un’indagine, soggetta a controllo giurisdizionale, nella misura in cui ciò sia opportuno nella fattispecie; che l’autorità di controllo informi gli interessati o l'associazione dei progressi e dei risultati del ricorso entro un termine ragionevole. Se il caso richiede un’ulteriore indagine o il coordinamento con un’altra autorità di controllo, l’interessato deve ricevere informazioni interlocutorie. [Em. 70]

(102) Le attività di sensibilizzazione delle autorità di controllo nei confronti del pubblico devono comprendere misure specifiche per i responsabili del trattamento e gli incaricati del trattamento, comprese le micro, piccole e medie imprese, e per gli interessati.

(103) Le autorità di controllo devono prestarsi reciproca assistenza nell’esercizio delle loro funzioni, in modo da garantire la coerente applicazione e attuazione del presente regolamento nel mercato interno.

(104) Ciascuna autorità di controllo deve avere il diritto di partecipare alle operazioni congiunte tra autorità di controllo. L’autorità di controllo che riceve una richiesta dovrebbe darvi seguito entro un termine definito.

(105) È necessario istituire un meccanismo di coerenza per la cooperazione tra le autorità di controllo e con la Commissione, al fine di assicurare un’applicazione coerente del presente regolamento in tutta l’Unione. Tale meccanismo deve applicarsi in particolare quando un’autorità di controllo intenda adottare una misura relativa ad attività di trattamento finalizzate all’offerta di beni o servizi agli interessati in vari Stati membri o al controllo degli stessi, o che possono incidere significativamente sulla libera circolazione dei dati personali. È opportuno che il meccanismo si attivi anche quando un’autorità di controllo o la Commissione chiede che una questione sia trattata nell’ambito del meccanismo di coerenza. Inoltre, gli interessati dovrebbero avere il diritto di ottenere coerenza, qualora ritengano che una misura adottata dall'autorità per la protezione dei dati di uno Stato membro non soddisfi questo criterio. Tale meccanismo non deve pregiudicare le misure che la Commissione può adottare nell’esercizio dei suoi poteri a norma dei trattati. [Em. 71]

(106) In applicazione del meccanismo di coerenza il comitato europeo per la protezione dei dati deve emettere un parere entro un termine determinato, se i suoi membri lo decidono a maggioranza semplice o se a richiederlo sono un’autorità di controllo o la Commissione.

(106 bis) Al fine di garantire l'applicazione coerente del presente regolamento, il comitato europeo per la protezione dei dati può, in singoli casi, adottare una decisione vincolante per le autorità di controllo competenti. [Em. 72]

(107) Al fine di garantire il rispetto del presente regolamento, la Commissione può adottare un parere sulla questione, o una decisione volta a ingiungere all’autorità di controllo di sospendere il progetto di misura. [Em. 73]

(108) Potrebbe essere necessario intervenire urgentemente per tutelare gli interessi degli interessati, in particolare quando sussiste il pericolo che l’esercizio di un diritto possa essere gravemente ostacolato. Pertanto, un’autorità di controllo deve essere in grado di prendere misure provvisorie con un periodo di validità determinato quando applica il meccanismo di coerenza.

(109) L’applicazione di tale meccanismo deve essere un requisito indispensabile ai fini della validità giuridica e dell’esecuzione della rispettiva decisione a cura dell’autorità di controllo. In altri casi di rilevanza transfrontaliera, le autorità di controllo possono prestarsi reciproca assistenza ed effettuare indagini congiunte, su base bilaterale o multilaterale, senza attivare il meccanismo di coerenza.

(110) Occorre istituire a livello di Unione un comitato europeo per la protezione dei dati che sostituisca il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito con direttiva 95/46/CE. Il comitato deve essere composto dal responsabile dell’autorità di controllo di ciascuno Stato membro e dal garante europeo della protezione dei dati. È necessario che la Commissione partecipi alle attività del comitato. Il comitato europeo per la protezione dei dati deve contribuire all’applicazione uniforme del presente regolamento in tutta l’Unione, in particolare dando consulenza alla Commissione alle istituzioni dell'Unione e promuovendo la cooperazione delle autorità di controllo in tutta l’Unione , ivi compreso il coordinamento delle operazioni congiunte . Esso deve svolgere le sue funzioni in piena indipendenza. È necessario che il comitato europeo per la protezione dei dati rafforzi il dialogo con le parti interessate, come le associazioni degli interessati, le organizzazioni dei consumatori, i responsabili del trattamento nonché altri attori pertinenti e gli esperti. [Em. 74]

(111) Ciascun interessato deve Gli interessati devono avere il diritto di proporre reclamo a un’autorità di controllo di qualunque Stato membro e il diritto di proporre un ricorso giurisdizionale effettivo a norma dell'articolo 47 della Carta qualora ritenga ritengano che siano stati violati i diritti di cui gode godono a norma del presente regolamento o se l’autorità di controllo non dà seguito a un reclamo o non agisce quando è necessario intervenire per proteggere i suoi loro diritti di interessato interessati . [Em. 75]

(112) L’organismo, l’organizzazione o associazione che intenda tutelare i diritti e gli interessi degli interessati in relazione alla protezione dei dati personali agisce nell'interesse pubblico e sia istituito o istituita a norma della legislazione di uno Stato membro deve avere il diritto di proporre reclamo a un’autorità di controllo di qualunque Stato membro per conto degli interessati con il loro consenso o esercitare il diritto a un ricorso giurisdizionale per conto degli interessati se autorizzato o autorizzata dall'interessato , o di proporre un proprio reclamo indipendente dall’azione dell’interessato, se ritiene che sussista violazione dei dati personali del presente regolamento . [Em. 76]

(113) Ogni persona fisica o giuridica deve avere il diritto di proporre ricorso giurisdizionale avverso la decisione dell’autorità di controllo che la riguarda. Le azioni contro l’autorità di controllo devono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l’autorità di controllo è stabilita.

(114) Al fine di potenziare la tutela giurisdizionale dell’interessato nei casi in cui l’autorità di controllo competente è stabilita in uno Stato membro diverso da quello in cui risiede l’interessato, questi può chiedere a autorizzare qualsiasi organismo, organizzazione o associazione mirante a tutelare i diritti e gli interessi degli interessati in relazione alla protezione dei dati personali di che agisce nel pubblico interesse a proporre un ricorso giurisdizionale per suo conto contro tale autorità di controllo davanti all’autorità giurisdizionale competente nell’altro Stato membro. [Em. 77]

(115) Nei casi in cui l’autorità di controllo competente stabilita in un altro Stato membro non agisca o abbia adottato misure insufficienti a seguito di un reclamo, l’interessato può chiedere all’autorità di controllo dello Stato membro in cui ha la residenza abituale di proporre un ricorso giurisdizionale contro tale autorità di controllo davanti all’autorità giurisdizionale competente nell’altro Stato membro. Tale disposizione non si applica ai soggetti non residenti nell'Unione. L’autorità di controllo richiesta può decidere, con atto impugnabile in via giurisdizionale, se sia opportuno dare seguire seguito alla richiesta. [Em. 78]

(116) Nei ricorsi contro un responsabile del trattamento o incaricato del trattamento, il ricorrente deve poter avviare un’azione legale dinanzi al giudice dello Stato membro in cui il responsabile del trattamento o l’incaricato del trattamento ha uno stabilimento o , in caso di residenza nell'Unione, in cui risiede l’interessato, salvo che il responsabile del trattamento sia un ente pubblico dell'Unione o di uno Stato membro che agisce nell’esercizio dei suoi poteri pubblici. [Em. 79]

(117) Qualora vi siano fondati motivi di ritenere che in un altro Stato membro sia in corso un procedimento parallelo, le autorità giurisdizionali interessate devono prendere contatti. L’autorità giurisdizionale deve poter sospendere un procedimento quando sia in corso un procedimento parallelo in un altro Stato membro. Gli Stati membri devono assicurare che i ricorsi giurisdizionali, per essere efficaci, consentano di adottare rapidamente provvedimenti per porre fine alla violazione del presente regolamento o per prevenirla.

(118) Il responsabile del trattamento o l’incaricato del trattamento deve risarcire i danni , pecuniari o meno, cagionati da un trattamento illecito ma e può essere esonerato da tale responsabilità soltanto se prova che l’evento dannoso non gli è imputabile, segnatamente se dimostra che a causare l’errore è stato l’interessato o in caso di forza maggiore. [Em. 80]

(119) Dovrebbe essere punibile chiunque, persona di diritto pubblico o di diritto privato, non ottemperi alle disposizioni del presente regolamento. Gli Stati membri devono garantire sanzioni efficaci, proporzionate e dissuasive e adottare tutte le misure necessarie per la loro applicazione. Le sanzioni per violazione devono essere soggette ad adeguate garanzie procedurali conformemente ai principi generali del diritto dell'Unione e della Carta, comprese quelle riguardanti il diritto a un ricorso giurisdizionale effettivo, al giusto processo e il principio «ne bis in idem». [Em. 81]

(119 bis) Nell'applicare le sanzioni gli Stati membri sono tenuti a rispettare appieno le garanzie procedurali adeguate, compreso il diritto a un ricorso giurisdizionale effettivo e al giusto processo e il principio «ne bis in idem». [Em. 82]

(120) Al fine di rafforzare e armonizzare le sanzioni amministrative applicabili per violazione del presente regolamento, ogni autorità di controllo deve poter sanzionare gli illeciti amministrativi. Il presente regolamento deve specificare detti illeciti e indicare il limite massimo della relativa sanzione amministrativa, che va stabilita in misura proporzionata alla situazione specifica, tenuto conto in particolare della natura, gravità e durata dell’infrazione. Il meccanismo di coerenza può essere utilizzato anche per colmare divergenze nell’applicazione delle sanzioni amministrative.

(121) Ove necessario, occorre prevedere per il trattamento di dati personali effettuato esclusivamente a scopi giornalistici o di espressione artistica o letteraria dovrebbe poter derogare esenzioni e deroghe ad alcune disposizioni del presente regolamento per conciliare il diritto alla protezione dei dati personali con il diritto alla libertà d’espressione, in particolare la libertà di ricevere e comunicare informazioni garantita in particolare dall’articolo 11 della Carta. Ciò dovrebbe applicarsi in particolare al trattamento dei dati personali nel settore audiovisivo, negli archivi stampa e nelle emeroteche. È necessario pertanto che gli Stati adottino misure legislative che prevedano le deroghe e le esenzioni necessarie ai fini di un equilibrio tra questi diritti fondamentali. Gli Stati membri dovrebbero adottare tali esenzioni e deroghe con riferimento alle disposizioni concernenti i principi generali, i diritti dell’interessato, il responsabile del trattamento e l’incaricato del trattamento, il trasferimento di dati a paesi terzi o a organizzazioni internazionali, le autorità di controllo indipendenti, la cooperazione e la coerenza nonché situazioni di trattamento dei dati specifiche . Tuttavia ciò non deve indurre gli Stati membri a prevedere deroghe alle altre disposizioni del presente regolamento. Per tenere conto dell’importanza del diritto alla libertà di espressione in tutte le società democratiche è necessario interpretare in modo esteso i concetti relativi a detta libertà, quali la nozione di giornalismo. Pertanto, ai fini delle esenzioni e deroghe da stabilire nel presente regolamento, gli Stati membri dovrebbero classificare come «giornalistiche» al fine di includere tutte le attività finalizzate alla diffusione al pubblico di informazioni, pareri o idee, indipendentemente dal canale utilizzato per la loro trasmissione , anche considerando lo sviluppo tecnologico , senza limitarle alle imprese operanti nel settore dei media ma includendovi le attività intraprese con o senza scopo di lucro. [Em. 83]

(122) Il trattamento dei dati personali relativi alla salute, particolare categoria di dati che necessita di una maggiore protezione, può spesso essere giustificato da diversi motivi legittimi a beneficio delle persone e dell’intera società, in particolare se l’obiettivo è garantire la continuità dell’assistenza sanitaria transfrontaliera. Pertanto il presente regolamento deve prevedere condizioni armonizzate per il trattamento dei dati relativi alla salute, fatte salve garanzie appropriate e specifiche a tutela dei diritti fondamentali e dei dati personali delle persone fisiche. Ciò include il diritto di accedere ai propri dati personali relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, parere di medici curanti o eventuali terapie o interventi praticati.

(122 bis) Un professionista che tratta dati personali relativi alla salute dovrebbe ricevere, se possibile, dati resi anonimi o presentati con l'uso di pseudonimi, in modo che l'identità dell'interessato sia nota solo al medico generico o allo specialista che ha chiesto il trattamento dei dati. [Em. 84]

(123) Il trattamento dei dati relativi alla salute può essere necessario per motivi di interesse pubblico nei settori della sanità pubblica, senza il consenso dell’interessato. In questo contesto, il concetto di «sanità pubblica» va interpretato secondo la definizione del regolamento (CE) n. 1338/2008 del Parlamento europeo e del Consiglio, del 16 dicembre 2008, relativo alle statistiche comunitarie in materia di sanità pubblica e di salute e sicurezza sul luogo di lavoro (9): tutti gli elementi relativi alla salute, ossia lo stato di salute, morbilità e disabilità incluse, i determinanti aventi un effetto su tale stato di salute, le necessità in materia di assistenza sanitaria, le risorse destinate all’assistenza sanitaria, la prestazione di assistenza sanitaria e l’accesso universale ad essa, la spesa sanitaria e il relativo finanziamento e le cause di mortalità. Il trattamento dei dati personali relativi alla salute effettuato per motivi di interesse pubblico non deve comportare il trattamento dei dati per altre finalità da parte di terzi, quali datori di lavoro, compagnie di assicurazione e istituti di credito. [Em. 85]

(123 bis) Il trattamento dei dati personali relativi alla salute, in quanto categoria particolare di dati, può essere necessario per finalità storiche, statistiche o di ricerca scientifica. Il presente regolamento prevede pertanto una deroga all'obbligo di prestare il consenso nel caso della ricerca che serve interessi pubblici elevati. [Em. 86]

(124) I principi generali della protezione delle persone fisiche con riguardo al trattamento dei dati personali devono trovare applicazione anche nei rapporti di lavoro. Pertanto, al fine di e nell'ambito della sicurezza sociale. Gli Stati membri devono poter disciplinare il trattamento dei dati personali dei lavoratori in tale nell' ambito, gli Stati membri devono avere facoltà, nei limiti del presente regolamento, di emanare specifiche disposizioni applicabili al trattamento dei dati personali nel settore del lavoro dei rapporti di lavoro e il trattamento dei dati personali nell'ambito della sicurezza sociale conformemente alle disposizioni e alle norme minime fissate nel presente regolamento. Nella misura in cui nello Stato membro in questione è prevista una base giuridica per la regolamentazione di questioni relative ai rapporti di lavoro tramite accordi tra i rappresentanti dei lavoratori e la direzione dell'impresa o dell'impresa controllante di un gruppo di imprese (accordo collettivo) o a norma della direttiva 2009/38/CE del Parlamento europeo e del Consiglio44quater (10) , il trattamento dei dati personali nel contesto dei rapporti di lavoro può essere regolamentato anche tramite un accordo analogo . [Em. 87]

(125) Il trattamento dei dati personali per finalità storiche, statistiche o di ricerca scientifica deve, per essere lecito, rispettare anche altre normative pertinenti, ad esempio quelle sulle sperimentazioni cliniche.

(125 bis) I dati personali possono essere altresì trattati successivamente da servizi di archiviazione aventi come compito principale o obbligo la raccolta, la conservazione, la fornitura di informazioni, la valorizzazione e la diffusione degli archivi nell'interesse pubblico. La legislazione dello Stato membro deve conciliare il diritto alla protezione dei dati personali e le norme sugli archivi e sull'accesso del pubblico alle informazioni amministrative. Gli Stati membri sono tenuti a incoraggiare l'elaborazione, soprattutto da parte del gruppo «Archivi europei», di norme volte a garantire la riservatezza dei dati nei confronti di terzi nonché l'autenticità, l'integrità e la corretta conservazione dei dati. [Em. 88]

(126) La ricerca scientifica nell’ambito del presente regolamento deve includere la ricerca fondamentale, la ricerca applicata e la ricerca finanziata da privati e deve, inoltre, tenere conto dell’obiettivo dell’Unione di istituire uno spazio europeo della ricerca ai sensi dell’articolo 179, paragrafo 1, del trattato sul funzionamento dell’Unione europea. Il trattamento dei dati personali per finalità storiche, statistiche e di ricerca scientifica non deve portare al trattamento dei dati per finalità diverse, salvo che con il consenso dell'interessato o sulla base del diritto dell'Unione o di uno Stato membro.