99.

In entrambe le proposte si devono affrontare gli aspetti seguenti, per i quali il GEPD raccomanda di: — inserire un riferimento esplicito alla legislazione vigente nell’UE in materia di protezione dei dati in una disposizione sostanziale e dedicata, menzionando in particolare la direttiva 95/46/CE e le relative disposizioni nazionali di attuazione, nonché il regolamento (CE) n. 45/2001 concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi dell’UE. Detta disposizione deve anche indicare chiaramente che le proposte lasciano impregiudicate le norme vigenti in materia di protezione dei dati. Il riferimento al considerando 33 della decisione quadro 2008/977/GAI del Consiglio, del 27 novembre 2008, dovrebbe essere eliminato; — inserire nella proposta di direttiva una definizione di «autorità competenti» e di «UIF», precisando che le «autorità competenti» non devono essere considerate «autorità competenti» ai sensi dell’articolo 2, lettera h), della decisione quadro 2008/977/GAI; — chiarire, al considerando 32, che la base giuridica per il trattamento dei dati è la necessità di adempiere un obbligo legale al quale sono soggetti gli enti obbligati, le autorità competenti e gli UIF (articolo 7, lettera c), della direttiva 95/46/CE); — rammentare che l’unica finalità del trattamento deve essere la prevenzione del riciclaggio e del finanziamento del terrorismo e che i dati non devono essere successivamente trattati in modo non compatibile con tale finalità; — prevedere il divieto specifico di ulteriore trattamento dei dati a fini commerciali, attualmente menzionato al considerando 31 della proposta di direttiva e al considerando 7 della proposta di regolamento, in una disposizione sostanziale; — aggiungere un considerando dedicato per chiarire che la lotta all’evasione fiscale è inserita soltanto come reato presupposto; — per quanto riguarda i trasferimenti internazionali, inserire disposizioni dedicate sostanziali sul trasferimento dei dati personali, prevedendo una base giuridica adeguata per i trasferimenti all’interno del gruppo e da prestatore a prestatore di servizi di pagamento che rispetti il testo e l’interpretazione dell’articolo 26 della direttiva 95/46/CE, come raccomandato dal gruppo di lavoro «articolo 29» delle autorità europee competenti per la protezione dei dati. Il GEPD raccomanda di riesaminare la proporzionalità dell’obbligo di trasferimento in massa di informazioni personali e sensibili a paesi terzi ai fini della lotta contro il riciclaggio e il finanziamento del terrorismo e di optare per un approccio più proporzionato; — per quanto riguarda la pubblicazione delle sanzioni, il GEPD raccomanda di valutare soluzioni alternative e meno intrusive all’obbligo generale di pubblicazione e, in ogni caso, di specificare nella proposta di direttiva: — la finalità della pubblicazione, qualora dovesse essere confermata; — i dati personali da pubblicare; — che le persone interessate devono essere informate prima della pubblicazione della decisione e che deve essere garantito il loro diritto di impugnarla prima di procedere alla pubblicazione; — che le persone interessate hanno il diritto di opporsi al trattamento di dati che le riguardano per motivi preminenti e legittimi, ai sensi dell’articolo 14 della direttiva 95/46/CE; — ulteriori restrizioni relative alla pubblicazione online; — per quanto riguarda la conservazione dei dati, inserire una disposizione sostanziale per stabilire il periodo massimo di conservazione che gli Stati membri dovranno rispettare, con ulteriori precisazioni.