IT Gazzetta ufficiale dell'Unione europea C 158/46

Posizione (UE) n. 5/2016 del Consiglio in prima lettura in vista dell'adozione della direttiva del Parlamento europeo e del Consiglio relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio

(2016/C 158/02)

I. INTRODUZIONE

Il 25 gennaio 2012 la Commissione ha proposto un pacchetto completo sulla protezione dei dati comprendente:

— una proposta di regolamento generale sulla protezione dei dati, intesa a sostituire la direttiva del 1995 sulla protezione dei dati (ex primo pilastro) (qui di seguito «progetto di regolamento»);

— la direttiva in oggetto relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati (1), intesa a sostituire la decisione quadro del 2008 sulla protezione dei dati (ex terzo pilastro) (qui di seguito «progetto di direttiva»).

Il Parlamento europeo ha adottato il proprio parere sul progetto di direttiva nel marzo 2014 (2).

Il 9 ottobre 2015 il Consiglio ha concordato un orientamento generale (3), dando così alla presidenza il mandato di avviare triloghi con il Parlamento europeo.

Il Parlamento europeo e il Consiglio, rispettivamente il 17 e il 18 dicembre 2015 a livello di commissione per le libertà civili, la giustizia e gli affari interni e di Comitato dei rappresentanti permanenti, hanno confermato l’accordo sul testo di compromesso derivante dai negoziati in sede di triloghi.

Nella sessione del 12 febbraio, il Consiglio ha raggiunto un accordo politico sul progetto di direttiva (4). L’8 aprile 2016 il Consiglio ha adottato la sua posizione in prima lettura che è pienamente in linea con il testo di compromesso della direttiva concordato durante i negoziati informali tra il Consiglio e il Parlamento europeo.

Il Comitato delle regioni ha presentato un parere sul regolamento (GU C 391 del 18.12.2012, pag. 127).

Il garante europeo della protezione dei dati è stato consultato e ha formulato un primo parere nel 2012 (GU C 192 del 30.6.2012, pag. 7) e un secondo parere nel 2015 (GU C 301 del 12.9.2015, pagg. 1-8).

L’Agenzia per i diritti fondamentali ha presentato un parere il 1o ottobre 2012.

II. OBIETTIVO DELLA PROPOSTA

Il progetto di direttiva si prefigge l’obiettivo di garantire un’efficace cooperazione di polizia e giudiziaria in materia penale e facilitare lo scambio di dati personali tra le autorità competenti degli Stati membri assicurando nel contempo un livello uniforme ed elevato di protezione dei dati personali delle persone fisiche. Il progetto di direttiva, rispetto alla decisione quadro 2008/977/GAI del Consiglio che esso andrà a sostituire, contemplerà anche il trattamento dei dati personali a livello nazionale.

L’articolo 16 del trattato sul funzionamento dell’Unione europea introduce una nuova base giuridica specifica per l’adozione di norme sulla protezione dei dati personali che si applica anche al trattamento dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia.

III. ANALISI DELLA POSIZIONE DEL CONSIGLIO IN PRIMA LETTURA

A. Osservazioni generali

Il progetto di direttiva fa parte di un pacchetto sulla protezione dei dati. L’altra proposta è il succitato regolamento generale sulla protezione dei dati.

Il Parlamento europeo e il Consiglio, sulla base della proposta di direttiva della Commissione, hanno condotto negoziati informali al fine di concludere un accordo nella fase della posizione del Consiglio in prima lettura. Il testo della posizione del Consiglio in prima lettura sul progetto di direttiva rispecchia pienamente il compromesso raggiunto dai due colegislatori sulla direttiva, assistiti dalla Commissione europea. In tale contesto, i riferimenti fatti alla posizione del Consiglio in prima lettura dovrebbero essere intesi come riferimenti al compromesso raggiunto nei triloghi.

La protezione delle persone fisiche con riguardo al trattamento dei dati personali è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e l’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. Su tale base, la posizione del Consiglio in prima lettura stabilisce i principi e le norme sulla protezione delle persone fisiche con riguardo al trattamento dei propri dati personali. Tali principi e norme devono rispettare i loro diritti e libertà fondamentali, in particolare il diritto alla protezione dei dati personali, a prescindere dalla nazionalità o dalla residenza dell’interessato.

La posizione del Consiglio in prima lettura mantiene gli obiettivi della decisione quadro (5) e della proposta della Commissione, come ad esempio il principio di armonizzazione minima della decisione quadro. Il testo del progetto di direttiva contiene disposizioni più chiare e più specifiche sulla maggior parte delle disposizioni della decisione quadro, in particolare le disposizioni sui trasferimenti verso paesi terzi o organizzazioni internazionali che sono state ulteriormente sviluppate e ampliate.

Il Consiglio ha raggiunto un orientamento generale sul progetto di regolamento nel giugno 2015 e un orientamento generale sul progetto di direttiva nell’ottobre 2015.

La nuova base giuridica nel trattato sul funzionamento dell’Unione europea, che contempla la protezione dei dati personali, si applica a tutti i settori politici, fatte salve le norme specifiche da stabilire nel settore della politica estera e di sicurezza comune. La dichiarazione n. 21 allegata al trattato di Lisbona riconosce tuttavia che potrebbero rivelarsi necessarie norme specifiche nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia. Per tali motivi e tenuto conto del fatto che il progetto di direttiva fa parte del pacchetto sulla protezione dei dati, il Consiglio si è adoperato per allineare il testo del progetto di direttiva al testo del progetto di regolamento su una serie di disposizioni del progetto di direttiva. È il caso in particolare delle definizioni, dei principi, del capo relativo al titolare del trattamento e al responsabile del trattamento, delle decisioni di adeguatezza e del capo relativo alle autorità di controllo indipendenti. Di conseguenza, la presente nota si dilungherà meno su queste parti del testo.

B. Questioni politiche fondamentali

1. Ambito di applicazione (materiale e soggettivo)

La posizione del Consiglio in prima lettura definisce l’ambito di applicazione materiale del progetto di direttiva all’articolo 1, paragrafo 1. Contempla il trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati, o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica. Ciò sta a indicare che il progetto di direttiva, a differenza della decisione quadro 2008/977/GAI, si applica anche al trattamento dei dati personali a livello nazionale.

L’altra componente del pacchetto sulla protezione dei dati, ovvero il progetto di regolamento, esclude dal proprio ambito di applicazione quello della direttiva, di modo che questi si escludono a vicenda. Il progetto di regolamento contiene norme generali secondo cui il progetto di direttiva si applica al settore specifico della cooperazione giudiziaria in materia penale e della cooperazione di polizia.

Il lavoro svolto dalla polizia e da altre autorità preposte all’applicazione della legge comprende anche l’esercizio di poteri mediante l’adozione di misure coercitive, quali le attività di polizia in occasione di manifestazioni, grandi eventi sportivi e sommosse. La posizione del Consiglio in prima lettura mira a consentire a tali autorità, in particolare la polizia, di trattare i dati nell’ambito di un unico strumento, ossia la legge degli Stati membri che attua il progetto di direttiva. Tuttavia, qualora la polizia tratti dati personali per finalità che non rientrano nell’ambito di applicazione del progetto di direttiva, si applica il progetto di regolamento, come precisato di seguito al punto 7. Per conseguire tale obiettivo, la posizione del Consiglio in prima lettura chiarisce l’ambito di applicazione del progetto di direttiva includendo la «salvaguardia e la prevenzione di minacce alla sicurezza pubblica».

Per quanto riguarda l’ambito di applicazione soggettivo, la posizione del Consiglio in prima lettura ne ha esteso la portata al di là delle autorità pubbliche competenti in materia di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali includendo gli organismi o entità incaricati dal diritto dello Stato membro di esercitare l’autorità pubblica e i poteri pubblici per le finalità summenzionate. Tuttavia, solo alle autorità pubbliche è consentito trasferire dati personali a destinatari stabiliti in paesi terzi diversi dalle autorità competenti per le finalità del progetto di direttiva.

2. Principi applicabili ai dati personali

a) Trasparenza

A differenza della posizione del Consiglio in prima lettura sul progetto di regolamento, la posizione del Consiglio in prima lettura sul progetto di direttiva non annovera il concetto di «trasparenza» tra i principi applicabili al trattamento dei dati personali poiché la trasparenza nel settore dell’applicazione della legge potrebbe compromettere lo svolgimento delle indagini. Tuttavia, la trasparenza è stata inserita nel considerando relativo ai principi, pur precisando che si potranno svolgere attività quali operazioni di infiltrazione o videosorveglianza.

b) Sicurezza del trattamento

La posizione del Consiglio in prima lettura aggiunge che i dati personali dovrebbero essere trattati in modo da garantirne una sicurezza adeguata, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali. La posizione del Consiglio in prima lettura indica inoltre che si dovrebbero usare a tal fine misure tecniche e organizzative adeguate. Questo è in linea con il testo del progetto di regolamento.

3. Ulteriore trattamento

a) Compatibilità

Il tema dell’ulteriore trattamento e la questione volta a chiarire se esso possa essere effettuato unicamente dallo stesso o anche da un altro titolare del trattamento, come pure il tema delle finalità compatibili hanno creato difficoltà durante le discussioni sul progetto di regolamento. La posizione del Consiglio in prima lettura sul progetto di direttiva finisce col disporre che sia da ritenersi autorizzato ogni trattamento effettuato per una qualsiasi delle finalità di cui all’articolo 1, paragrafo 1, nella misura in cui il titolare del trattamento sia autorizzato a trattare i dati personali per detta finalità conformemente al diritto dell’Unione o dello Stato membro e il trattamento sia necessario e proporzionato a tale altra finalità conformemente al diritto dell’Unione o dello Stato membro.

b) Trattamento per altre finalità nell’ambito di applicazione del progetto di direttiva

La posizione del Consiglio in prima lettura stabilisce che il trattamento da parte dello stesso o di un altro titolare del trattamento per una qualsiasi delle finalità di cui all’articolo 1, paragrafo 1, diversa da quella per cui i dati personali sono stati raccolti può essere consentito soltanto se il titolare del trattamento è autorizzato a trattare tali dati personali per detta finalità conformemente al diritto dell’Unione o dello Stato membro e il trattamento è necessario e proporzionato a tale altra finalità conformemente al diritto dell’Unione o dello Stato membro; ciò consente ad esempio che un procuratore tratti ai fini del perseguimento di un reato gli stessi dati personali trattati dalla polizia ai fini dell’accertamento di un reato poiché entrambe le finalità citate nell’esempio sono contemplate dall’articolo 1, paragrafo 1.

4. Termini per conservazione ed esame

La posizione del Consiglio in prima lettura prevede che siano fissati adeguati termini per la cancellazione dei dati personali o per un esame periodico dei dati personali conservati per accertare la necessità della loro conservazione. La decisione quadro già conteneva una disposizione relativa ai termini che la posizione del Consiglio in prima lettura ha ritenuto utile includere.

Detta disposizione rafforza il principio di cui all’articolo 4 secondo cui i dati devono essere conservati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati.

5. Diverse categorie di interessati

La posizione del Consiglio in prima lettura prevede che gli Stati membri, «se del caso e nella misura del possibile», dispongano che il titolare del trattamento operi una chiara distinzione tra i dati personali di diverse categorie di interessati. Tuttavia, la posizione del Consiglio in prima lettura garantisce che non sia impedita l’applicazione del diritto alla presunzione di innocenza garantito dalla Carta dei diritti fondamentali, collocando gli interessati in diverse categorie, segnatamente quella delle persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato.

6. Liceità del trattamento

La posizione del Consiglio in prima lettura stabilisce che il trattamento dei dati personali è lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito di un’autorità competente a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro, e la prevenzione di, minacce alla sicurezza pubblica e si basa sul diritto dell’Unione o dello Stato membro. Nei considerando è indicato espressamente che tali attività comprendono la salvaguardia degli interessi vitali dell’interessato.

La posizione del Consiglio in prima lettura specifica gli elementi che devono figurare nelle legislazioni degli Stati membri sulla protezione dei dati, quali gli obiettivi e le finalità del trattamento.

7. Condizioni di trattamento specifiche

La regola principale prevede che i dati personali inizialmente raccolti da un’autorità competente per le finalità di cui all’articolo 1, paragrafo 1, del progetto di direttiva debbano essere trattati soltanto per una delle finalità del progetto di direttiva. Tuttavia, i dati personali raccolti inizialmente da tali autorità per le finalità del progetto di direttiva possono essere trattati in base al progetto di regolamento se tale trattamento è autorizzato dal diritto dell’Unione o dello Stato membro, a meno che il trattamento non sia effettuato nell’ambito di un’attività che non rientra nell’ambito di applicazione del diritto dell’Unione. La posizione del Consiglio in prima lettura precisa inoltre due casi in cui si applica il progetto di regolamento, ossia, in primo luogo, quando il diritto dello Stato membro affida alle autorità competenti l’esecuzione di compiti diversi da quelli eseguiti per le finalità di cui all’articolo 1, paragrafo 1, e, in secondo luogo, quando il trattamento è effettuato per finalità di archiviazione nel pubblico interesse, di ricerca scientifica o storica o per finalità statistiche, a meno che il trattamento non sia effettuato nel contesto di un’attività che non rientra nell’ambito di applicazione del diritto dell’Unione.

8. Categorie particolari di dati personali

Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali. La posizione del Consiglio in prima lettura autorizza il trattamento di tali dati, ma solo se strettamente necessario e purché siano offerte le garanzie adeguate per i diritti e le libertà dell’interessato. Inoltre, tale trattamento è consentito solo se autorizzato dal diritto dell’UE o dello Stato membro per salvaguardare un interesse vitale dell’interessato o se riguarda dati resi manifestamente pubblici dall’interessato.

Poiché il progetto di direttiva e il progetto di regolamento fanno parte di un pacchetto, la posizione del Consiglio in prima lettura sul progetto di direttiva ha tenuto conto, per quanto riguarda l’elenco di categorie, delle categorie previste nel progetto di regolamento, includendo nell’elenco i «dati biometrici» e l’«orientamento sessuale».

9. Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione

Un altro principio previsto nel progetto di direttiva è quello secondo cui una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici negativi o incida significativamente sull’interessato deve essere vietata, salvo che sia autorizzata dal diritto dell’Unione o dello Stato membro e siano offerte garanzie adeguate per i diritti e le libertà dell’interessato, fra cui almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento. La posizione del Consiglio in prima lettura indica chiaramente che una decisione basata unicamente su un trattamento automatizzato non può basarsi sulle categorie particolari di dati di cui all’articolo 10, a meno che i diritti e le libertà dell’interessato e i suoi legittimi interessi non siano soggetti a garanzie adeguate. È inoltre vietata espressamente la profilazione basata sulle categorie particolari di dati di cui all’articolo 10 che porterebbe a discriminazioni.

10. Diritti degli interessati

a) Comunicazione all’interessato

La posizione del Consiglio in prima lettura prevede disposizioni relative ai diritti dell’interessato. Per consentirgli di esercitare i propri diritti, è necessario che l’interessato sia informato in merito al trattamento dei suoi dati personali. Queste informazioni devono essere comunicate in modo facilmente comprensibile, in forma concisa, intelligibile e facilmente accessibile e scritte in un linguaggio semplice e chiaro. A differenza del testo del progetto di regolamento, la posizione del Consiglio in prima lettura sul progetto di direttiva non esige che tali informazioni siano fornite in forma trasparente. Nel settore contemplato dalla direttiva, ad esempio, la finalità di un’indagine può risultare compromessa qualora le informazioni sulla particolare misura investigativa siano fornite all’interessato in una fase precoce delle indagini.

b) Informazione dell’interessato

La posizione del Consiglio in prima lettura stabilisce le informazioni che devono sempre essere messe a disposizione dell’interessato, quali l’identità e le coordinate di contatto del titolare del trattamento e la finalità del trattamento. Ciò potrebbe avvenire sul sito web dell’autorità competente. La posizione del Consiglio in prima lettura stabilisce anche le informazioni aggiuntive che devono essere fornite in casi specifici. Sono compresi la base giuridica, il periodo di conservazione dei dati e le categorie di destinatari. In alcuni casi, è possibile ritardare, limitare o escludere la comunicazione di informazioni aggiuntive, ad esempio quando una limitazione costituisce una misura necessaria e proporzionata in una società democratica, tenuto conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata. Inoltre, per quanto concerne le informazioni aggiuntive, gli Stati membri dovrebbero poter prevedere per legge la possibilità di derogare agli obblighi d’informazione per determinate categorie di trattamenti di dati personali.

c) Diritto di accesso

La posizione del Consiglio in prima lettura stabilisce sia il diritto di accesso ai dati personali che le limitazioni di tale diritto. Gli Stati membri dovrebbero poter limitare il diritto di accesso alle stesse condizioni previste per ritardare, limitare o escludere la comunicazione di informazioni aggiuntive. Quando il diritto di accesso è limitato gli Stati membri devono provvedere affinché il titolare del trattamento informi l’interessato dei motivi del rifiuto, salvo che la finalità della misura, ad esempio un’indagine, risulti compromessa dalla comunicazione all’interessato dei motivi della limitazione.

d) Casi particolari di limitazione del trattamento dei dati personali

Gli Stati membri devono provvedere affinché l’interessato abbia il diritto di rettifica, cancellazione o limitazione del trattamento dei propri dati personali. La posizione del Consiglio in prima lettura ha incluso, in due casi particolari, la possibilità che l’interessato, anziché cancellare i propri dati personali, ne limiti il trattamento. Il primo caso è quello in cui l’interessato contesti l’esattezza dei dati e non sia possibile accertare l’esattezza o inesattezza degli stessi. Il secondo caso è quello in cui i dati personali siano conservati a fini probatori. Il considerando corrispondente specifica che possono costituire esempi di questo secondo caso le situazioni in cui vi sono motivi ragionevoli di ritenere che gli interessi legittimi dell’interessato possano essere compromessi. In tal caso i dati possono essere trattati solo per i motivi che ne hanno impedito la cancellazione.

11. Esercizio dei diritti dell’interessato e verifica

Nei casi in cui siano stati limitati i diritti di informazione, accesso, rettifica, cancellazione o limitazione del trattamento dell’interessato, gli Stati membri devono adottare misure che dispongano che i diritti dell’interessato possano essere esercitati anche tramite l’autorità di controllo competente.

12. Titolare del trattamento e responsabile del trattamento

Il progetto di direttiva sarà applicato dalle autorità competenti a livello nazionale o all’atto della trasmissione dei dati personali tra gli Stati membri dell’UE o del trasferimento dei dati personali verso paesi terzi o organizzazioni internazionali. Le autorità competenti sono definite come autorità pubbliche o qualsiasi organismo o entità incaricati dal diritto dello Stato membro di esercitare l’autorità pubblica e i poteri pubblici. Le disposizioni del progetto di direttiva saranno applicate dalle autorità pubbliche e, in determinate situazioni, da organismi privati. Quando le autorità competenti definite nel progetto di direttiva in esame trattano dati personali per finalità diverse da quelle della direttiva devono applicare il progetto di regolamento. Pertanto, come già indicato nell’introduzione della presente motivazione, la posizione del Consiglio in prima lettura allinea, in certa misura, le disposizioni del progetto di direttiva a quelle del progetto di regolamento.

In linea con il progetto di regolamento la posizione del Consiglio in prima lettura prevede che il titolare del trattamento metta in atto misure tecniche e organizzative adeguate per garantire e poter dimostrare la conformità del trattamento. La posizione del Consiglio in prima lettura enuncia espressamente gli obblighi del responsabile del trattamento, ossia:

— agire soltanto su istruzione del titolare del trattamento;

— garantire che le persone autorizzate al trattamento dei dati osservino l’obbligo di riservatezza;

— mettere a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto dei suoi obblighi.

13. Registri delle attività di trattamento

La posizione del Consiglio in prima lettura riduce gli obblighi che gravano sul responsabile del trattamento per quanto riguarda la tenuta di registri ed elenca pertanto gli obblighi del titolare del trattamento e del responsabile del trattamento in due paragrafi distinti. Dispone che né il titolare del trattamento né il responsabile del trattamento debbano tenere un registro per ogni singola attività di trattamento ma solo per categorie di trattamento. La posizione del Consiglio in prima lettura prevede in altre parti del paragrafo che il titolare del trattamento sia tenuto a fornire informazioni sufficienti per conseguire la finalità dei registri. È fatto obbligo, ad esempio, al titolare del trattamento di includere informazioni in merito alle categorie di destinatari a cui i dati personali sono stati o saranno comunicati, alle categorie di trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale o, ove possibile, ai termini ultimi previsti per la cancellazione delle diverse categorie di dati personali. Il titolare del trattamento deve inoltre fornire informazioni sulla profilazione, obbligo che non è invece previsto nel progetto di regolamento. La posizione del Consiglio in prima lettura prevede che il responsabile del trattamento debba tenere soltanto un registro contenente, ad esempio, le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento e, ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative.

14. Registrazione

Le registrazioni sono importanti per consentire di stabilire la motivazione, la data e l’ora di taluni trattamenti in sistemi di trattamento automatizzato, quali la raccolta, la consultazione, la comunicazione e i trasferimenti. Le registrazioni delle consultazioni e delle comunicazioni consentono anche di identificare la persona che ha consultato o comunicato i dati personali, nonché di stabilire l’identità del destinatario. In linea con la decisione quadro, le registrazioni devono essere usate ai soli fini della verifica della liceità del trattamento, dell’autocontrollo, per garantire l’integrità e la sicurezza dei dati personali. Un nuovo elemento introdotto nel progetto di direttiva è la possibilità di usare le registrazioni anche nell’ambito di procedimenti penali. Tuttavia, il processo di rendere conformi i sistemi di trattamento automatizzato risulta molto gravoso, lungo e costoso. La posizione del Consiglio in prima lettura consente pertanto di prorogare in via eccezionale il periodo di recepimento entro il quale rendere conformi i sistemi di trattamento automatizzato istituiti anteriormente all’entrata in vigore del progetto di direttiva qualora ciò comporti sforzi sproporzionati. Si prevede, in circostanze eccezionali, un’ulteriore proroga per rendere conformi i sistemi di trattamento automatizzato, qualora per un particolare sistema di trattamento automatizzato istituito anteriormente all’entrata in vigore del progetto di direttiva ciò causi altrimenti gravi difficoltà per il funzionamento di tale particolare sistema di trattamento automatizzato.

15. Valutazione d’impatto

Sebbene la proposta iniziale della Commissione non prevedesse una valutazione d’impatto sulla protezione dei dati, il testo del progetto di regolamento come pure la posizione del Consiglio in prima lettura nel settore contemplato dal progetto di direttiva contengono un articolo relativo alla valutazione d’impatto. La posizione del Consiglio in prima lettura fa obbligo al titolare del trattamento di svolgere una valutazione d’impatto. Qualora un trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche, è necessario che il titolare del trattamento effettui una valutazione d’impatto prima di poter procedere al trattamento.

Il progetto di direttiva definisce le situazioni in cui è richiesta una valutazione d’impatto, usando una formulazione analoga a quella del progetto di regolamento. Tuttavia, la descrizione degli elementi che devono figurare nella valutazione d’impatto è meno dettagliata rispetto al progetto di regolamento. La valutazione deve contenere almeno una descrizione generale del trattamento da effettuare, una valutazione dei rischi per i diritti e le libertà degli interessati, le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità alle disposizioni del progetto di direttiva.

16. Responsabile della protezione dei dati

La posizione del Consiglio in prima lettura prevede che gli Stati membri dispongano che il titolare del trattamento designi un responsabile della protezione dei dati. Gli Stati membri dovrebbero tuttavia poter esentare le autorità giurisdizionali e le altre autorità giudiziarie quando esercitano le loro funzioni giurisdizionali da tale obbligo. Scopo della designazione di un responsabile della protezione dei dati è il miglioramento della conformità al progetto di direttiva.

17. Trasferimenti

È necessario disporre di norme sui trasferimenti ai fini dello scambio di dati con i paesi terzi e le organizzazioni internazionali. Per quanto riguarda i principi generali per il trasferimento di dati personali, la posizione del Consiglio in prima lettura ha integrato le condizioni proposte dalla Commissione disponendo che l’autorità ricevente sia competente per le finalità di cui all’articolo 1, paragrafo 1, e che, qualora i dati siano trasmessi o resi disponibili da un altro Stato membro, tale Stato membro abbia fornito la propria autorizzazione preliminare. La posizione del Consiglio in prima lettura stabilisce, inoltre, con chiarezza che tutte le disposizioni del capo relativo ai trasferimenti devono essere applicate al fine di assicurare che non sia pregiudicato il livello di protezione delle persone fisiche garantito nel progetto di direttiva.

L’articolo sui principi generali stabilisce le scelte offerte ai titolari del trattamento per trasferire i dati personali in un ordine di preferenza decrescente, a cominciare dalle decisioni di adeguatezza. A seguire vi sono i trasferimenti soggetti a garanzie adeguate e quelli cui si applicano deroghe in specifiche situazioni. L’articolo relativo alle decisioni di adeguatezza ora riguarda soltanto le decisioni di adeguatezza adottate nell’ambito stesso del progetto di direttiva e non più quelle adottate nell’ambito del regolamento. Gli elementi che la Commissione deve considerare quando valuta l’adeguatezza del livello di protezione stabilito nel progetto di direttiva sono identici a quelli stabiliti nel progetto di regolamento.

Negli articoli relativi ai trasferimenti in presenza di garanzie adeguate e alle deroghe in specifiche situazioni la posizione del Consiglio in prima lettura precisa che tali trasferimenti devono essere documentati e che la documentazione deve essere messa a disposizione dell’autorità di controllo unitamente agli elementi da includere nella documentazione.

La posizione del Consiglio in prima lettura prevede una base aggiuntiva per i trasferimenti, ossia la possibilità per le autorità competenti, ma solo quelle che sono autorità pubbliche (e non gli organismi o le entità incaricati dal diritto dello Stato membro di esercitare pubblici poteri), di trasferire dati personali a destinatari stabiliti in paesi terzi. Tale possibilità costituisce una deroga al principio generale secondo cui i dati personali sono trasferiti solo se il titolare del trattamento nel paese terzo o presso l’organizzazione internazionale è un’autorità competente per le finalità di cui all’articolo 1, paragrafo 1, del progetto di direttiva. La posizione del Consiglio in prima lettura autorizza pertanto le suddette autorità competenti, in casi singoli e specifici e qualora le altre disposizioni della direttiva siano rispettate e siano soddisfatte le condizioni elencate in modo esaustivo, a trasferire dati personali direttamente ai destinatari in quanto gli accordi internazionali non sempre consentono di rispondere con la rapidità che potrebbe essere necessaria. Dette condizioni prevedono, fra l’altro, che il trasferimento sia strettamente necessario per l’assolvimento di un compito dell’autorità competente che opera il trasferimento ai sensi del diritto dell’Unione o dello Stato membro per le finalità di cui all’articolo 1, paragrafo 1, che l’autorità competente che opera il trasferimento ritenga che il trasferimento a un’autorità competente per le finalità di cui all’articolo 1, paragrafo 1, nel paese terzo sia inefficace o inadatto, in particolare in quanto il trasferimento non può essere effettuato tempestivamente, e che l’autorità competente che opera il trasferimento informi il destinatario della finalità specifica o delle finalità specifiche per le quali i dati personali devono essere trattati. Alla stregua dei trasferimenti effettuati in base a garanzie e a deroghe in specifiche situazioni, è stato introdotto l’obbligo di documentare il trasferimento. Questi trasferimenti potrebbero risultare particolarmente utili qualora vi fosse urgente necessità di trasferire dati personali per salvare la vita di una persona che rischia di essere vittima di un reato o al fine di evitare l’imminente commissione di un reato, anche terroristico.

18. Autorità di controllo

Al fine di garantire la conformità con le norme del progetto di direttiva il monitoraggio del progetto di direttiva e del progetto di regolamento sarà effettuato da autorità di controllo. Le norme relative alle autorità di controllo nel progetto di direttiva sono ampiamente riprese dal testo del progetto di regolamento. Gli Stati membri sono autorizzati a prevedere che le autorità di controllo istituite dal progetto di regolamento sorveglino anche l’applicazione del progetto di direttiva. Il progetto di direttiva esclude tuttavia la possibilità che le autorità di controllo quali definite nel progetto di direttiva controllino i trattamenti effettuati dalle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali. Gli Stati membri dovrebbero poter escludere il controllo, da parte delle autorità di controllo quali definite nel progetto di direttiva, dei trattamenti effettuati da altre autorità giudiziarie indipendenti nell’esercizio delle loro funzioni giurisdizionali. Ciò non significa tuttavia che i trattamenti effettuati da tali organi siano esentati da controlli. Nel considerando corrispondente si aggiunge pertanto che i trattamenti da parte di autorità giurisdizionali e altre autorità giudiziarie indipendenti sono soggetti a un controllo indipendente conformemente alla Carta dei diritti fondamentali dell’Unione europea.

19. Poteri delle autorità di controllo

La posizione del Consiglio in prima lettura stabilisce che le autorità di controllo dovrebbero avere gli stessi compiti e poteri effettivi in ciascuno Stato membro per consentire loro di svolgere un monitoraggio efficace, affidabile e coerente del rispetto e dell’applicazione del progetto di direttiva in tutta l’Unione.

La posizione del Consiglio in prima lettura classifica i poteri delle autorità di controllo, che devono essere stabiliti per legge, in tre diverse categorie, ossia poteri di indagine, correttivi e consultivi effettivi, e prevede altresì il potere di sottoporre all’attenzione di autorità giudiziarie violazioni delle disposizioni adottate a norma del progetto di direttiva.

20. Rapporto con gli accordi internazionali precedentemente conclusi

La posizione del Consiglio in prima lettura, conformemente alla posizione del Consiglio in prima lettura sul progetto di regolamento, specifica che restano in vigore, fino alla loro modifica, sostituzione o revoca, gli accordi internazionali conclusi dagli Stati membri anteriormente alla data di entrata in vigore del progetto di direttiva in esame e che, conformemente al diritto dell’Unione, sono applicabili anteriormente alla data di entrata in vigore del progetto di direttiva. Come indicato per il progetto di regolamento, mantenere gli accordi in vigore garantisce la certezza del diritto per i titolari del trattamento.

IV. CONCLUSIONE

La posizione del Consiglio in prima lettura rispecchia il compromesso raggiunto nei negoziati tra il Consiglio e il Parlamento europeo, con l’aiuto della Commissione. Approvando la posizione del Consiglio in prima lettura senza emendamenti, il Parlamento europeo stabilisce, insieme al Consiglio, norme elevate in materia di protezione dei dati sia a livello nazionale che a livello transfrontaliero che consentono una cooperazione rafforzata tra autorità incaricate dell’applicazione della legge.

(1) 5833/12

(2) 7428/14

(3) 12555/15

(4) 5463/16

(5) Decisione quadro 2008/977/GAI del Consiglio, del 27 novembre 2008, sulla protezione dei dati personali trattati nell’ambito della cooperazione giudiziaria e di polizia in materia penale (GU L 350 del 30.12.2008, pag. 60).