COMMISSIONE DELLE COMUNITÀ EUROPEE 
relativa alla tutela delle persone fisiche 
con riguardo al trattamento dei dati personali, 
nonché alla libera circolazione di tali dati 
(Presentata dalla Commissione 
ai sensi dell'articolo 149, paragrafo 3 del trattato CEE) COM(92) 422 def. - SYN 287 
Bruxelles, 15 ottobre 1992 
Proposta modificata di 
DIRETTIVA DEL CONSIGLIO 
- 2 -
RELAZ IONE 
INTRODUZIONE 
II 18 luglio 1990 la Commissione ha presentato al Consiglio una serie 
di proposte, tra cui due direttive e una decisione, al fine di 
facilitare la libera circolazione dei dati nell'ambito della Comunità 
garantendo al tempo stesso un livello elevato di protezione delle 
persone relativamente al trattamento dei dati personali e rafforzando 
la sicurezza del trattamento dei dati soprattutto nel contesto dello 
sviluppo delle reti aperte di telecomunicazione. 
Il Comitato economico e sociale ha espresso il proprio parere su tali 
proposte in data 24 aprile 1991 (Gazzetta ufficiale del 17.6.1991). 
Nel quadro della procedura di cooperazione il Parlamento europeo ha 
studiato le proposte in maniera approfondita all'interno delle proprie 
commissioni. Dopo avere discusso la relazione della commissione 
giuridica e per i diritti dei cittadini (relatore sig. Hoon) il 
10 febbraio 1992, in data 11 marzo 1992 il Parlamento ha adottato alla 
quasi unanimità un parere favorevole sulle proposte da esso modificate 
i n numéros i punt i . 
11 Consiglio ha adottato la proposta di decisione nel settore della 
sicurezza dei sistemi d'informazione il 31 marzo 1992 (Gazzetta 
ufficiale del 5.5.1992). 
La presente proposta modificata intende tener conto del parere del 
Parlamento europeo. 
A. Pr i ne i paIi mod i f i che 
1. Impostazione seguita in materia di protezione 
Nella proposta modificata sono stati introdotti due cambiamenti 
importanti rispetto alla proposta iniziale richiesti dal 
Parlamento. Essi riguardano: 
l'abbandono della distinzione formale tra norme applicabili al 
settore pubblico e al settore privato, 
lo sviluppo delle disposizioni relative alle procedure 
selettive di notifica presso le autorità di controllo e ai 
codici di condotta. 
Tali modifiche presentano il vantaggio di indicare chiaramente che 
la protezione deve essere uguale indipendentemente dal settore 
cons i derato. 
Esse consentono inoltre di evitare deviazioni di natura burocratica 
e contribuiscono a facilitare una maggiore convergenza ed 
equivalenza dei metodi destinati a garantire una protezione 
- 3 -
efficace negli Stati membri fornendo precisazioni sulla portata 
delle procedure di notifica e sui compiti delle autorità di 
controllo indipendenti in funzione del grado di rischio presentato 
dal trattamento di dati personali nei confronti dei diritti e delle 
libertà delle persone interessate. 
2. Concetti e definizioni 
In seguito alla riflessione svolta sulle modifiche del Parlamento 
destinate, da un lato, ad eliminare dalla proposta il concetto di 
archivio ritenuto ormai superato e non pertinente nel contesto 
dello sviluppo registrato dall'automazione e dalle 
telecomunicazioni e, dall'altro, ad inserire la raccolta dei dati 
nella definizione del trattamento di dati personali, è stato 
proposto come oggetto della normativa il trattamento di dati 
persona Ii. 
Tale modifica presenta due vantaggi: i principi della protezione 
accordata dalla direttiva non dipendono da una tecnologia o da 
un'organizzazione tecnica particolare; il concetto del trattamento 
dei dati consente di sviluppare un'impostazione globale volta a 
focalizzare l'attenzione sui dati utilizzati e sull'insieme delle 
operazioni interessate nei confronti delle finalità perseguite. 
D'altronde è risultato necessario mantenere e precisare il concetto 
di archivio al fine di circoscrivere il campo d'applicazione della 
direttiva, quando i trattamenti non sono automatizzati ai soli dati 
personali contenuti o destinati ad essere contenuti negli archivi. 
Infine viene introdotta una definizione dei terzi ai quali vengono 
comunicati dati personali. 
3. Campo d'applicazione e deroghe specifiche 
Per rispondere alle preoccupazioni del Parlamento vengono proposte 
le seguenti modifiche che hanno lo scopo di garantire e di 
conciliare i diritti e le libertà in questione al fine di 
consentire la libera circolazione dei dati interessati. 
Le critiche riguardanti l'inadeguatezza della disposizione 
iniziale relativa all'esclusione, ad alcune condizioni, dal 
campo di applicazione della direttiva dei trattamenti 
effettuati dalle associazioni senza scopo di lucro hanno 
portato, sulla base di alcuni emendamenti del Parlamento 
relativi al trattamento dei dati di natura riservata, a 
proporre che tali trattamenti rientrino nel campo di 
applicazione della direttiva pur prevedendo una deroga 
specifica all'obbligo di notifica, necessaria per garantire la 
Iibertà di opinione. 
Per quanto riguarda i trattamenti effettuati a fini di 
giornalismo si propone di sostituire la facoltà con l'obbligo 
per gli Stati membri di procedere alle deroghe necessarie per 
conciliare la protezione della vita privata delle persone 
interessate con la libertà di espressione. 
- 4 -
Per quanto riguarda i trattamenti che non presentano rischi 
particolari, effettuati al fine di rispondere soprattutto ad 
obblighi legali, si propone una deroga all'obbligo di notifica. 
4. Paesi terzi 
La disposizione destinata a prevenire il rischio di inosservanza 
delle norme comunitarie in occasione di trasferimenti di dati verso 
paesi terzi, che prevede il divieto di tali trasferimenti verso 
paesi che non garantiscono un livello adeguato di protezione, è 
stata precisata in modo da eliminare ogni dubbio sull'obiettivo 
perseguito. A tal fine sono stati aggiunti criteri di valutazione 
in materia di adeguatezza; inoltre sono state previste eccezioni al 
principio in un numero limitato di casi onde tener conto di 
circostanze particolari debitamente motivate. 
B. Struttura e contenuto della proposta modificata 
La proposta è stata ristrutturata per tener conto, come già citato, 
della eliminazione della distinzione formale tra settore pubblico 
e settore privato e dello sviluppo delle disposizioni relative alla 
notifica presso le autorità di controllo. La nuova struttura ha 
inoltre l'obiettivo di mettere in maggiore risalto i vari elementi 
del meccanismo di protezione e prende in considerazione, inoltre, 
le critiche formulate sulle ripetizioni contenute nel testo 
iniziale. La ristrutturazione della proposta riguarda le 
disposizioni dei capi da II a VI della proposta iniziale 
raggruppate essenzialmente in un nuovo capo II che riprende 
l'insieme delle condizioni generali relative alla liceità dei 
trattamenti di dati personali ma le riporta sulla base di una nuova 
seguenza. La struttura dei capi I, VII e seguenti della proposta 
iniziale non è stata modificata. 
Il capo II della proposta modificata è suddisivo in sezioni che 
precisano successivamente i principi informatori dell'impostazione 
e dell'attuazione dei trattamenti di dati personali (sezioni 1, 2 
e 3), i diritti d'informazione, d'accesso e di opposizione delle 
persone interessate (sezioni 4, 5 e 6), gli obblighi in materia di 
sicurezza (sezione 7) e le procedure di notifica presso le autorità 
di controllo (sezione 8). 
La sezione I riguarda i principi comuni a tutte le legislazioni 
degli Stati membri derivanti dalle disposizioni della Convenzione 
108 del Consiglio d'Europa relative alla qualità dei dati che sono 
oggetto di trattamento. Corrisponde all'articolo 16 della proposta 
iniziale. L'inserimento, su richiesta del Parlamento, della 
raccolta di dati nella nozione di trattamento ha reso necessarie 
alcune modifiche di tipo redazionale. Inoltre si è tenuto conto 
della richiesta del Parlamento relativa all'archiviazione dei dati 
destinati alla ricerca scientifica. 
Tra i principi enumerati alla sezione 1 quello della finalità 
legittima dei trattamenti di dati personali viene precisato nella 
sezione 2 relativa ai fondamenti del trattamento. Tale sezione 
riprende e chiarisce, pur conservando un carattere generale, 
- 5 -
l'elenco limitativo incluso negli iniziali capi II e III delle 
circostanze alternative nelle quali possono essere effettuati i 
trattamenti. Tale elenco prevede che tali circostanze sono costituite 
in particolare dal consenso della persona interessata o dall'esecuzione 
di un contratto concluso con la persona interessata o dall'esecuzione 
di un obbligo legale ecc. o infine dalla necessità di conciliare vari 
interessi esistenti. Tale "conciliazione degli interessi" che può 
riguardare trattamenti oltremodo diversi come quelli destinati alla 
ricerca commerciale o riguardanti dati resi pubblici deve essere 
effettuata dagli Stati membri secondo le procedure che essi 
determineranno tenendo conto in particolare dei principi generali 
ricordati alla sezione 1 e dei diritti delle persone interessate. 
La sezione 3 riguarda le norme specifiche che disciplinano i 
trattamenti connessi con le libertà fondamentali. Tale sezione riguarda 
le norme che, con riferimento alla convenzione citata e al parere del 
Parlamento ripreso in parte su tale punto, prevedono la protezione 
rafforzata nei confronti del trattamento di dati di natura delicata, 
vale a dire di dati relativi in particolare alla libertà d'opinione. 
Queste disposizioni corrispondono all'articolo 17 della proposta 
iniziale e tengono conto delle richieste formulate dal Parlamento in 
relazione soprattutto ai trattamenti effettuati dalle associazioni a 
carattere politico o sindacale. Detti trattamenti rientrano pertanto, 
sulla base della proposta modificata, nel campo di applicazione della 
direttiva al fine di garantire i diritti delle persone nei loro 
confronti e di consentire la libera circolazione dei dati in questione. 
La sezione 3 comprende inoltre le norme già menzionate relative ai 
trattamenti a fini di giornalismo, destinate a garantire la 
conciliazione tra le due libertà fondamentali relative alla vita 
privata e alla libertà di espressione. 
La sezione 4 riguarda gli obblighi del responsabile del trattamento in 
materia di informazione della persona interessata sui trattamenti 
effettuati. Tali obblighi sono destinati a garantire la trasparenza dei 
trattamenti e quindi a contribuire all'applicazione dei principi del 
trattamento leale dei dati previsto nella convenzione 108 del Consiglio 
d'Europa e richiamato nella sezione 1. La sezione 4 corrisponde alle 
disposizioni inserite negli iniziali capi II, III e IV e ristrutturate 
nella proposta modificata in modo da eliminare in particolare i rischi 
di interpretazioni differenti dovute a una massa eccessiva 
d'informaz ioni. 
La sezione 5 si riferisce al diritto di accesso e di rettifica delle 
persone nei confronti dei dati che le riguardano. Corrisponde alle 
disposizioni contenute nel capo IV della proposta iniziale e riprende 
gli emendamenti del Parlamento al fine di rafforzare in linea di 
massima la portata di tale diritto (in particolare il diritto della 
persona interessata di conoscere l'origine dei dati trattati e la 
logica seguita nei trattamenti automatizzati dei quali vengono 
presentati i risultati). Le disposizioni modificate tengono conto 
altresì della richiesta del Parlamento che estende al settore privato 
la possibilità di limitare l'esercizio del diritto di accesso alle 
stesse condizioni riservate inizialmente al settore pubblico. 
- 6 -
La sezione 6 riguarda il diritto di opposizione per motivi legittimi 
della persona interessata. Corrisponde alle disposizioni contenute nei 
capi III e IV della proposta iniziale. In tale sezione viene precisato 
l'obbligo di offrire alle persone interessate la possibilità di 
opporsi, prima di procedere alla comunicazione di dati a terzi 
destinati, ad indagini effettuate per iscritto. 
La sezione 7 riprende con qualche modifica di natura redazionale le 
diposizioni sulla sicurezza previste al capo V della proposta iniziale. 
La sezione 8 sviluppa le disposizioni iniziali relative alla notifica. 
Il sistema selettivo proposto, ampiamente ripreso dagli emendamenti del 
Parlamento, ha lo scopo di garantire la trasparenza dei trattamenti, e 
in particolare la determinazione delle loro finalità, pur orientando 
l'intervento delle autorità di controllo sui trattamenti che richiedono 
un'attenzione particolare in quanto comportano rischi. Esso parte dal 
presupposto che ogni trattamento interamente o parzialmente 
automatizzato, deve essere notificato all'autorità di controllo; si 
precisa inoltre che la notifica può riguardare un insieme di 
trattamenti le cui finalità sono correlate dal punto di vista del 
responsabile di detti trattamenti e nei confronti delle persone 
interessate. Si propone altresì che in funzione della loro esperienza 
gli Stati membri prendano misure opportune per esonerare dal l'obbligo 
di notifica i trattamenti la cui realizzazione non presenti rischi nei 
confronti dei diritti e delle libertà delle persone interessate o per 
semplificare tale obbligo. Le misure adottate precisano i trattamenti 
interessati e le condizioni eventuali di attuazione. Si propone infine 
di concedere alle autorità di controllo il potere di esaminare i 
trattamenti notificati anteriormente alla loro esecuzione. 
II capo I II raggruppa le disposizioni dei capi IV e VII della proposta 
iniziale relative ai ricorsi della persona interessata, alla 
responsabilità e alle sanzioni. Tali disposizioni sono modificate per 
tener conto del parere del Parlamento. 
I I capo IV riguarda i trasferimenti di dati personali verso i paesi 
terzi. Corrisponde all'originario capo Vili e risulta modificato come 
indicato in precedenza; riprende le disposizioni destinate a consentire 
alla Comunità di sviluppare una politica comune in materia. 
I I capo V si ii feri sco ai codici di condotta e corrisponde alle 
disposizioni contenute nel capo VI della proposta iniziale. Riprende 
l'opinione del Parlamento sulla procedura relativa alla loro 
elaborazione che coinvolge le autorità indipendenti di controllo. 
Prevede inoltre la possibilità per gli Stati membri di associare gli 
organismi professionali in sede di attuazione della legislazione sulla 
base dell'elaborazione di codici nazionali di condotta. 
II capo VI riguarda le autorità nazionali di controllo e il gruppo per 
la protezione dei dati incaricato di contribuire all'interpretazione 
omogenea delle norme nazionali adottate in applicazione della direttiva 
e di consigliare la Commissione. Vengono precisati i mezzi 
investigativi delle autorità nazionali secondo quanto auspicato dal 
- 7 -
Parlamento. La composizione iniziale del gruppo in questione è 
mantenuta al fine di garantirne l'indipendenza. A tale proposito è 
previsto inoltre che il gruppo elegga il proprio presidente. Sono 
precisate le circostanze relative alla sua consultazione da parte della 
Commissione. 
II capo VI I riguarda le competenze di esecuzione che il Consiglio 
dovrebbe conferire alla Commissione. A tale scopo la Commissione 
mantiene la propria proposta iniziale contrariamente al parere del 
Parlamento. La Commissione ritiene infatti che sarà necessaria 
l'adozione di modalità tecniche di applicazione a causa dell'estensione 
e del carattere tecnico del settore del trattamento di dati personali. 
Disposizioni f inaii: per rispondere al desiderio espresso dal 
Parlamento è previsto un termine di tre anni a decorrere dalla data di 
entrata in vigore della direttiva per l'applicazione delle nuove 
disposizioni nazionali alle situazioni esistenti. 
TITOLO E CONSIDERANDO 
TITOLO 
Nel titolo sono state introdotte due precisazioni: 
è stata aggiunta l'espressione "ed alla libera circolazione di tali 
dati" al fine di sottolineare che la proposta si riferisce 
all'instaurazione ed al funzionamento del mercato interno sulla 
base di un'armonizzazione volta a garantire la protezione delle 
persone ; 
al fine di eliminare qualsiasi ambiguità in merito al campo di 
applicazione della proposta si precisa che le persone interessate 
dalla protezione sono esclusivamente le persone fisiche. 
CONSIDERANDO 
La Commissione ha modificato i considerando al fine di tener conto dei 
cambiamenti apportati alle disposizioni della proposta. Inoltre possono 
essere fatte le seguenti osservazioni specifiche: 
il considerando n. 2 riprende il parere del Parlamento (emendamento 
n. 9) che intende sottolineare i vantaggi presentati dai sistemi di 
trattamento automatizzato dei dati qualora essi rispettino i 
diritti delle persone e le libertà individuali; 
è sembrato preferibile inserire il considerando n. 10 relativo alla 
convenzione del 28 gennaio 1981 del Consiglio d'Europa tra i 
considerando destinati a descrivere la problematica di una politica 
comunitaria in materia poiché la direttiva concretizza i principi 
contenuti nella convenzione. Nella proposta iniziale tale 
considerando (n. 22), il cui testo non è stato modificato, era 
inserito tra le disposizioni relative ai trasferimenti di dati 
verso i paes i terz i ; 
viene inserito un nuovo considerando (n. 14) destinato a riassumere 
in maniera succinta i principi della protezione espressi nei 
considerando seguenti; 
le modifiche ai considerando 4 (nuovo) e 5 intendono rafforzare la 
descrizione dei fatti che devono portare ad una iniziativa 
comunitaria la cui necessità è sottolineata dai considerando 7 e 8. 
- 9 -
ESAME DELLE DISPOSIZIONI 
CAPO I 
DISPOSIZIONI GENERALI 
Art ico lo 1 
Oggetto della direttiva 
Il primo articolo è dedicato all'oggetto della direttiva che consiste 
nel garantire la libera circolazione dei dati personali tra gli Stati 
membri attraverso un'armonizzazione delle legislazioni nazionali: 
in virtù del paragrafo 1 gli Stati membri hanno l'obbligo di 
garantire la protezione dei diritti e delle libertà delle persone 
fisiche, in particolare del diritto alla vita privata relativamente 
al trattamento dei dati personali (tale terminologia è analoga a 
quella adottata dall'articolo 1 della Convenzione 108 del Consiglio 
Europa); 
poiché a norma della direttiva la protezione è garantita secondo 
gli stessi principi in tutti gli Stati membri e risulta pertanto 
equivalente in tutto il territorio comunitario, gli Stati membri, 
in virtù del paragrafo 2, non possono più restringere, per i 
settori interessati dalla direttiva, la circolazione dei dati per 
motivi relativi alla protezione della persona interessata. 
La proposta consente quindi, secondo l'auspicio del Parlamento 
(emendamento n. 10, seconda parte), di conciliare gli imperativi della 
realizzazione del mercato interno con quelli della protezione delle 
persone. 
Inoltre l'emendamento 10 (prima parte) è ripreso dalla proposta 
codificata in quanto la nozione di trattamento, definita all'articolo 
2, lettera a) comprende la raccolta. 
Art ico lo 2 
Def in i z ion i 
Questo articolo 
ut iIi zzat i ne II a 
Convenzione 108 
adattamenti e le ha lo scopo di definire i principali concetti 
direttiva. Le definizioni riprendono quelle della 
del Consiglio d'Europa apportandovi tuttavia gli 
precisazioni necessari per garantire una protezione 
equivalente di livello elevato nella Comunità. 
a) "Dati personali". La proposta modificata rispecchia l'obiettivo del 
Parlamento volto ad adottare la definizione più ampia possibile 
della nozione di "dati personali" al fine di comprendere tutte le 
informazioni che possono essere col legate ad una persona fisica 
(emendamento 12). Infatti una persona può essere identificata, sia 
direttamente attraverso un nome, sia indirettamente attraverso un 
numero telefonico, una targa di immatricolazione, un numero di 
- 10 -
previdenza sociale, di passaporto oppure un insieme di criteri 
significativi che consentano di riconoscerla all'interno di un 
piccolo gruppo (per esempio età, funzione occupata, indirizzo, 
ecc.). La definizione permette altresì di comprendere dati quali 
l'immagine e la voce, le impronte digitali, le caratteristiche 
genet iche. 
Non viene fornita una definizione di dato anonimo in quanto questo 
termine non è utilizzato nella direttiva. Pertanto l'anonimato di 
un'informazione non dipende più dal costo di rinvio 
all'informazione d'origine (emendamento 13). Tuttavia nel caso 
specifico in cui i dati vengano rilevati in forma statistica è 
parso opportuno precisare che essi non possono essere considerati 
tali da rivestire carattere personale in quanto le persone 
interessate non sono più ragionevolmente identificabili. 
b) "Trattamento di dati personali" (trattamento). La definizione 
adottata va anch'essa nel senso di un campo di applicazione più 
ampio che consente di garantire la protezione degli individui 
(emendamento 15) in quanto comprende tutte le operazioni, dalla 
raccolta di dati fino alla loro cancellazione passando attraverso 
l'organizzazione, l'impiego, la consultazione, la comunicazione 
definita come trasmissione, diffusione o qualsiasi altra forma di 
messa a disposizione (emendamento 16), l'interconnessione e il 
congé I amento. 
c) "Archivio di dati personali" (archivio). Viene meglio precisata 
tale definizione che comprende sia gli archivi automatizzati che 
quelli non automatizzati. Consente, per quanto riguarda i 
trattamenti di dati non automatizzati, di circoscrivere il campo 
d'applicazione della direttiva ai dati strutturati in modo da 
facilitare l'accesso e la ricerca di quelli relativi alle persone 
fisiche. Di conseguenza sono esclusi i dati personali che non 
vengono strutturati al fine di essere impiegati in relazione alle 
persone interessate. In pratica, infatti, questi ultimi dati non 
presentano gli stessi rischi nei confronti delle persone ed è 
pertanto più realistico non gravarli degli stessi obblighi. 
Per garantire la protezione delle persone si precisa che i criteri 
di accesso devono avere "per oggetto o per effetto" di facilitare 
l'impiego o il ravvicinamento dei dati al fine di non obbligare la 
persona interessata a provarne l'intenzione in quanto tale elemento 
renderebbe delicata l'applicazione delle legislazioni nazionali. 
Infine viene preferita la nozione di "ravvicinamento" a quella di 
"interconnessione" per poterla applicare sia ai trattamenti 
automatizzati sia agli archivi su supporto cartaceo. 
d) "Responsabile del trattamento". Questa definizione è ripresa dalla 
nozione di "capo dell'archivio" della convenzione 108 del Consiglio 
d'Europa. 
Tuttavia poiché la direttiva intende essenzialmente disciplinare 
l'impiego dei dati nei confronti delle finalità perseguite è 
preferibile riferirsi alla nozione di responsabile del trattamento. 
- 11 -
Si tratta della persona responsabile in ultima analisi delle scelte 
che sono alla base della definizione e dell'esecuzione dei 
trattamenti (più spesso il responsabile d'impresa) e non delle 
persone che procedono ad operazioni di trattamento conformemente 
alle istruzioni del responsabile. È il motivo per il quale si 
precisa che il responsabile definisce "gli obiettivi" del 
trattamento. L'emendamento 17 è stato ripreso su tale punto. Il 
responsabile del trattamento può elaborare direttamente i dati o 
farli elaborare dai suoi dipendenti o da un incaricato del 
trattamento, persona giuridicamente distinta dal responsabile ma 
che agisce per conto di quest'ultimo. 
e) "Incaricato del trattamento": si tratta di una definizione utile 
proposta dal Parlamento (emendamento 18). 
f) "Terzi". Tale definizione deriva da un emendamento del Parlamento 
(n. 134); è stata rimaneggiata nella proposta modificata al fine di 
indicare chiaramente che non sono considerati terzi: la persona 
interessata, il responsabile del trattamento nonché le persone 
abilitate all'elaborazione dei dati che agiscono sotto la sua 
autorità diretta o per suo conto, come nel caso dell'incaricato del 
trattamento. 
Le persone che lavorano in un'altra impresa anche se quest'ultima 
fa parte di uno stesso gruppo o holding dovrebbero in linea di 
massima essere considerate come terzi. 
Per contro le succursali di una banca che eseguono trattamenti 
relativi alla gestione della clientela posta sotto l'autorità 
diretta della sede non dovrebbero essere considerate come terzi. 
Ciò dovrebbe valere anche per gli agenti delle assicurazioni; 
invece per quanto riguarda per esempio gli intermediari di 
assicurazioni la situazione potrebbe essere diversa a seconda dei 
cas i . 
g) "Consenso della persona interessata": nella proposta iniziale la 
definizione di consenso della persona ad un trattamento di dati ad 
essa relativo era contenuta all'articolo 12 inserito nel capo 
dedicato ai diritti della persona. 
Tale situazione ha creato confusion 
professionali ne hanno dedotto 
presupponesse il consenso preventivo 
tratta invece esclusivamente di uno 
del trattamento. i, in quanto alcuni ambienti 
che qualsiasi trattamento 
della persona interessata; si 
dei fondamenti della liceità 
Di conseguenza risulta più logico inserire all'articolo 2 della 
direttiva le disposizioni relative al consenso apportandovi alcune 
modifiche di tipo redazionale al fine di dar loro la forma di 
def i n i z ione. 
Il riferimento al carattere esplicito del consenso è stato 
eliminato al fine di evitare che ciò possa essere interpretato come 
l'esigenza di una nota scritta (procedura riservata ai dati di 
natura delicata di cui all'articolo 8 della proposta modificata). 
- 12 -
È stato sostituito dalla nozione di "manifestazione esplicita di 
volontà" che può essere scritta o orale. 
Nella proposta modificata si precisa che il consenso deve essere 
"libero" nell'ipotesi in cui possano essere esercitate pressioni 
sulla persona interessata (per esempio nel caso del dipendente nei 
confronti del datore di lavoro). 
Per consentire alla persona interessata di valutare i rischi e i 
vantaggi connessi con il trattamento di dati che la riguardano e di 
esercitare i suoi diritti a norma dell'articolo 13 della proposta 
di direttiva (rettifica, cancellazione, congelamento), il consenso 
presuppone un'informazione di base. Per tale motivo il responsabile 
del trattamento deve fornire alla persona interessata le 
informazioni necessarie come il nome e l'indirizzo del responsabile 
od eventualmente del suo rappresentante (cfr. articolo 4, paragrafo 
2), l'oggetto del trattamento, i dati registrati ecc. 
Il consenso della persona interessata deve essere specifico, deve 
cioè riferirsi ad un trattamento particolare di dati relativi alla 
persona interessata da parte di un responsabile determinato e per 
finalità determinate. 
La persona interessata ha il diritto di revocare in qualsiasi 
momento il suo consenso. La revoca non ha tuttavia effetto 
retroattivo poiché, se cosi fosse, un trattamento di dati personali 
inizialmente lecito potrebbe successivamente diventare illecito. 
Sono state eliminate tre definizioni che figuravano nella proposta 
or iginar ia: 
la definizione di autorità di controllo in quanto già fornita 
all'articolo 32 della proposta modificata; 
le definizioni di settore pubblico e settore privato a causa 
della fusione delle disposizioni relative a tali settori (cfr. 
capo II della proposta modificata). 
Art i co lo 3 
Campo d'applicazione 
Il primo paragrafo della proposta modificata concilia i punti di vista 
di quanti auspicano far riferimento in materia di informatica 
esclusivamente alla nozione "di trattamento automatizzato" (in quanto 
un trattamento automatizzato non implica necessariamente l'esistenza di 
un archivio) e di quanti temono che la direttiva sia applicata a tutti 
i dati anche non strutturati riportati su supporto cartaceo. 
Di conseguenza la proposta modificata adotta criteri distinti per 
definire il campo di applicazione della direttiva a seconda del fatto 
che i dati siano oggetto o meno di un trattamento automatizzato: la 
direttiva può essere applicata al trattamento non automatizzato di dati 
soltanto se tali dati sono contenuti in un archivio; per contro, in 
materia di informatica, la definizione va al di là della nozione di 
- 13 -
archivio e la direttiva si applica a qualsiasi trattamento 
automatizzato di dati anche se tali dati non sono contenuti in un 
archivio. 
Sono quindi interessati i dati personali strutturati sia attraverso la 
loro impostazione in un archivio manuale sia per mezzo di un 
trattamento informatico. 
Viene fatto riferimento a trattamenti "interamente o parzialmente" 
automatizzati al fine di indicare che un trattamento rappresenta un 
insieme anche se una sola parte (per esempio l'indice) è 
i nformat i zzata. 
Il paragrafo 2 prevede due eccezioni: 
la prima riguarda i trattamenti effettuati per l'esercizio di 
attività che non rientrano nel campo di applicazione del diritto 
comunitario (come i servizi segreti). Il campo di applicazione 
della direttiva è definito in relazione al campo di applicazione 
del diritto comunitario per consentire un'evoluzione parallela; 
la seconda eccezione riguarda l'impiego di dati per fini 
assolutamente privati come per esempio l'agenda elettronica 
(emendamento 22); 
non sono previste altre eccezioni in quanto in caso di esonero da 
qualsiasi obbligo di tutta una serie di organismi non sarebbero più 
garantiti i diritti dei cittadini: se è legittimo alleviare il 
regime applicabile ad alcuni trattamenti di dati personali (cfr. 
sezione Vili del capo II relativo alla notifica ed alle possibilità 
di esonero o di semplificazione delle formalità) non si deve 
trattare comunque di un esonero globale. 
Il problema specifico delle associazioni è trattato all'articolo che 
prevede deroghe per la raccolta di dati di natura delicata (articolo 8 
della proposta modificata). 
Art i co lo 4 
Diritto nazionale applicabile 
Tale articolo fissa i criteri di collegamento che consentono di 
determinare la legislazione nazionale applicabile ai trattamenti che 
rientrano nel campo di applicazione della direttiva al fine di evitare: 
da un lato che la persona interessata sia priva di qualsiasi 
protezione in particolare a causa di un'eventuale esclusione della 
Ieg i s Iaz ione ; 
dall'altro che lo stesso trattamento sia soggetto all'applicazione 
di più legislazioni nazionali. 
Secondo la proposta originaria il luogo di localizzazione dell'archivio 
determinava la competenza territoriale; tale criterio non è stato 
ripreso nella proposta modificata in quanto la localizzazione di un 
archivio o di un trattamento è spesso impossibile da determinare in 
quanto questi ultimi possono essere mu 11i loca I izzati o suddivisi tra 
- 14 -
più Stati membri soprattutto nel caso di basi di dati e di reti, 
fenomeni in costante espansione. 
Di conseguenza secondo la proposta modificata il diritto applicabile è 
definito in riferimento al luogo in cui risiede il responsabile del 
trattamento. 
Qualora il responsabile del trattamento non risieda nel territorio 
della Comunità ma ricorra ai fini del trattamento a strumenti, siano 
essi automatizzati o no (terminali, questionari, ecc.), situati nel 
territorio di uno Stato membro, il diritto applicabile è quello dello 
Stato sul cui territorio siano localizzati tali strumenti. Inoltre il 
responsabile del trattamento deve designare un rappresentante stabilito 
in tale territorio che assume in via surrogatoria i suoi diritti ed 
obbIi gh i. 
In questo caso a tale rappresentante incombe l'obbligo di notifica 
(cfr. sezione Vili del capo II); analogamente qualsiasi informazione 
delle persone interessate sul responsabile del trattamento, prevista 
dalla proposta di direttiva, deve essere completata da un'informazione 
sul rappresentante di quest'ultimo. 
È stato ripreso l'emendamento 24 in quanto viene eliminato il 
riferimento ad un'utilizzazione sporadica, termine di natura molto vaga 
che avrebbe potuto dare luogo a varie interpretazioni. 
Inoltre, essendo stato scelto il criterio del luogo di stabilimento del 
responsabile del trattamento, lo spostamento temporaneo di un archivio 
non modificherebbe il diritto applicabile. Di conseguenza non è stato 
ripreso l'articolo 4 paragrafo 3 della proposta iniziale. 
CAPO II 
CONDIZIONI GENERALI DI LICEITÀ DEI TRATTAMENTI DI DATI PERSONALI 
La struttura della proposta modificata differisce da quella della 
proposta iniziale: infatti il nuovo capo II raggruppa l'insieme dei 
principi, diritti e obblighi che determinano la liceità dei trattamenti 
effettuati. Conformemente al parere del Parlamento sono state 
conglobate le disposizioni relative al settore pubblico e al settore 
pr i vato. 
Art i co lo 5 
Questo articolo riprende l'articolo 6, paragrafo 2 e l'articolo 8, 
paragrafi 1 e 2 della proposta iniziale. 
Sulla base di tale articolo gli Stati membri dispongono che i 
trattamenti di dati personali sono leciti soltanto se effettuati in 
conformità dell'insieme delle disposizioni del capo II che forma un 
tutto indi vis ibi le. 
Si pone altresì in risalto che gli Stati membri hanno la facoltà di 
precisare nella loro legislazione le condizioni di liceità dei 
trattamenti entro i limiti delle disposizioni enunciate dal capo II. 
- 15 -
Tali precisazioni possono consistere per esempio nella definizione, a 
seconda del settore considerato, dei casi in cui prevale l'interesse 
della persona in questione (articolo 7 lettera f), delle modalità 
secondo le quali viene effattuata l'informazione delle persone 
interessate (sezione IV), oppure delle condizioni di esercizio del 
diritto di opposizione (sezione VI). Tali precisazioni non possono 
rimettere in causa il principio della libera circolazione dei dati 
all'interno della Comunità. 
SEZIONE I 
PRINCIPI RELATIVI ALLA QUALITÀ DEI DATI 
Art i co lo 6 
Questo articolo riprende i principi essenziali contenuti nell'articolo 
5 della Convenzione 108 del Consiglio d'Europa. 
Trattandosi di disposizioni relative ai diritti fondamentali delle 
persone nei confronti del trattamento dell'informazione figurano 
all'inizio del capo dedicato alla liceità dei trattamenti. È necessario 
farvi riferimento per interpretare gli articoli successivi di tale 
capo. 
Le disposizioni dell'articolo 6 riprendono quelle della Convenzione 108 
del Consiglio d'Europa con alcune modifiche destinate ad adeguarle alle 
definizioni adottate all'articolo 2 (in particolare alla definizione di 
trattamento) e al campo d'applicazione della direttiva che, 
contrariamente alla Convenzione 108, comprende sia i trattamenti 
automatizzati che i trattamenti non automatizzati di dati contenuti in 
archivi. 
L'articolo 6 lettera a) prevede che il trattamento di dati personali 
deve essere informato a principi di lealtà e liceità. Tale disposizione 
riguarda il trattamento definito all'articolo 2 lettera e) e comprende 
pertanto anche la raccolta. 
La norma enunciata all'articolo 6 lettera a) esclude l'impiego di 
apparecchi nascosti destinati ad ottenere dati surrettiziamente e 
all'insaputa della persona interessata, in particolare attraverso 
l'intercettazione delle telefonate ed altri metodi ecc. Tale 
disposizione impedisce altresì ai responsabili del trattamento di 
costituire e di impiegare trattamenti clandestini riguardanti i dati 
persona li. 
L'articolo 6 lettera b) enuncia il principio della determinazione in 
materia di finalità della raccolta dei dati (realizzata in via 
automatizzata o non automatizzata). Sulla base di tale principio i dati 
personali possono essere conservati esclusivamente per finalità 
determinate, esplicite e legittime. 
Deve essere determinato l'oggetto della raccolta di dati personali, 
vale a dire lo scopo della raccolta e dell'impiego dei dati dev'essere 
definito nella maniera più accurata possibile. Una definizione o 
- 16 -
descrizione generica oppure vaga dell'oggetto di un trattamento ("a 
scopi commerciali", per esempio) non risulta conforme al principio 
della definizione della finalità di cui all'articolo 6 lettera b). 
è necessario specificare la finalità prima di procedere alla raccolta 
dei dati. Qualora i dati vengano raccolti direttamente presso la 
persona interessata l'articolo 11 dispone che la finalità debba già 
essere determinata al momento in cui avviene la raccolta dei dati. 
Successive variazioni apportate alla finalità di un trattamento sono 
legittime soltanto se compatibili con la finalità iniziale. 
L'articolo 6 lettera b) obbliga inoltre il responsabile del trattamento 
a determinare la finalità della conservazione e della registrazione dei 
dat i . 
Poiché la finalità della conservazione e dell'utilizzazione di dati 
personali deve essere legittima, tale elemento contribuisce a limitare 
le finalità potenziali di un trattamento. Tale trattamento può essere 
istituito ed impiegato unicamente per fini compatibili con le 
disposizioni della direttiva e con le legislazioni nazionali degli 
Stati membr i. 
L'articolo 6 lettera c) stabilisce che i dati devono essere adeguati, 
pertinenti e non eccessivi rispetto alle finalità per le quali vengono 
trattati. Tale principio implica che la natura dei dati debba essere 
conforme alla finalità perseguita. 
Le disposizioni dell'articolo 6 lettera d) si riconnettono strettamente 
a quelle dell'articolo 6 paragrafo 1 lettere b) e c). I dati devono 
essere esatti, e se necessario, aggiornati. Qualora essi siano inesatti 
o incompleti rispetto alla finalità dell'archivio l'articolo 6 lettera 
d) prevede che essi debbano essere cancellati o rettificati. 
L'articolo 6 lettera e) si riferisce al periodo massimo di 
conservazione dei dati personali. Secondo tale disposizione la 
conservazione di dati in forma tale da consentire l'identificazione 
delle persone interessate è autorizzata soltanto per il periodo di 
tempo necessario al conseguimento delle finalità per cui i dati sono 
stat i reg i strat i . 
Tuttavia in alcuni casi se un trattamento ha perso, dopo un certo 
periodo, la sua finalità di gestione può essere necessario conservarlo 
soprattutto per motivi storici o di ricerca. L'articolo 6 lettera e) 
precisa quindi, conformemente al parere del Parlamento (emendamento n. 
60) che possono essere previste dagli Stati membri garanzie adeguate 
nei confronti dei dati archiviati per motivi storici, statistici o 
scientifici al fine di conciliare da un lato il principio rigoroso di 
finalità e il diritto a cadere nell'oblio e dall'altro le esigenze 
de II a ri cerca. 
L'articolo 6 paragrafo 2 fa obbligo al responsabile del trattamento di 
garantire il rispetto delle disposizioni relative alla qualità dei dati 
contemplate all'articolo 6 paragrafo 1. 
- 17 -
SEZIONE II 
PRINCIPI RELATIVI AL TRATTAMENTO DEI DATI 
Art i co lo 7 
L'articolo 7 riunisce, in una nuova presentazione semplificata, le 
condizioni in materia di liceità del trattamento di dati personali che 
figuravano nella proposta iniziale agli articoli 5, 6 e 8. 
È stata adottata l'eliminazione della distinzione tra settore pubblico 
e settore privato che era stata proposta dagli emendamenti del 
Parlamento nn. 27, 28 e 29. 
Il testo non fa alcun riferimento specifico al trattamento di dati per 
una finalità diversa da quella per la quale esso è stato inizialmente 
effettuato (articolo 5, paragrafo 1, lettera b) della proposta 
iniziale) né a criteri di legittimità della comunicazione di dati 
personali (articolo 6 e articolo 8, paragrafo 2 della proposta 
iniziale). Il principio generale della compatibilità degli obiettivi 
(articolo 6, paragrafo 1, lettera b) modificato) e le condizioni 
enunciate all'articolo 7 modificato sono ritenuti criteri sufficienti. 
Tuttavia le condizioni particolari proposte dagli emendanti 30 e 32 
sono state accolte solo parzialmente in forma modificata. 
Il consenso non è più considerato come il criterio principale 
accompagnato da deroghe ma come una delle varie condizioni (articolo 7, 
lettera a) modificato). 
Invece di far riferimento ad un "rapporto di fiducia quasi 
contrattuale" nozione che molte fonti ritengono vaga e compresa nella 
nozione di "rapporto contrattuale" o in quella di "interesse legittimo" 
(punto f) dell'articolo 7 modificato), è stata introdotta la nozione di 
"misura precontrattuale presa in risposta alla richiesta della persona 
interessata" per comprendere le condizioni che precedono la creazione 
di un rapporto contrattuale (articolo 7 lettera b) modificato). 
È stato mantenuto il trattamento derivante da un obbligo imposto dal 
diritto nazionale o comunitario (articolo 7, lettera c) modificato). 
La stessa osservazione vale per il punto e) e in parte per il punto f) 
dell'articolo 7 modificato. 
È stato aggiunto il punto d) per disciplinare i casi in cui la persona 
interessata abbia un interese vitale al trattamento dei propri dati 
personali ma non sia in grado di manifestare il consenso (esempio: 
ma Iatt i a grave). 
Il punto f) - che rispecchia in parte l'emendamento del Parlamento n. 
32 - rappresenta uno sviluppo dell'articolo 8, paragrafo 1, punto c) 
della proposta iniziale tenuto conto del fatto che può essere 
necessario prendere in considerazione importanti interessi legittimi 
diversi da quelli del responsabile del trattamento e della persona 
interessata. Il punto b) dell'articolo 8, paragrafo 1 del testo 
- 18 -
iniziale è stato eliminato in quanto la Commissione ha constatato che 
in alcuni casi fonti generalmente accessibili al pubblico possono 
comprendere dati personali di natura delicata. Inoltre nella maggior 
parte dei casi i dati sono stati trattati per fini specifici e non 
dovrebbero pertanto essere utilizzati per finalità diverse senza che 
vengano prese in considerazione le altre disposizioni della direttiva. 
SEZIONE III 
CATEGORIA PARTICOLARE DI TRATTAMENTI 
Art i co lo 8 
Questo articolo corrisponde all'articolo 17 della proposta iniziale. 
È opinione diffusa che il diritto alla vita privata può essere 
compromesso non tanto dal contenuto dei dati personali quanto dal 
contesto in cui si inserisce il trattamento di tali dati. Tuttavia 
negli Stati membri esiste un ampio consenso sul fatto che alcune 
categorie di dati, semplicemente per il loro contenuto, presentano un 
rischio di violazione del diritto alla vita privata della persona 
interessata. L'articolo 8 della direttiva proposta stabilisce pertanto 
limiti rigorosi al trattamento e all'impiego delle seguenti categorie 
di dati di natura delicata: origine razziale (ivi comprese le 
informazioni sul colore della pelle); opinioni politiche, convinzioni 
religiose, filosofiche e morali, compresa l'assenza di un credo 
religioso (tali categorie comprendono informazioni sulle attività della 
persona interessata in campo politico, religioso o filosofico); 
l'appartenenza a sindacati; lo stato di salute della persona 
interessata (ive comprese le informazioni sulle condizioni fisiche e 
mentali passate, presenti e future e le informazioni sull'abuso di 
droghe e di alcol); la vita sessuale. Convinzioni diverse da quelle 
religiose o filosofiche possono costituire dati di natura delicata. Per 
tale motivo è stata aggiunta la nozione di "convinzioni morali". 
L'articolo 17 della proposta iniziale è stato modificato e 
ristrutturato in modo da tener conto di alcune osservazioni formulate 
dal Parlamento (emendamenti 63, 149, 65). 
In linea di massima il paragrafo 1 prevede il divieto in materia di 
trattamento (informatizzato o manuale come richiesto dal Parlamento 
nell'emendamento 63) di dati di natura delicata. 
Il paragrafo 2 prevede un certo numero di eccezioni a questa regola 
generale: 
invece di subordinare il trattamento di tali dati alla condizione 
generale di un "accordo libero, esplicito e scritto" per la quale 
possono essere previste deroghe, è stato ritenuto più opportuno 
inserire tale accordo tra le varie deroghe concesse al divieto 
generale di trattamento di tali dati; 
il trattamento di tali dati viene effettuato da fondazioni o 
associazioni a carattere politico, filosofico, religioso o 
sindacale nel quadro del loro scopo legittimo e a condizione che 
- 19 -
riguardi unicamente i membri e i corrispondenti della fondazione o 
dell'associazione che hanno accettato di partecipare e che i dati 
non vengano comunicati a terzi. Si tratta in questo caso di una 
funzione ritenuta necessaria all'interno di regimi democratici. 
Tali trattamenti sono inoltre esonerati da II'obbligo di notifica 
di cui al capo Vili della proposta modificata conformemente alta 
richiesta del Parlamento (emendamento 149); 
il trattamento è effettuato in circostanze che non presentano 
manifestamente alcun rischio per la vita privata e le libertà della 
persona interessata. Si può citare a titolo di esempio i dati di 
natura politica su una personalità pubblica, la raccolta per un 
breve periodo e in presenza di rigorose condizioni di sicurezza dei 
nomi di persone oggetto di sondaggi. 
Il paragrafo 3 riprende l'articolo 17, paragrafo 2 della proposta 
iniziale che prevedeva deroghe per "importanti motivi di interesse 
pubblico". Tali deroghe dovrebbero essere concesse in particolare ad 
organizzazioni internazionali per i diritti dell'uomo i cui lavori 
richiedono tali dati a condizione che le organizzazioni in questione 
forniscano garanzie sufficienti. 
Il parere del Parlamento (emendamento 65) in base al quale i dati 
relativi a condanne penali possono essere conservati soltanto dalle 
autorità giudiziarie è stato ripreso in parte nel paragrafo 4 di tale 
articolo. Si è ritenuto che, oltre alle autorità giudiziarie, detti 
dati potessero essere conservati anche dalle persone direttamente 
interessate dalle decisioni giudiziarie in questione o dai loro 
rappresentanti. Data la natura particolarmente delicata dei dati si è 
considerato opportuno concedere tali deroghe esclusivamente in forza di 
disposizioni legislative volte a precisare le opportune garanzie 
(articolo 8 paragrafo 4 modificato). 
li proposto paragrafo 3 a) (parere del Parlamento, emendamento n. 65 
seconda parte), che invitava gli Stati membri a determinare nella loro 
legislazione le condizioni alle quali può essere utilizzato un numero 
nazionale di identificazione, qualora esista, o qualsiasi altro 
identificativo di portata generale, è stato adottato e introdotto al 
paragrafo 5. 
Articolo 9 
Trattamenti effettuati dalla stampa 
Tale articolo corrisponde all'articolo 19 della proposta iniziale. Gli 
Stati membri sono invitati a prevedere deroghe alle disposizioni della 
presente direttiva per gli organismi di stampa e del settore 
audiovisivo qualora risultino necessarie per conciliare i diritti 
fondamentali dell'individuo, in particolare il diritto alla vita 
privata, con la libertà di espressione. Esiste infatti un rischio di 
conflitto tra queste due categorie di diritti fondamentali. 
L'impostazione seguita pone l'accento sul l'obbligo di valutare gli 
interessi in gioco: tale valutazione può tener conto in particolare 
della possibilità o meno per la persona interessata di ottenere 
- 20 -
sanzioni o di esercitare un diritto di ricorso, dell'esistenza di un 
codice di deontologia professionale, dei limiti fissati dalla 
Convenzione europea dei diritti dell'uomo e dei principi generali del 
dir itto. 
Tenuto conto del testo iniziale e per motivi di armonizzazione, le 
deroghe a favore degli organismi di stampa e del settore audiovisivo 
nonché dei giornalisti (la cui menzione è aggiunta al testo iniziale) 
sono obbligatorie per gli Stati membri. Viene precisato che tali 
deroghe riguardano esclusivamente i trattamenti effettuati a fini di 
giornalismo. Il termine giornalista comprende i cronisti-fotografi 
nonché gli autori, quali i biografi. 
SEZIONE IV 
INFORMAZIONE DELLA PERSONA INTERESSATA 
La sezione IV raggruppa tutte le disposizioni relative all'informazione 
della persona interessata che nella proposta iniziale erano disperse in 
vari capi (articoli 9, 13, 14 paragrafo 3). 
Art ico lo 10 
Informazione sull'esistenza di un trattamento 
Questo articolo corrisponde all'articolo 14 paragrafo 3 della proposta 
iniziale che garantiva il diritto della persona interessata "di 
conoscere l'esistenza di un archivio, le sue finalità principali nonché 
l'identità e la residenza abituale, la sede o il domicilio del 
responsabile dell'archivio". 
Sono state apportate le seguenti modifiche al testo iniziale. 
Il diritto di essere informato può essere esercitato su richiesta. É 
stata sostituita la frase "la residenza abituale, la sede o il 
domicilio del responsabile dell'archivio" con "il nome e l'indirizzo 
del responsabile del trattamento ed eventualmente del suo 
rappresentante", informazioni ritenute sufficienti per l'esercizio dei 
diritti della persona interessata. Si è ritenuto inoltre che fossero 
importanti i terzi a cui vengono comunicati i dati e le categorie di 
dati oggetto di trattamento e sono stati pertanto aggiunti alle 
informazioni che la persona interessata ha il diritto di ottenere. 
Gli Stati membri possono accordare deroghe a tale diritto di 
informazione per i motivi e alle condizioni indicati all'articolo 14 
paragrafo 1 (sicurezza nazionale, difesa, ordine pubblico, ecc.). 
Art i co lo 11 
Informazione in caso di raccolta dei dati 
presso la persona interessata 
Questo articolo che garantisce alle persone presso le quali vengono 
raccolti dati personali il diritto ad informazioni specifiche 
corrisponde all'articolo 13 della proposta iniziale. 
- 21 -
La raccolta legittima e leale di dati personali presuppone che la 
persona interessata possa decidere se divulgare o meno i dati che la 
riguardano sulla base di informazioni attendibili per quanto riguarda 
la finalità del trattamento, l'identità del responsabile del 
trattamento, la natura vincolante o meno dell'obbligo di divulgare i 
dati in questione e tutte le conseguenze derivanti da un eventuale 
rifiuto di rispondere. Per poter far valere i propri diritti e 
controllare efficacemente l'impiego dei dati che la riguardano la 
persona interessata deve altresì essere informata in merito al suo 
diritto di accesso ai dati che la riguardano ed ai destinatari di tali 
dat i . 
Sono state appportate le seguenti modifiche al testo iniziale: 
nel titolo è precisato che l'articolo si applica in caso di 
raccolta dei dati presso la persona interessata; 
ciò è confermato al paragrafo 1 in cui si chiarisce che il fatto di 
ottenere l'informazione non è soltanto un diritto della persona 
interessata (esercitato su richiesta) ma un obbligo del 
responsabile del trattamento quando i dati vengono raccolti presso 
le persone interessate. L'applicazione di tale articolo dipenderà 
dalle circostanze specifiche della raccolta; 
come nella proposta iniziale (articolo 13 paragrafo 2) l'articolo 
11 paragrafo 2 autorizza gli Stati membri a limitare l'obbligo di 
informare la persona interessata per motivi di interessi 
preminenti. Secondo tale disposizione l'obbligo di fornire le 
informazioni di cui all'articolo 11 paragrafo 1 non sussiste quando 
l'informazione della persona interessata impedirebbe l'esercizio 
delle funzioni di controllo e di verifica di un'autorità pubblica o 
il mantenimento dell'ordine pubblico. 
Art i co lo 12 
Informazione in caso di comunicazione a un terzo 
Tale articolo corrisponde all'articolo 9 del testo iniziale. Per 
consentire alla persona interessata di esercitare i suoi diritti il 
paragrafo 1 impone al responsabile del trattamento l'obbligo di 
accertare che la persona interessata sia informata della comunicazione 
che la riguarda. La persona interessata può in tal modo esercitare il 
suo diritto di accesso e opporsi alla continuazione del trattamento in 
quest ione. 
L'emendamento 35 è stato ripreso in parte per quanto si riferisce alle 
disposizioni contenute nell'emendamento 32 che sono state inserite 
nella direttiva. Pertanto il precedente articolo 8, paragrafo 2, 
lettera a) che figurava nell'emendamento n. 35 corrisponde al nuovo 
articolo 7, lettera c) nonché all'articolo 13 modificato; l'articolo 8, 
paragrafo 2, lettera e) corrisponde all'articolo 7, lettera b); 
l'articolo 8, paragrafo 2, lettera g) corrisponde in parte all'articolo 
7, lettera f). 
- 22 -
Il diritto della persona interessata di opporsi al trattamento (nonché 
alla comunicazione) è disciplinato dalla sezione VI ed in particolare 
dagli articoli 15 e 16 del testo modificato. Lo spirito del paragrafo 3 
dell'emendamento n. 35 è stato ripreso nell'articolo 15 modificato 
(senza tuttavia far riferimento alla nozione di "incaricato" che 
risulta inutile e rischia di generare confusione). 
Il testo modificato non fa distinzione tra settore pubblico e settore 
privato (l'obbligo di informazione in caso di comunicazione si 
applicava nel testo iniziale essenzialmente al settore privato). 
Il testo non indica la "consultazione in linea" poiché è compresa nella 
nozione di comunicazione. L'obbligo di informazione non si applica 
quando: 
- la comunicazione è necessaria alla salvaguardia dell'interesse 
vitale della persona interessata (in tal caso l'informazione può 
essere impossibile o contraria agli interessi della persona 
interessata) ; 
la comunicazione o la possibilità di comunicazione sono già state 
portate a conoscenza della persona interessata; 
la comunicazione è imposta da una legge che prevede una deroga 
all'obbligo di informazione della persona interessata; 
la comunicazione è giustificata da uno dei motivi elencati 
all'articolo 14 paragrafo 1 (sicurezza nazionale, difesa, ordine 
pubbI i co ecc. ). 
Oltre alla finalità del trattamento, alle categorie di dati 
interessati, al nome e all'indirizzo del responsabile del trattamento 
(o del suo rappresentante) si è ritenuto necessario informare la 
persona interessata anche del destinatario o delle categorie di 
destinatari e dell'esistenza del diritto di accesso, di rettifica e di 
oppos i z ione. 
Il paragrafo 3 dell'articolo 12 modificato corrisponde all'articolo 10 
del testo iniziale che riguardava le deroghe all'obbligo di informare 
la persona interessata (qualora l'informazione della persona 
interessata si riveli impossibile o comporti sforzi sproporzionati 
oppure contrasti coninteressi legittimi preminenti del responsabile del 
trattamento o con un interesse analogo di un terzo). Si è aggiunto che 
in caso di autorizzazione di una deroga, l'autorità di controllo deve 
prevedere eventualmente le opportune garanzie (per garantire che la 
mancanza di informazioni non rechi indebito pregiudizio ai diritti e 
alle libertà della persona interessata). 
Si dovrebbe far ricorso alla facoltà di concedere deroghe all'obbligo 
di informazione della persona interessata in particolare nei confronti 
delle organizzazioni dei diritti dell'uomo e delle organizzazioni 
umanitarie in modo da non ostacolare indebitamente i loro lavori 
Ieg i 11 im i. 
- 23 -
Art i co lo 13 
D i r i tto di accesso 
Questo articolo riprende le disposizioni dell'articolo 14 della 
proposta iniziale relative al diritto di accesso della persona 
interessata ai propri dati personali e al diritto complementare di 
ottenere la rettifica, la cancellazione o il congelamento di tali dati 
(paragrafi 4 e 7). Come previsto all'articolo 4, paragrafo 4 del testo 
iniziale l'articolo 13, paragrafo 1 modificato conferisce alla persona 
interessata il diritto di ottenere, a intervalli ragionevoli e senza 
ritardi o spese eccessive, la conferma dell'esistenza o meno di dati 
personali che la riguardano e, in caso affermativo, la comunicazione di 
tali dati in forma intelligibile. 
È compito degli Stati membri precisare le modalità di trasmissione di 
tali informazioni alla persona interessata al fine, per esempio, di 
garantire che i dati siano inoltrati alla persona interessata e 
soltanto ad essa o di facilitare l'esercizio del diritto di accesso sia 
da parte del responsabile del trattamento dei dati che della persona 
interessata qualora esistano più trattamenti, in particolare nel caso 
di archivi manuali. Spetta altresì agli Stati membri il compito di 
definire nella loro legislazione la nozione di "intervallo 
ragionevole". Tenuto conto degli interessi della persona in questione e 
del responsabile del trattamento i legislatori degli Stati membri 
possono disporre che il responsabile del trattamento non può esigere 
dalla persona interessata che esercita il proprio diritto di accesso 
un corrispettivo superiore al costo reale. Il diritto percepito non 
deve essere eccessivo. 
L'articolo 13, paragrafo 1 (articolo 14, paragrafo 4 della proposta 
iniziale) è stato modificato per tener conto dell'emendamento n. 48 che 
è stato ripreso in parte. Il diritto di accesso può essere esercitato 
su richiesta. La persona interessata ha il diritto di ottenere 
informazioni sull'origine (e non l'origine in generale: tale 
formulazione sarebbe troppo vaga e pertanto inutile) e sull'impiego in 
linea generale (e non l'impiego esatto in quanto ciò potrebbe essere 
eccessivamente gravoso e burocratico) dei dati personali in questione. 
Detto articolo consente inoltre agli Stati membri di introdurre una 
norma speciale relativa all'esercizio del diritto di accesso della 
persona interessata ai dati di carattere medico. Al fine di tutelare la 
persona interessata da gravi turbamenti psicologici questa informazione 
può essergli fornita per il tramite di un medico. 
L'articolo 13, paragrafo 2 è stato aggiunto al fine d'introdurre nel 
testo l'emendamento 132; consente di prevenire gli abusi in materia di 
esercizio del diritto di accesso che potrebbero essere commessi nei 
confronti degli interessi legittimi della persona interessata (esempio 
fornito dal Parlamento: la persona interessata non deve essere 
obbligata da un terzo ad esercitare il proprio diritto di accesso come 
condizione preliminare all'assunzione o al mantenimento del posto di 
lavoro). Tuttavia l'accesso in risposta alla richiesta di un terzo è 
consentito a condizione che sia basato su una legislazione nazionale o 
sulla legislazione comunitaria (esempio: dichiarazione di stato civile, 
ecc. richiesta per determinare i diritti a diverse prestazioni 
soc i a Ii). 
- 24 -
L'articolo 13, paragrafo 3 (articolo 14, paragrafo 5 della proposta 
iniziale) accorda alle persone interessate il diritto di ottenere, a 
seconda dei casi, la rettifica, la cancellazione o il congelamento dei 
dati qualora il trattamento risulti incompatibile con le disposizioni 
della direttiva. Il testo iniziale del paragrafo 5 è stato leggermente 
modificato in modo da corrispondere meglio alla formulazione auspicata 
dal Parlamento (emendamento 46). 
L'emendamento n. 49 è stato anch'esso ripreso in parte. I dati "che 
sono stati omessi in tutto o in parte" sono denominati "dati 
incompleti" e sono compresi nell'articolo 13, paragrafo 3 modificato. 
D'altro canto i termini "a seconda dei casi" e "cancellazione" sono 
utili in tale contesto e sono stati pertanto conservati nel testo 
modi f icato. 
L'espressione utilizzata nella direttiva ("a seconda dei casi") lascia 
alla legislazione di ogni Stato membro relativa alla protezione dei 
dati il compito di adattare i diritti della persona interessata in 
materia di cancellazione, congelamento o rettifica alle varie 
situazioni in cui i dati personali sono elaborati e impiegati in 
violazione della direttiva. 
L'articolo 13, paragrafo 4 corrisponde all'articolo 14, paragrafo 7 
della proposta iniziale. Detto paragrafo protegge gli interessi della 
persona in questione in quanto prevede che i terzi a cui sono stati 
trasmessi dati trattati in maniera incorretta o illegittima ricevano 
comunicazione della loro rettifica, cancellazione o congelamento in 
modo da poter a loro volta rettificare, cancellare o congelare i dati 
i n quest ione. 
L'articolo 13, paragrafo 5 è stato aggiunto a titolo di garanzia 
complementare nel caso di decisioni prese da un sistema automatizzato e 
tali da fornire risultati contrari agli interessi della persona in 
questione. In tal caso la persona interessata ha il diritto di 
conoscere la logica seguita nei trattamenti in causa. 
Art ico lo 14 
Deroghe al diritto d'accesso 
Questo articolo coi risponde all'articolo 15 della proposta iniziale ed 
autorizza gli Stati membri a limitare il diritto di accesso delle 
persone interessate al fine di salvaguardare un interesse pubblico 
preminente o l'interesse di un'altra persona equivalente al diritto 
privato della persona interessata. 
Gli Stati membri hanno la facoltà di decidere in quale misura intendono 
inserire nella loro legislazione nazionale relativa alla protezione dei 
dati deroghe basate sull'articolo 14 a meno che le disposizioni 
previste dal diritto comunitario (per esempio in materia di controllo 
bancario o di riciclaggio di capitali) non rendano obbligatorie tali 
deroghe. Tuttavia le deroghe indicate in questo articolo sono quelle 
strettamente necessarie alla tutela dei valori fondamentali di una 
società democratica e devono essere adottate nella legislazione 
naz ionaIe. 
- 25 -
L'emendamento n. 54 è stato accolto. L'articolo 14 modificato non si 
applica unicamente al trattamento effettuato dal settore pubblico ma 
può riguardare anche il trattamento effettuato dal settore privato. 
L'elenco degli interessi da salvaguardare di cui al paragrafo 1 che 
giustifica una limitazione del diritto di accesso in virtù 
dell'articolo 14 della direttiva è esaustivo. 
Per "sicurezza dello Stato" si deve intendere la protezione della 
sovranità nazionale nei confronti di minacce interne ed esterne. 
L'espressione "procedimenti penali" riguarda azioni nei confronti di 
crimini già commessi mentre il concetto di "pubblica sicurezza" 
comprende tutte le funzioni di polizia svolte da organi dello Stato, 
inclusa la prevenzione della criminalità. L'espressione "di un 
interesse economico e finanziario imperativo, debitamente giustificato, 
di uno Stato membro o della Comunità" si riferisce a tutti gli 
strumenti di politica economica e a tutti i mezzi di finanziamento 
delle politiche di uno Stato membro o della Comunità, ad esempio il 
controllo dei cambi, il controllo del commercio estero, la riscossione 
delle imposte. Tuttavia tale interesse deve essere imperativo per 
giustificare una restrizione del diritto di accesso. 
Infine sono considerati motivi validi per limitare il diritto di 
accesso sia l'interesse di un'altra persona, compreso eventualmente il 
responsabile del trattamento stesso, equivalente al diritto di accesso 
della persona interessata sia i diritti e le libertà altrui. Tali 
interessi comprendono: il segreto d'ufficio di terzi; le norme in 
materia di segreto professionale che i medici e gli avvocati hanno 
l'obbligo di osservare; il diritto di un terzo di preparare la propria 
difesa in caso di controversia giuridica; la protezione dei diritti 
dell'uomo. Per tale motivo le autorità di controllo dovrebbero essere 
tenute ad accordare deroghe al diritto di accesso delle persone 
interessate ai dati che le riguardano detenuti da organizzazioni dei 
diritti dell'uomo quando un accesso illimitato potrebbe mettere in 
pericolo altri individui (per esempio nel caso di fonti d'informazioni 
riservate) o gli interessi vitali di tali organizzazioni. 
Se la persona interessata non può avere accesso a dati che la 
riguardano e che figurano in un archivio a causa della salvaguardia di 
un interesse di cui all'articolo 14 paragrafo 1, l'articolo 14 
paragrafo 2 prevede che l'autorità di controllo deve poter effettuare, 
su richiesta dell'interessato, le indagini e le verifiche necessarie 
relative all'archivio in cui sono riportati i dati in questione (come 
previsto nel testo iniziale, articolo 15 paragrafo 2). Lo scopo di tale 
controllo consiste nel verificare la liceità dei trattamenti nei 
confronti dei criteri stabiliti dalla direttiva. Effettuando tale 
controllo l'autorità deve evitare di recare pregiudizio agli interessi 
la cui salvaguardia è prevista al paragrafo 1. 
L'articolo 14 paragrafo 3 (come l'articolo 15 paragrafo 3 del testo 
iniziale) autorizza gli Stati membri a limitare il diritto di accesso 
della persona interessata ai dati temporaneamente trattati per fini 
statistici in quanto tali operazioni non presentano gravi rischi per la 
persona interessata. 
- 26 -
SEZIONE VI 
DIRITTO DI OPPOSIZIONE DELLA PERSONA INTERESSATA 
Articolo 15 
Opposizione per motivi leaittimi 
Ai sensi dell'articolo 15, paragrafo 1 che riprende l'articolo 14, 
paragrafo 1 della proposta iniziale la persona interessata ha il 
diritto di opporsi, per motivi legittimi, al fatto che i dati che la 
riguardano siano oggetto di trattamento. Per motivi legittimi s'intende 
la mancanza di una giustificazione giuridica per un determinato 
trattamento di dati personali, ad esempio nel caso in cui non siano 
soddisfatte le condizioni previste al capo II della direttiva in merito 
alla liceità di tale trattamento. Per contro una persona interessata 
non sarebbe legittimamente motivata ad opporsi ad un trattamento lecito 
necessario per l'esecuzione del contratto che la lega con il 
responsab ile. 
Il paragrafo 2 riprende l'articolo 9, paragrafo 3 della proposta 
iniziale e precisa che in caso di opposizione esercitata alle 
condizioni previste al paragrafo 1 il responsabile del trattamento è 
tenuto a porvi termine. 
Il paragrafo 3 sviluppa le disposizioni dell'articolo 14, paragrafo 6 
della proposta iniziale ed intende precisare gli obblighi del 
responsabile del trattamento nei confronti delle persone interessate 
quando, in applicazione di altre disposizioni della proposta di 
direttiva, esso è autorizzato acomunicare dati a terzi ai fini di 
un'indagine specifica. Tali obblighi si applicano indipendentemente 
dalla natura della indagine, sia essa una ricerca commerciale o 
un'indagine effettuata da o per un'associazione caritatevole o un 
partito politico. Tali obblighi a carico del reponsabile del 
trattamento consistono ne II'accertare che sia stata esplicitamente 
offerta alle persone interessate la possibilità di far cancellare i 
dati senza spese prima di procedere alla comunicazione. Tale obbligo 
vige anche quando i dati non vengono comunicati ma sono utilizzati per 
gli stessi fini da parte di un responsabile del trattamento per conto 
di un terzo. Il responsabile del trattamento può soddisfare i propri 
obblighi in occasione dei contatti abituali con le persone interessate 
senza dover procedere necessariamente ad una comunicazione specifica. 
Tale paragrafo riguarda esclusivamente le indagini scritte. Le misure 
destinate a proteggere le persone nei confronti di sollecitazioni 
indesiderate pervenute attraverso sistemi di telecomunicazione sono 
previste dalla proposta di direttiva modificata al fine di 
salvaguardare le persone nel contesto delle reti di telecomunicazione. 
- 27 -
Articolo 16 
Decisioni automatizzate relative alle persone 
Il rischio insito in un'utilizzazione abusiva dell'informatica in un 
processo decisionale rappresenta uno dei pericoli fondamentali per il 
futuro: infatti il risultato fornito dalla macchina che si avvale di 
software sempre più sofisticati oppure di sistemi esperti riveste un 
carattere apparentemente obiettivo e incontestabile a cui l'uomo, in 
qualità di responsabile della decisione, può accordare un'importanza 
eccessiva rinunciando alla propria responsabilità. Il paragrafo 1 
dell'articolo 16 stabilisce pertanto il principio in base al quale una 
persona ha il diritto di non essere sottoposta ad una decisione 
amministrativa o privata per la quale abbia motivo di risentirsi, presa 
esclusivamente sulla base di un trattamento automatizzato che definisce 
un profilo di personalità. 
Questo paragrafo 1 è stato rielaborato rispetto alla proposta iniziale 
al fine di consentire una maggiore precisione nei casi limitati ai 
quali si applicano le disposizioni. 
Infatti devono ricorrere tre presupposti: 
la persona deve essere sottoposta ad una decisione che le rechi 
pregiudizio. Deve trattarsi di una decisione che incide sulla sua 
situazione giuridica, mentre per esempio il semplice fatto di 
inviare prospetti commerciali ad un elenco di persone 
preselezionate da un elaboratore non costituisce una decisione che 
reca pregiudizio; 
deve trattarsi di una decisione presa esclusivamente sulla base di 
un trattamento automatizzato: risulta vietata infatti la rigida 
applicazione da parte dell'utente dei risultati prodotti dal 
sistema. L'informatica può fornire un aiuto al processo decisionale 
ma non può assolutamente costituire l'unica base di tale decisione 
in quanto la valutazione dell'uomo deve avere il suo peso. 
Sarebbe per esempio contrario a tale principio il fatto che un 
datore di lavoro scartasse la candidatura di un aspirante ad un 
posto di lavoro sulla sola base dei risultati di un test 
psicoattitudinale informatizzato oppure che venissero prodotti 
mediante tali software di valutazione elenchi contenenti voti e 
classifiche in ordine di preferenza dei candidati all'impiego 
basate esclusivamente sul test di personalità; 
il trattamento deve applicare ai dati relativi alla persona 
interessata variabili in grado di determinare un profilo tipo di 
personalità (ritenuto soddisfacente o insoddisfacente) in modo da 
escludere tutti i casi in cui il sistema non prevede alcuna 
definizione del profilo di personalità: per esempio il fatto che 
una persona non possa ottenere la somma richiesta presso un 
distributore automatico di biglietti di banca in quanto ha superato 
il credito a sua disposizione non rientra in tale definizione. 
- 28 -
Nella proposta modificata viene aggiunto il paragrafo 2 in virtù del 
principio in base al quale la parte di valutazione dell'uomo deve 
essere proporzionale ai rischi che presenta per l'individuo una 
decisione tendente ad applicare nei suoi confronti un profilo di 
personalità elaborato esclusivamente da un calcolatore. 
Un emendamento parlamentare (n. 46) proponeva di permettere tale 
decisione in caso di consenso della persona o nel quadro di un 
contratto o di un rapporto di fiducia quasi contrattuale. 
La proposta modificata non riprende i casi suggeriti; infatti, se 
esiste un rapporto di forza sfavorevole alla persona interessata (per 
esempio nel caso della persona alla ricerca di un lavoro) né il suo 
consenso né la prospettiva di un contratto potrebbero costituire una 
garanzia sufficiente. 
In virtù del paragrafo 2 la persona può essere sottoposta ad una 
decisione di cui al paragrafo 1 se la decisione viene presa nel quadro 
di un contratto concluso tra tale persona e il responsabile del 
trattamento o della esecuzione di tale contratto a condizione che la 
persona ottenga soddisfazione e che misure adeguate (che gli Stati 
membri possono perecisare) garantiscano la salvaguardia del suo 
interesse legittimo. Tale garanzia può risultare in forza di legge, da 
procedure di notifica oppure da misure di carattere interno prese 
da Il'az ienda . 
Per esempio, il ricorso alla tecnica del punteggio per l'assegnazione 
di un credito ad un privato risulta accettabile se la decisione 
favorevole in materia di attribuzione del credito è presa 
esclusivamente sulla base di una valutazione automatica dei rischi; in 
caso di punteggio insufficiente deve essere garantita la salvaguardia 
dell'interesse legittimo della persona interessata (per esempio se la 
decisione finale viene posposta fino al momento in cui i servizi hanno 
potuto procedere ad uno studio "personale" della pratica). 
SEZIONE VI I 
SICUREZZA DEI TRATTAMENTI 
Articolo 17 
Tale articolo corrisponde all'articolo 18 del testo iniziale. 
I pericoli nei confronti del diritto alla vita privata della persona 
interessata non provengono esclusivamente dal responsabile del 
trattamento di dati che li raccoglie, li memorizza, li elabora e li 
comunica nel proprio interesse. 
II diritto alla vita privata della persona interessata può essere 
compromesso anche nel caso in cui i dati vengano utilizzati per altri 
fini da parte di terzi non autorizzati all'accesso ed all'impiego di 
ta Ii dat i. 
L'articolo 17 obbliga in particolare gli Stati membri a disporre che il 
responsabile del trattamento deve adottare adeguate misure tecniche ed 
- 29 -
organizzative necessarie al fine di garantire la protezione nei 
confronti della distruzione accidentale o illecita, della perdita 
accidentale o della alterazione, della comunicazione o di qualsiasi 
altra forma non autorizzata di trattamento di dati personali. 
L'emendamento n. 67 è stato accolto in parte. L'espressione 
"trattamento automatizzato di dati" è stata preferita a quella di 
"archivi automatizzati". È stato abolito il riferimento al "costo 
dell'applicazione (delle misure)". Il testo modificato impiega il 
termine "responsabile del trattamento". 
Il testo è stato leggermente modificato per motivi di chiarezza. Al 
paragrafo 1 l'espressione "distruzione non autorizzata" è stata 
sostituita da "distruzione illecita" e "le attuali conoscenze in 
materia" da "le attuali conoscenze tecnologiche". Al paragrafo 2 il 
termine "adeguato livello di sicurezza" è stato sostituito da 
"opportuno livello di sicurezza". Al paragrafo 3 il termine 
"consultazione in linea" è stato sostituito da "accesso a distanza". Il 
paragrafo 4 precisa che gli obblighi in materia di sicurezza incombono 
anche alle persone che sono responsabili della realizzazione del 
trattamento, in particolare l'incaricato del trattamento. 
Sono state inoltre apportate due modifiche di una certa importanza. Al 
paragrafo 3 si precisa che in caso di accesso a distanza gli impianti 
tecnici e i software devono essere predisposti in modo da consentire 
l'accesso entro i limiti di liceità del trattamento (e non entro i 
limiti dell'autorizzazione concessa dal responsabile del trattamento. 
Poiché tale autorizzazione non potrebbe sicuramente superare i limiti 
di liceità del trattamento non sarebbe di alcun interesse per la 
protezione dei dati personali). 
Il paragrafo 5 prevede una deroga all'obbligo di non comunicare i dati 
a terzi senza l'accordo del responsabile del trattamento quando la 
comunicazione è prevista in forza della legislazione nazionale o 
comunitaria (esempio: a scopo di procedimento penale). 
SEZIONE Vili 
NOTIFICA 
Articolo 18 
L'obbligo di notifica all'autorità di controllo 
L'articolo 18 riprende gli articoli 7 e 11 della proposta iniziale 
relativi alla notifica all'autorità di controllo degli archivi 
costituiti nel settore pubblico e nel settore privato. Tali 
disposizioni vengono conglomerate come auspicato dal Parlamento nel suo 
parere. Questa presentazione ha il vantaggio di mettere in evidenza che 
l'impostazione in materia di notifica dev'essere la stessa, 
indipendentemente dal settore in cui vengono effettuati i trattamenti 
d i dat i. 
- 30 -
L'oggetto, la portata e il contenuto delle disposizioni iniziali sono 
tuttavia modificati per tener conto del parere del Parlamento e per 
garantire la coerenza della proposta modificata. Infatti gli 
emendamenti del Parlamento (39, 40, 41, 118 e 119) portano ad 
articolare le disposizioni relative alla notifica su più articoli. La 
notifica deve poter garantire, oltre alla trasparenza dei trattamenti 
come nella proposta iniziale, un controllo selettivo da parte 
dell'autorità di controllo in merito alla liceità dei trattamenti. In 
funzione del grado di rischio da essi presentato il controllo deve 
essere fatto in linea di massima a posteriori oppure preventivamente 
in un numero limitato di casi. 
1. Il paragrafo 1, dell'articolo 18 modifica l'obbligo di notifica 
previsto nella proposta iniziale nel modo seguente: 
a. al fine di garantire la coerenza dell'impostazione seguita 
nella proposta modificata si propone che la notifica riguardi 
il trattamento di dati personali e non l'archivio. Tale 
modifica consente di effettuare il controllo sugli impieghi e 
sulle operazioni subite dai dati in vista del conseguimento di 
finalità determinate (natura delle operazioni, dei 
ravvicinamenti, delle comunicazioni effettuate a terzi, natura 
dei dati raccolti, registrati ecc.) e non sull'articolazione 
tecnica specifica dei dati in archivi il cui interesse nei 
confronti della protezione delle persone può essere privo di 
particolare significato quando i dati sono automatizzati; 
b. il criterio della comunicazione dei dati a terzi seguito nella 
proposta iniziale quale giustificazione dell'obbligo non viene 
più ripreso al fine di tener conto sia delle critiche formulate 
sulla sua inadeguatezza, in quanto alcune comunicazioni a terzi 
non recano pregiudizio ai diritti delle persone, sia dei rischi 
che possono presentare invece trattamenti interni soprattutto 
quando hanno lo scopo di selezionare popolazioni. In questo 
contesto è risultato opportuno estendere l'obbligo di notifica 
a qualsiasi trattamento di dati personali prima della sua 
realizzazione. Tale impostazione dovrebbe incentivare i 
responsabili dei trattamenti a prevedere le misure necessarie 
al rispetto degli obblighi a loro carico prima di procedere 
alla realizzazione dei trattamenti. Per valutare la portata 
pratica di questa modifica é opportuno tuttavia tener conto 
delle disposizioni contenute all'articolo 19 sulla 
semplificazione e sull'esonero da II'obbligo di notifica; 
c. al fine di garantire che il controllo tenga conto della realtà 
globale e spesso polimorfa dei trattamenti effettuati da un 
responsabile e al fine di evitare una eccessiva proliferazione 
di notifiche si propone che una stessa notifica riguardi tutti 
i trattamenti, ripetitivi o meno, destinati al conseguimento di 
una o più finalità correlate dal punto di vista del 
responsabile del trattamento e delle persone interessate. A 
titolo di esempio dovrebbe essere richiesta un'unica notifica 
per tutti i trattamenti relativi alla gestione dei prestiti 
- 31 -
effettuati da un ente creditizio e destinati a tener conto 
delle domande di prestito, del loro esame, della loro 
approvazione, del recupero dei crediti nonché della gestione 
delle pratiche oggetto di controversia-, 
d. al fine di evitare eccessivi oneri amministrativi si propone di 
aggiungere che l'obbligo di notifica riguarda solo i 
trattamenti interamente o parzialmente automatizzati lasciando 
quindi la facoltà agli Stati membri di estendere l'obbligo agli 
archivi manuali in virtù dell'articolo 21. 
2. Il paragrafo 2, dell'articolo 18 contiene alcune precisazioni in 
merito al contenuto della notifica. 
a. viene aggiunta la precisazione relativa alla o alle categorie 
di persone interessate dal trattamento (per es. clienti 
dell'impresa, personale dell'impresa, prospetto, beneficiari di 
un determinato aiuto sociale ecc.); 
b. analogamente si specifica anche che l'informazione relativa ai 
terzi a cui sono comunicati i dati può essere precisata facendo 
riferimento a categorie di terzi (emendamento 39); 
c. alla descrizione dei dati interessati dal trattamento si 
aggiunge la facoltà di precisare soltanto le categorie di dati, 
informazione sufficiente quando una descrizione troppo 
particolareggiata di natura tecnica non apporterebbe elementi 
significativi alla comprensione dei trattamenti in causa; 
d. viene aggiunta l'indicazione relativa ai trasferimenti di dati 
previsti con i paesi terzi al fine di facilitare l'applicazione 
delle disposizioni specifiche in materia e di garantire che 
essi siano considerati nel loro contesto specifico; 
e. è mantenuta la descrizione delle misure di sicurezza prevista 
nella proposta iniziale, tenuto conto dell'importanza del loro 
controllo soprattutto in relazione allo sviluppo dei 
trattamenti effettuati a distanza per mezzo di reti di 
te Iecomun i caz ione. 
3. Il pai agiato 3. doli articolo 18 riguarda la notifica dei mutamenti 
apportati ai trattamenti. L'obbligo di notifica dei mutamenti 
apportati ai trattamenti in grado di influire sul contenuto della 
notifica effettuata in precedenza, previsto nella proposta 
iniziale, viene mantenuto al fine di consentire l'aggiornamento 
dell'elenco dei trattamenti accessibili al pubblico e le successive 
azioni di controllo, che risultano particolarmente importanti 
quando vengono modificate le finalità del trattamento oppure quando 
nuove categorie di terzi possono avere comunicazione dei dati 
interessati dal trattamento. 
4. I paragrafi 4 e 5 riprendono il parere del Parlamento (emendamenti 
40, 41, 118 e 119) in base al quale alcuni trattamenti che possono 
presentare rischi particolari nei confronti dei diritti e delle 
- 32 -
libertà delle persone interessate devono essere oggetto di un 
parere o di un'autorizzazione dell'autorità di controllo 
anteriormente alla loro esecuzione. 
Pur tenendo conto delle diverse impostazioni di carattere 
istituzionale prevalenti nei vari Stati membri si è ritenuto 
opportuno prevedere al paragrafo 4 dell'articolo 18 l'obbligo per 
gli Stati membri di sottoporre tali trattamenti ad un esame da 
parte dell'autorità di controllo anteriormente alla loro 
esecuzione. Gli Stati membri possono sostituire tale esame non 
vincolante con una autorizzazione in forza di legge o concessa 
dall'autorità di controllo. 
I rischi particolari possono riguardare per esempio la natura dei 
dati elaborati, in particolare quelli di cui all'articolo 8, la 
portata del trattamento quando riguarda tutta la popolazione di un 
paese oppure la finalità come quella di escludere le persone 
interessate dal beneficio di un diritto, di una prestazione o di 
contratto (liste nere, trattamenti destinati all'informazione di 
terzi sulla solvibilità delle persone fisiche). 
II paragrafo 4 dell'articolo 18 aggiunge una precisazione destinata 
a limitare, nell'interesse del responsabile del trattamento, il 
termine previsto per l'esame preventivo del dossier da parte 
dell'autorità di controllo. 
Sulla base della formulazione di questo articolo l'impostazione 
proposta non dovrebbe impedire agli Stati membri di prendere, sulla 
base dell'esperienza acquisita, misure di semplificazione o di 
esonero da II'obbligo di notifica per alcune categorie di 
trattamenti secondo quanto previsto all'articolo 19. 
5. Infine per completare la presentazione delle disposizioni è 
opportuno precisare che i trattamenti interamente o parzialmente 
automatizzati che non beneficiano di procedure di semplificazione o 
di esonero dal l'obbligo di notifica di cui all'articolo 19 o che 
non sono oggetto di un esame preventivo ma vengono notificati alle 
autorità di controllo in applicazione delle disposizioni 
dell'articolo 18 sono di norma sottoposti esclusivamente al 
controllo a posteriori delle autorità competenti, come i 
trattamenti di cui all'articolo 19. Ê ovvio che l'autorità di 
controllo accerta la conformità della procedura di notifica seguita 
nei confronti della natura del trattamento. 
6. Nello spirito del parere del Parlamento (emendamento 39) 
l'attuazione delle procedure comunitarie previste agli articoli 33 
e 34 dovrebbe consentire di raggiungere l'armonizzazione specifica 
necessaria al buon funzionamento del mercato interno per quanto 
riguarda gli articoli 18 e 19. 
- 33 -
Articolo 19 
La semplificazione e l'esonero dall'obbligo di notifica 
L'articolo 19 riprende e sviluppa l'emendamento 39 del Parlamento 
relativo alla semplificazione delle procedure per alcune categorie di 
trattament i. 
Al paragrafo 1 dell'articolo 19 si propone di far obbligo agli Stati 
membri di prendere le misure necessarie a tal fine lasciando loro la 
facoltà di concedere deroghe all'obbligo di notifica. 
Al fine di sviluppare una politica comune coerente nei confronti 
dell'obiettivo della protezione delle persone si propone di aggiungere 
un criterio volto a determinare il settore nel quale risulta pertinente 
la semplificazione o l'esonero dalla notifica. Tale criterio riguarda i 
trattamenti che non possono recare pregiudizio ai diritti e alle 
libertà delle persone interessate. 
L'esperienza dimostra che numerosi trattamenti di dati personali 
effettuati presso grandi o piccoli organismi pubblici o privati 
rivestono tale natura e non richiedono di conseguenza una pubblicità 
specifica o generica. Si possono citare trattamenti aventi una 
determinata base giuridica per la natura del loro contenuto o la loro 
portata, i trattamenti semplici per i quali gli interessati hanno 
normalmente l'occasione di verificarne la liceità, i trattamenti che 
essenzialmente non possono recare pregiudizio alle persone interessate 
oppure i trattamenti, sicuramente più delicati per la loro natura, ma 
il cui contesto specifico di attuazione comporta le garanzie 
necessar ie. 
Facendo riferimento all'emendamento 23 del Parlamento, si propone al 
paragrafo 1 dell'articolo 19 di considerare che i trattamenti la cui 
finalità riguarda la produzione di lettere o documenti mediante 
trattamento testi, l'adempimento di obblighi legali, contabili, fiscali 
o sociali oppure la consultazione di servizi di documentazione 
accessibili al pubblico possono essere oggetto di procedure di 
semplificazione o di esonero dal l'obbligo di notifica. 
Gli Stati membri, in funzione della loro esperienza e delle 
caratteristiche nazionali specifiche dei trattamenti già effettuati o 
nuovi, devono procedere gradualmente a tali semplificazioni o esoneri. 
Si può ritenere, a titolo di esempio, che potrebbero essere interessati 
da tali misure anche i trattamenti che hanno per oggetto il calcolo 
dello stipendio del personale di un'amministrazione o di un'impresa, 
alcuni trattamenti destinati alla ricerca scientifica oppure alcuni 
trattamenti relativi alla compilazione di fascicoli medici dei pazienti 
da parte di personale medico. 
Il paragrafo 2 dell'articolo 19 riprende l'emendamento 39 del 
Parlamento in base al quale la semplificazione o l'esonero dal l'obbligo 
di notifica degli Stati membri dev'essere oggetto di atto giuridico. Si 
propone tuttavia di precisare, nello spirito di tale emendamento, che 
la procedura di elaborazione della misura di semplificazione o di 
esonero coinvolge l'autorità indipendente di controllo. inoltre 
affinché i responsabili dei trattamenti possano valutare con la massima 
- 34 -
sicurezza la conformità dei trattamenti da essi previsti nei confronti 
della misura di semplificazione, si propone che quest'ultima descriva 
ogni categoria di trattamento interessato e precisi in particolare le 
finalità, i dati o categorie di dati trattati, le categorie di persone 
interessate, i terzi o categorie di terzi a cui vengono comunicati i 
dati, il periodo di conservazione dei dati ed eventualmente le 
condizioni alle quali viene effettuato il trattamento in questione. 
Il paragrafo 3 dell'articolo 19 riprende sempre l'emendamento 39 del 
Parlamento in base al quale è opportuno ricordare, per motivi di 
chiarezza, che il fatto di poter beneficiare della semplificazione o 
dell'esonero dall'obbligo di notifica non dispensa il responsabile del 
trattamento da tutti gli altri obblighi derivanti dalla direttiva. 
Art i co lo 20 
I trattament i manuaI i 
Viene lasciata agli Stati membri la facoltà di applicare agli archivi 
manuali le disposizioni della sezione Vili pur apportandovi gli 
adeguamenti ritenuti eventualmente necessari. 
Art i co lo 21 
Il registro dei trattamenti notificati 
L'articolo 21 riprende l'articolo 7 del paragrafo 1 della proposta 
iniziale relativo alla compilazione da parte dell'autorità di controllo 
del registro degli archivi notificati del settore pubblico e alla 
possibilità di consultazione da parte di chiunque. L'articolo 21 
estende tuttavia tale disposizione, nello spirito del parere del 
Parlamento (emendamenti 37 e 39) a tutti i trattamenti notificati 
indipendentemente dal settore di appartenenza del responsabile del 
t rat tamento. 
La consultazione del registro può essere tuttavia limitata, come 
richiesto dal Parlamento, alle stesse condizioni di quelle fissate 
all'articolo 14 relative alla limitazione dell'esercizio del diritto di 
accesso delle persone ai dati che le riguardano. 
Inoltre nello spiiito del parere del Parlamento (emnndamonto 39) 
l'articolo 21 precisa i requisiti minimi previsti per il registro che 
deve riprendere le informazioni di cui all'articolo 18, paragrafo 2 ad 
eccezione tuttavia delle informazioni relative alle misure prese per 
garantire la sicurezza dei trattamenti onde non comprometterne 
I'eff icacia. 
- 35 -
CAPO II I 
RICORSI GIURISDIZIONALI, RESPONSABILITÀ E SANZIONI 
Art ico lo 22 
Ricorsi giurisdizionali 
L'articolo 22 riprende l'articolo 14, paragrafo 8 della proposta 
iniziale. La portata di tale disposizione è comunque più ampia. Infatti 
si propone che le legislazioni nazionali accordino alle persone 
interessate la possibilità di un ricorso giurisdizionale per consentire 
loro, se necessario, di difendere non soltanto i diritti complementari 
elencati all'articolo 14 della proposta iniziale ma in linea più 
generale tutti i diritti che vengono loro riconosciuti dalla direttiva. 
Art ico lo 23 
Responsab i I i tà 
Il paragrafo 1 di tale articolo, come l'articolo 21, paragrafo 1 della 
proposta iniziale, fa obbligo al responsabile del trattamento di porre 
rimedio al danno provocato a qualsiasi persona per effetto di un 
trattamento o di un'azione incompatibili con la presente direttiva. 
Come richiesto dal Parlamento nel suo parere (emendamento n. 73) viene 
introdotta la nozione di trattamento "illecito" all'origine della 
responsabilità. Inoltre la nozione di "trattamento" è sostituita a 
quella di "archivio". Questa nuova formulazione consente di riprendere 
il contenuto del paragrafo 2 dell'articolo secondo quanto suggerito dal 
Parlamento. Infatti utilizzando il concetto di trattamento la proposta 
modificata comprende, come auspicato dal Parlamento, la registrazione 
propriamente detta dei dati personali come fonte possibile di 
responsab i I i tà. 
Per contro la Commissione mantiene la facoltà per gli Stati membri di 
prevedere un esonero dalla responsabilità qualora siano state adottate 
le opportune misure di sicurezza. Il testo è stato tuttavia chiarito 
attraverso una diversa formulazione. Inoltre il parere del Parlamento 
induce la Commissione a precisare che l'esonero dalla responsabilità 
può essere totale o soltanto parziale. 
Art i co lo 24 
Trattamento per conto del responsabile del trattamento 
Questo articolo riprende l'articolo 22 della proposta iniziale e 
intende evitare che un trattamento effettuato da un terzo per conto del 
responsabile del trattamento abbia come conseguenza una minore 
protezione della persona interessata. 
Nel testo dell'articolo viene utilizzata l'espressione "incaricato del 
trattamento" introdotta nell'elenco delle definizioni secondo il parere 
del Parlamento. Il paragrafo 2 sottolinea, come richiesto dal 
- 36 -
Parlamento, che tale incaricato può agire esclusivamente entro i limiti 
del contratto concluso con il responsabile. Si propone di mantenere 
l'esplicito riferimento agli obblighi derivanti dalle disposizioni 
nazionali prese in applicazione della direttiva che incombono anche 
all'incaricato del trattamento. 
Art icolo 25 
Sanz ion i 
Le modifiche introdotte nella proposta intendono tener conto del parere 
del Parlamento (emendamento n. 77) e pongono l'accento sulle persone 
passibili di sanzioni. Si tratta in linea generale di chiunque non 
rispetti le disposizioni nazionali adottate in applicazione della 
presente direttiva e in particolare, come sottolineato dal Parlamento 
nel suo parere, delle autorità e organismi di diritto pubblico. 
CAPO IV 
TRASFERIMENTO DI DATI PERSONALI VERSO PAESI TERZI 
Art icolo 26 
Pr i ne i p i 
Questo articolo, che riprende l'articolo 24 della proposta iniziale, 
sancisce il principio secondo il quale il trasferimento di dati 
personali da uno Stato membro verso un paese terzo può aver luogo 
soltanto a condizione che quest'ultimo garantisca un livello di 
protezione adeguato. In mancanza di tale disposizione è evidente che lo 
sforzo effettuato nella Comunità per assicurare alle persone un livello 
elevato di protezione rischierebbe di essere annullato da trasferimenti 
verso paesi terzi che non garantiscono una protezione sufficiente. 
Inoltre la libera circolazione dei dati tra gli Stati membri che la 
presente proposta di direttiva intende instaurare, presuppone che 
vengano adottate norme comuni per quanto riguarda i trasferimenti verso 
i paes i terz i . 
Le consultazioni con gli ambienti interessati hanno messo in evidenza 
che in alcuni casi risultano necessarie deroghe al principio 
summenzionato. Per tale motivo, alla luce del parere del Parlamento, la 
Commissione è stata indotta a riconsiderare la proposta iniziale. Si 
propone quindi che il divieto di trasferimento verso paesi terzi che 
non garantiscono un livello di protezione adeguato sia accompagnato da 
deroghe compatibili con la protezione delle persone. Secondo la 
proposta modificata, il trasferimento verso un paese terzo che non 
garantisce un livello di protezione adeguato può essere effettuato se 
la persona interessata ha dato il proprio consenso al trasferimento 
previsto nel quadro di rapporti precontrattuali oppure se il 
trasferimento è necessario per l'esecuzione di un contratto tra la 
persona interessata ed il responsabile del trattamento. In questi casi 
la persona interessata è informata del trasferimento o della 
possibilità di trasferimento verso uno o più paesi terzi che non 
garantiscono un livello di protezione adeguato e può pertanto decidere 
se essa intende o meno assumere il rischio di tale trasferimento. Tali 
- 37 -
deroghe risultano in particolare utili per i trasferimenti di dati 
correlati ad operazioni svolte dalle banche o da altri enti creditizi. 
Inoltre un trasferimento verso un paese terzo che non garantisce un 
livello di protezione adeguato può essere giustificato qualora risulti 
necessario alla salvaguardia di un interesse pubblico importante oppure 
dell'interesse vitale della persona interessata. Tali deroghe intendono 
consentire la cooperazione internazionale (per esempio nella lotta 
contro il riciclaggio dei capitali o nel quadro della sorveglianza 
delle istituzioni finanziarie) oppure rendere possibile il 
trasferimento di dati medici in circostanze in cui la persona 
interessata non potrebbe manifestare la propria volontà. 
Il paragrafo 2 precisa quali sono gli elementi da prendere in 
considerazione per la valutazione dell'adeguatezza. Si tratta di tutte 
le circostanze che influiscono su un trasferimento o su una categoria 
di trasferimenti come la natura dei dati, la finalità dei trattamenti, 
le disposizioni legislative del paese in questione. A tale proposito è 
opportuno esaminare le disposizioni legislative generali e settoriali, 
la loro effettiva applicazione nonché le discipline deontologiche 
contenute nei codici di condotta. Come auspicato dal Parlamento nel suo 
parere (emendamento n. 79) il nuovo paragrafo 2 sottolinea che 
l'adeguatezza del livello di protezione deve essere valutata in 
funzione di un trasferimento di dati o di una categoria di 
trasfer iment i d i dat i . 
Il paragrafo 3, che riprende il paragrafo 2 dell'articolo 24 della 
proposta iniziale, è stato modificato conformemente al parere del 
Parlamento (emendamento n. 79), nel quale si sottolinea che gli Stati 
membri procedono alla valutazione dell'adeguatezza del livello di 
protezione e decidono di conseguenza di vietare eventualmente il 
trasferimento. Essi informano la Commissione dei casi in cui interviene 
un divieto. 
Come richiesto dal Parlamento nel suo parere (emendamento n. 80) la 
proposta modificata prevede al paragrafo 4 dell'articolo, 
corrispondente al precedente paragrafo 3, che il gruppo di cui 
all'articolo 32 deve essere consultato dalla Commissione per ottenerne 
il parere prima di avviare negoziati con un paese terzo. 
Art icolo 27 
Misure part icolar i 
L'articolo 27 riprende, con alcune modifiche, il concetto espresso 
dall'articolo 25 della proposta iniziale. Secondo il nuovo testo uno 
Stato membro può autorizzare un trasferimento o una categoria di 
trasferimenti di dati personali verso un paese terzo che non garantisce 
un livello di protezione adeguato qualora il responsabile del 
trattamento dimostri l'esistenza di sufficienti garanzie atte a 
consentire l'esercizio effettivo dei diritti delle persone interessate 
e qualora gli altri Stati membri o la Commissione non si oppongano alla 
misura prevista sulla base della procedura definita in tale articolo. 
In caso di opposizione, la Commissione può adottare le misure 
appropriate, in particolare decidere di vietare il trasferimento, 
- 38 -
subordinare il trasferimento a condizioni complementari o avviare 
trattative con il responsabile del trattamento per il quale viene 
effettuato il trasferimento al fine di trovare soluzioni valide per 
I 'i ntera Comun ita. 
CAPO V 
CODICI DI CONDOTTA 
I codici di condotta per i quali viene ripresa nella proposta 
modificata la denominazione generalmente utilizzata in altri settori, 
erano oggetto dell'articolo 20 della proposta iniziale. Tale 
disposizione intendeva favorire esclusivamente l'elaborazione di codici 
comunitari. La proposta modificata contiene due articoli dedicati 
rispettivamente ai codici nazionali e ai codici comunitari. 
Art icolo 28 
Cod i c i naz ionaI i 
L'esperienza fatta da alcuni Stati membri in materia induce la 
Commissione ad inserire nella proposta modificata una disposizione 
destinata a favorire l'elaborazione di codici di condotta a livello 
nazionale. I codici possono essere un elemento favorevole in termini di 
accettazione della legislazione applicabile in quanto gli ambienti 
professionali sono chiamati a partecipare direttamente all'attuazione 
della legislazione. Contemporaneamente possono consentire di evitare un 
intervento legislativo troppo particolareggiato qualora le soluzioni 
contenute siano soddisfacenti. 
Esiste una notevole varietà di codici in funzione del loro contenuto, 
del settore professionale da cui sono stati elaborati ecc. che 
soddisfano comunque le caratteristiche seguenti: 
l'iniziativa spetta al settore professionale e l'elaborazione, come 
già indicato, avviene sotto la esclusiva responsabilità di tale 
settore indipendentemente dagli incoraggiamenti che possono 
pervenire dalle autorità pubbliche a tale proposito; 
i codici si limitano ad attuare o a chiarire la legislazione 
applicabile senza potervi derogare; 
il loro effetto non è vincolante nei confronti di terzi o nei 
confronti di giurisdizioni che possono sempre far prevalere la 
legislazione che sono tenute ad applicare. 
Evidentemente, come è dimostrato dalla legislazione di alcuni Stati 
membri può succedere che l'autorità pubblica, in particolare il 
legislatore, si faccia carico dei codici elaborati dai settori 
professionali per dare loro una forza vincolante di natura legislativa. 
Al fine di dare ai codici una certa autorità senza modificarne comunque 
le caratteristiche, la Commissione propone, ispirandosi al parere 
- 39 -
espresso dal Parlamento per i codici comunitari (emendamento n. 72) che 
l'elaborazione dei codici sia sottoposta al parere dell'autorità 
nazionale competente. 
Si propone pertanto di affidare all'autorità di controllo il compito di 
verificare la fondatezza dei codici e la rappresentatività degli 
organismi professionali che li hanno redatti, di provvedere alla 
pubblicazione dei codici e di raccogliere le osservazioni delle persone 
interessate o dei loro rappresentanti nonché di formulare un parere che 
deve beneficiare di una pubblicità analoga a quella del codice. 
Art ico lo 29 
Codici comunitari 
La proposta modificata s'ispira al parere del Parlamento (emendamento 
n. 72) e alle disposizioni dell'articolo 28 precisando che i poteri 
conferiti all'autorità di controllo per i codici nazionali vengono 
attribuiti in quiesto caso al gruppo di cui all'articolo 31. Al fine di 
garantire l'informazione del pubblico spetta alla Commissione la 
decisione di pubblicare nella Gazzetta ufficiale delle Comunità europee 
i codici corredati del parere del gruppo in questione. 
CAPO VI 
AUTORITÀ DI CONTROLLO E GRUPPO PER LA PROTEZIONE DELLE PERSONE 
NEI CONFRONTI DEL TRATTAMENTO DEI DATI PERSONALI 
Art icolo 30 
L'autorità di controllo 
Questo articolo che riprende l'articolo 26 della proposta iniziale 
prevede l'istituzione di un'autorità di controllo la cui caratteristica 
essenziale è costituita dalla sua indipendenza. 
La Commissione riprende nella proposta modificata il parere del 
Parlamento (emendamenti nn. 84, 85, 86 e 87). 
a) Designazione delle autorità di contrgllQ: si precisa al paragrafo 1 
che gli Stati membri hanno la facoltà di designare una o più 
autorità di controllo indipendenti. Tale precisazione risulta 
indispensabile per gli Stati membri a struttura federativa come la 
Repubblica federale di Germania. 
b) Potere delle autorità di controllo: oltre ai poteri conferiti alle 
autorità di controllo dalle disposizioni riprese in precedenza, in 
particolare di responsabili della procedura di notifica, si propone 
di dotare tali autorità di poteri investigativi e poteri 
d'intervento nei confronti dei responsabili dei trattamenti sotto 
il controllo delle autorità giudiziarie. 
I poteri investigativi devono consentire all'autorità di controllo di 
raccogliere presso i responsabili dei trattamenti le informazioni 
necessarie per lo svolgimento del proprio compito. I poteri riguardano 
- 40 -
in particolare l'accesso ai dati che sono oggetto di trattamento. Per 
rispettare i diritti delle persone sottoposte al controllo 
dell'autorità, è evidente che tali poteri devono essere esercitati nel 
pieno rispetto delle condizioni di riservatezza relative ai dati in 
causa a norma del diritto interno. A tal fine è introdotta una 
disposizione specifica al paragrafo 6. 
Affinché l'autorità di controllo possa svolgere il proprio compito 
risulta essenziale che essa disponga inoltre di poteri effettivi 
d'intervento come quelli elencati dal Parlamento nel suo parere e 
ripresi nella proposta modificata: potere di ordinare il congelamento o 
la cancellazione dei dati, il divieto di trattamento ecc. 
Per contro non risulta necessario precisare nel testo della direttiva 
la natura giuridica di tali misure che il Parlamento qualifica come 
sanzioni nel suo parere. 
Si propone infine che l'autorità di controllo abbia il potere di adire 
l'autorità giudiziaria qualora constati una violazione delle 
disposizioni nazionali di applicazione della presente direttiva. Tale 
potere è generalmente riconosciuto dalle vigenti legislazioni nazionali 
e deriva logicamente, da un lato, dal potere investigativo in quanto 
sarebbe anormale che un'autorità incaricata della protezione delle 
persone non adisse l'autorità giudiziaria qualora fosse indotta a 
constatare una violazione del diritto di protezione delle persone, 
dall'altro dal diritto di chiunque di presentare una denuncia 
all'autorità di controllo. La conseguenza della presentazione di tale 
denuncia può infatti essere il ricorso all'autorità giudiziaria. 
c) Presentazione di relazioni annuali: è molto importante che 
l'autorità di controllo possa presentare periodicamente una 
relazione sulla propria attività sottolineando eventualmente le 
difficoltà incontrate nell'attuazione delle disposizioni 
legislative ed indicando quindi i nuovi orientamenti da seguire. 
Art icolo 31 
Gruppo per la protezione delle persone nei confronti del trattamento 
de i dat i persona I i 
Questo articolo che riprende l'articolo 27 della proposta iniziale 
istituisce un gruppo di tipo consultivo. 
a) Denominazione del gruppo 
Si propone di armonizzare la denominazione del gruppo sulla base della 
formulazione dell'articolo 1, paragrafo 1. 
b) Composizione e presidenza del gruppo 
Le modifiche richieste dal Parlamento (emendamenti n. 88 e 128) 
riguardano in particolare la composizione e la presidenza del gruppo. 
Al fine di garantire l'indipendenza di quest'ultimo la cui necessità è 
stata sottolineata nella relazione contenuta nella proposta iniziale, 
- 41 -
la Commissione accetta le soluzioni proposte nel parere del Parlamento 
in merito alla presidenza del gruppo ma non quelle relative alla sua 
compos i z ione : 
presidenza del gruppo: la Commissione propone che il gruppo elegga 
un presidente per un mandato rinnovabile di due anni. Tale periodo 
sembra sufficientemente lungo per garantire una certa stabilità 
nell'ambito del gruppo; 
composizione del gruppo: la Commissione mantiene la proposta 
iniziale volta a limitare la composizione del gruppo ai 
rappresentanti delle autorità nazionali di controllo citate nelle 
disposizioni precedenti. Qualora alcuni Stati membri si avvalessero 
della loro facoltà di designare più autorità di controllo si 
propone, per motivi di equità, che le autorità degli Stati membri 
in causa procedano alla nomina, nell'ambito del gruppo comunitario, 
di un rappresentante comune. In mancanza di tale disposizione 
l'esercizio della facoltà prevista agli articoli precedenti 
potrebbe in ultima analisi creare un certo squilibrio tra le 
rappresentanze all'interno del gruppo. 
La Commissione chiede di essere rappresentata nell'ambito del gruppo e 
auspica che i propri servizi provvedano ai lavori di segreteria. 
Art icolo 32 
Compiti del gruppo per la protezione delle persone nei confronti 
del trattamento dei dati personali 
Questo articolo definisce i compiti del gruppo. Si propone di 
conservare al gruppo il suo carattere consultivo come previsto dalla 
proposta iniziale. Il gruppo deve consigliare la Commissione 
soprattutto al momento dell'esercizio del potere regolamentare o della 
presentazione di nuove proposte. Deve contribuire all'interpretazione 
omogenea delle disposizioni prese in applicazione della direttiva 
nonché all'elaborazione di una politica comune in materia di flussi 
transfrontalieri con i paesi terzi. La Commissione presenta al gruppo 
qualsiasi misura prevista in tali settori al fine di ottenerne il 
parere. 
Il gruppo svolge i propri compiti formulando pareri e raccomandazioni 
da trasmettere alla Commissione ed eventualmente al Comitato 
consultivo. Su questo punto la proposta modificata riprende in parte il 
parere del Parlamento (emendamenti n. 90, 91 e 92). 
La Commissione informa il gruppo del seguito da essa dato al suo parere 
attraverso la pubblicazione di relazioni da inoltrare al Parlamento. Il 
gruppo redige una relazione annuale sullo stato della protezione nella 
Comunità e nei paesi terzi. Questa relazione, trasmessa alla 
Commissione e al Parlamento, è oggetto di pubblicazione. 
La Commissione condivide la volontà del Parlamento (espressa 
nell'emendamento 89) di dotare il segretariato del gruppo dei mezzi 
necessari per consentirgli di svolgere i compiti fissati dalla 
- 42 -
direttiva. La Commissione controllerà, soprattutto nel quadro della 
procedura di bilancio, che il gruppo disponga di tali mezzi. Tuttavia 
non sembra utile introdurre una disposizione a tal fine nella proposta 
mod i f i cata. 
CAPO VI I 
POTERE REGOLAMENTARE DELLA COMMISSIONE 
Art icoI i 33 e 34 
Esercizio del potere regolamentare e comitato consultivo 
La Commissione mantiene la sua proposta iniziale. Saranno necessarie 
modalità tecniche di applicazione della direttiva a causa della portata 
e del carattere tecnico del settore del trattamento dei dati personali. 
DISPOSIZIONI FINALI 
Art icoIi 35. 36 e 37 
La proposta modificata prevede all'articolo 35 paragrafo 2 una 
disposizione transitoria volta a consentire, come suggerito dal 
Parlamento nel suo parere in materia di notifica (emendamento n. 37), 
un'entrata in vigore progressiva delle disposizioni prese in 
applicazione della direttiva nei confronti dei trattamenti realizzati 
prima della data di entrata in vigore di tali disposizioni. Un termine 
di tre anni risulta adeguato a tale scopo. 
Come auspicato dal Parlamento (emendamento 95) si propone all'articolo 
36 che la relazione periodica sull'applicazione della direttiva, 
presentata dalla Commissione al Parlamento e al Consiglio, sia oggetto 
d i pubbI i caz ione. 
- 43 -
PROPOSTA DI DIRETTIVA DEL CONSIGLIO 
CONCERNENTE LA PROTEZIONE DELLE 
PERSONE RELATIVAMENTE AL TRATTAMENTO 
DEI DATI PERSONALI PROPOSTA MODIFICATA DI DIRETTIVA DEL 
CONSIGLIO RELATIVA ALLA TUTELA DELLE 
PERSONE FISICHE CON RIGUARDO AL 
TRATTAMENTO DE I DAT I PERSONAL I, NONCHÉ 
ALLA LIBERA CIRCOLAZIONE DI TALI DATI 
IL CONSIGLIO DELLE COMUNITÀ EUROPEE, 
visto il trattato che istituisce la 
Comunità economica europea, in 
particolare l'articolo 100 A e 
l'arti co lo 113, 
vista la proposta della Commissione, 
in cooperazione con il Parlamento 
europeo, 
visto il parere del Comitato 
economico e sociale, IL CONSIGLIO DELLE COMUNITÀ EUROPEE, 
visto il trattato che istituisce la 
Comunità economica europea, in 
particolare l'articolo 100 A e 
I 'art icolo 113, 
vista la proposta della 
Commissione , 
in cooperazione con il Parlamento 
europeo , 
visto il parere del Comitato 
economico e sociale^) , 
(1) GU C 277 del 5.11.1990, pag. 3 e 
GU C ... 
(2) GU C ... e GU C . . . 
(3) GU C 159 del 17.6.1991, pag. 38. 
_ 44 -
(1) considerando che gli obiettivi 
della Comunità, enunciati nel trattato 
quale modificato dall'Atto unico 
europeo, mirano a realizzare un'unione 
sempre più stretta tra i popoli 
europei, a istituire relazioni più 
strette tra gli Stati che la Comunità 
riunisce, ad assicurare mediante 
un'azione comune il progresso 
economico e sociale eliminando le 
barriere che dividono l'Europa, a 
promuovere il miglioramento costante 
delle condizioni di vita, a rafforzare 
le difese della pace e della libertà e 
a promuovere insieme la democrazia 
basandosi sui diritti fondamentali 
sanciti dalle costituzioni e dalle 
leggi degli Stati membri e dalla 
convenzione per la salvaguardia dei 
diritti dell'uomo e delle libertà 
fondamenta Ii ; (1) considerando che gli obiettivi 
della Comunità, enunciati nel trattato 
quale modificato dall'Atto unico 
europeo, consistono nel realizzare 
un'unione sempre più stretta tra i 
popoli europei, a istituire relazioni 
più strette tra gli Stati che la 
Comunità riunisce, ad assicurare 
mediante un'azione comune il progresso 
economico e sociale eliminando le 
barriere che dividono l'Europa, a 
promuovere il miglioramento costante 
delle condizioni di vita, a rafforzare 
le difese della pace e della libertà e 
a promuovere la democrazia basandosi 
sui diritti fondamentali sanciti dalle 
costituzioni e dalle leggi degli Stati 
membri nonché dalla convenzione 
europea per la salvaguardia dei 
diritti dell'uomo e delle libertà 
fondamenta Ii; 
(2) considerando che i sistemi di 
trattamento dei dati sono al servizio 
dell'uomo; che essi debbono rispettare 
le libertà e i diritti fondamentali 
delle persone fisiche, in particolare 
la vita privata, e debbono contribuire 
al progresso economico e sociale, allo 
sviluppo degli scambi nonché al 
benessere degli Ind i v i du i; 
- 45 -
(2) considerando che la realizzazione 
e il funzionamento del mercato 
interno, nel quale, conformemente 
all'articolo 8 A del trattato CEE, è 
assicurata la libera circolazione 
delle merci, delle persone, dei 
servizi e del capitali, esigono non 
solo che i dati personali possano 
circolare, qualunque sia lo Stato 
membro in cui sono stati trattati o 
richiesti, ma anche che siano 
salvaguardati i diritti fondamentali, 
tenuto conto del ricorso sempre più 
frequente nella Comunità al 
trattamento di dati personali nei vari 
settori delle attività economiche e 
soc i a Ii; (3) considerando che l'instaurazione e 
il funzionamento del mercato interno, 
nel quale, conformemente 
all'articolo 8 A del trattato CEE, è 
assicurata la libera circolazione 
delle merci, delle persone, dei 
servizi e dei capitali, esigono non 
solo che i dati personali possano 
circolare da uno Stato membro 
all'altro, ma che siano altresì 
salvaguardati i diritti fondamentali 
del la persona; 
(4) considerando che nella Comunità si 
ricorre sempre più frequentemente al 
trattamento di dati personali nei vari 
settori delle attività economiche e 
sociali; che i progressi registrati 
dalle tecnologie dell'informazione 
facilitano notevolmente il trattamento 
e lo scambio di tali dati; 
- 46 -
(3) considerando che il mercato 
interno comporta uno spazio senza 
frontiere; che, pertanto, le 
ammministrazioni nazionali del vari 
Stati membri, in applicazione del 
diritto comunitario, debbono sempre 
più spesso ricorrere alla reciproca 
collaborazione e allo scambio di dati 
personali per poter svolgere la loro 
funzione o esercitare compiti per 
conto di un'amministrazione di un 
aItro Stato membro; (5) considerando che l'integrazione 
economica e sociale derivante 
dall'instaurazione e dal funzionamento 
del mercato interno ai sensi 
dell'articolo 8A del trattato 
comporterà necessariamente un 
sensibile aumento dei flussi 
transfrontalieri di dati personali tra 
tutti i soggetti della vita economica 
e sociale degli Stati membri, siano 
essi privati o pubblici; che lo 
scambio di dati personali tra imprese 
stabilite in Stati membri differenti è 
destinato ad aumentare; che le 
ammministrazioni nazionali dei vari 
Stati membri debbono collaborare, in 
applicazione del diritto comunitario, 
e 
scambiarsi i dati personali per poter 
svolgere la loro funzione o esercitare 
comp i t i per conto d i 
un'amministrazione di un altro Stato 
membro, nell'ambito dello spazio senza 
frontiere costituito dal mercato 
interno; 
(4) considerando che il rafforzamento 
della cooperazlone scientifica e 
tecnica e l'istituzione coordinata di 
nuove reti di telecomunicazioni nella 
Comunità richiedono e facilitano la 
circolazione transfrontaliera di dati 
persona I i ; (6) considerando inoltre che il 
rafforzamento della cooperazione 
scientifica e tecnica e la 
realizzazione coordinata di nuove reti 
di telecomunicazioni nella Comunità 
richiedono e facilitano la 
circolazione transfrontaliera di dati 
personali; 
- 47 -
(5) considerando che il divario nei 
livelli di protezione della vita 
privata garantiti negli Stati membri 
relativamente al trattamento di dati 
personali può impedire la trasmissione 
dei dati stessi dal territorio di uno 
Stato membro a quello di un altro, e 
può pertanto costituire un ostacolo 
all'esercizio di una serie di attività 
economiche su scala comunitaria, 
falsare la concorrenza e ostacolare, 
nell'adempimento dei loro compiti, le 
amministrazioni che intervengono 
nell'applicazione del diritto 
comunitario; che detto divario nei 
livelli di protezione deriva dalla 
disparità delle disposizioni 
legislative, regolamentari ed 
amministrative nazionali; (7) considerando che il divario nei 
livelli di tutela dei diritti e delle 
libertà delle persone, in particolare 
della vita privata, garantiti negli 
Stati membri relativamente al 
trattamento di dati personali può 
impedire la trasmissione dei dati 
stessi fra territori degli Stati 
membri e che tale divario può pertanto 
costituire un ostacolo all'esercizio 
di una serie di attività economiche su 
scala comunitaria, falsare la 
concorrenza e ostacolare, 
nell'adempimento dei loro compiti, le 
amministrazioni che intervengono 
nell'applicazione del diritto 
comunitario; che detto divario nel 
grado di tutela deriva dalla diversità 
delle disposizioni legislative, 
regolamentari ed amministrative 
naz ionaIi; 
- 48 -
(6) considerando che per eliminare gli 
ostacoli alla circolazione dei dati 
personali il livello di protezione 
della vita privata relativamente al 
trattamento di tali dati deve essere 
equivalente in tutti gli Stati membri; 
che, a tal fine, é necessario un 
ravvicinamento delle legislazioni 
applicabili in materia; (8) considerando che, per eliminare 
gli ostacoli alla circolazione dei 
dati personali, il livello di tutela 
dei diritti e delle libertà delle 
persone relativamente al trattamento 
di tali dati deve essere equivalente 
in tutti gli Stati membri; che tale 
obiettivo, fondamentale per il mercato 
interno, non può essere conseguito 
esclusivamente attraverso l'azione 
degli Stati membri, tenuto conto in 
particolare dell'ampia divergenza 
esistente attualmente tra le normative 
nazionali in materia e della necessità 
di coordinarle affinché il flusso 
transfrontaIiero di dati personali sia 
disciplinato in maniera coerente e 
conforme all'obiettivo del mercato 
interno ai sensi dell'art. 8A del 
Trattato; che risulta pertanto 
necessario un intervento della 
Comunità ai fini di un ravvicinamento 
del le legislazioni ; 
49 -
(7) considerando che le legislazioni 
nazionali relative al trattamento dei 
dati personali hanno per oggetto di 
garantire il rispetto dei diritti 
fondamentali, in particolare il 
diritto alla vita privata, 
riconosciuto anche dall'articolo 8 
della convenzione per la salvaguardia 
dei diritti dell'uomo e delle libertà 
fondamentali e dai principi generali 
del diritto comunitario; che pertanto 
il ravvicinamento di dette 
legislazioni non deve avere per 
effetto un indebolimento della 
protezione da esse assicurata, ma deve 
anzi mirare a garantire un elevato 
livello di protezione nel la Comunità; 
(22) considerando che i principi 
fissati dalla presente direttiva 
precisano ed ampliano quelli enunciati 
dalla convenzione del 28 gennaio 1981 
del Consiglio d'Europa per la 
protezione delle persone nei riguardi 
del trattamento di dati personali; (9) considerando che le legislazioni 
nazionali relative al trattamento dei 
dati personali hanno lo scopo di 
garantire il rispetto dei diritti e 
delle libertà fondamentali, in 
particolare del diritto alla vita 
privata, riconosciuto anche 
dall'articolo 8 della convenzione 
europea per la salvaguardia dei 
diritti dell'uomo e delle libertà 
fondamentali e dai principi generali 
del diritto comunitario; che pertanto 
il ravvicinamento di dette 
legislazioni non deve avere per 
effetto un indebolimento della tutela 
da esse assicurata ma deve anzi mirare 
a garantire un elevato grado di tutela 
nel la Comunità; 
(10) considerando che i principi 
relativi alla tutela dei diritti e 
delle libertà delle persone, in 
particolare del rispetto della vita 
privata, stabiliti dalla presente 
direttiva concretizzano ed ampliano 
quelli enunciati dalla convenzione del 
28 gennaio 1981 del Consiglio d'Europa 
per la protezione delle persone nei 
riguardi del trattamento di dati 
persona Ii; 
- 50 -
(9) considerando che i principi 
relativi alla protezione si devono 
applicare a tutti gli archivi quando 
le attività del responsabile 
dell'archivio rientrano nel campo 
d'applicazione del diritto 
comunitario; che gli archivi del 
settore pubblico che non rientrano nel 
campo d'applicazione del diritto 
comunitario dovrebbero essere soggetti 
agli stessi principi della protezione 
ripresi nelle legislazioni nazionali, 
come prevede la risoluzione dei 
rappresentanti dei governi degli Stati 
membri delle Comunità europee riuniti 
in sede di Consiglio il ; che, 
tuttavia, devono essere esclusi gli 
archivi riguardanti esclusivamente 
l'esercizio del diritto alla vita 
privata di una persona fisica, come ad 
esempio gli archivi personali 
d ' i nd i r i zz i; (11) considerando che i principi di 
tutela si devono applicare a tutti i 
trattamenti di dati personali quando 
le attività del responsabile del 
trattamento rientrano nel campo 
d'applicazione del diritto 
comunitario; che i trattamenti 
effettuati da amministrazioni, 
organizzazioni ed enti di uno Stato 
membro per l'esercizio di attività 
esulanti dal campo d'applicazione del 
diritto comunitario dovrebbero essere 
soggetti agli stessi principi di 
tutela sanciti dai diritti nazionali, 
come prevede la risoluzione dei 
rappresentanti dei governi degli Stati 
membri delle Comunità europee riuniti 
in sede di Consiglio il ; che 
devono essere esclusi i trattamenti 
effettuati da una persona fisica a 
fini esclusivamente privati, come 
quelli relativi alla corrispondenza e 
alla compilazione di indirizzari; 
- 51 -
(10) considerando che è necessario che 
il trattamento di dati personali nella 
Comunità rispetti la legislazione 
dello Stato membro nel quale si trova 
l'archivio, onde evitare che una 
persona venga privata della protezione 
che deve esserle garantita a norma 
della presente direttiva; che, a 
questo proposito, tutte le parti di un 
archivio suddiviso tra più Stati 
membri devono essere considerate come 
un archivio unico a tutti gli effetti; 
che la localizzazione in un paese 
terzo non deve impedire tale 
protez ione ; (12) considerando che è necessario, 
onde evitare che una persona venga 
privata della tutela cui ha diritto in 
forza delia presente direttiva, è 
necessario che qualsiasi trattamento 
di dati personali effettuato nella 
Comunità rispetti la legislazione di 
uno degli Stati membri; che, a questo 
proposito, è opportuno assoggettare il 
trattamento effettuato da una persona 
stabilita in uno Stato membro alla 
legge di tale Stato; che la tutela 
delle persone prevista dalla presente 
direttiva non deve essere impedita dal 
fatto che il responsabile del 
trattamento sia stabilito in un paese 
terzo; che, in tal caso, è opportuno 
che il trattamento effettuato sia 
disciplinato dalla legge dello Stato 
membro nel quale si trovano i mezzi 
utilizzati per il trattamento in 
oggetto e che esistano le garanzie 
necessarie per consentire l'effettivo 
rispetto dei diritti e degli obblighi 
previsti dalla presente direttiva; 
- 52 -
(12) considerando che le legislazioni 
nazionali hanno la possibilità di 
precisare, nelle condizioni stabilite 
dalla direttiva, le norme relative 
alla legittimità del trattamento; che, 
tuttavia, tale possibilità non può 
giustificare il controllo da parte di 
uno Stato membro diverso dallo Stato 
in cui si trova l'archivio, poiché 
l'obbligo incombente a quest'ultimo di 
garantire, conformemente alla presente 
direttiva, la protezione della vita 
privata relativamente al trattamento 
di dati personali è sufficiente, sotto 
il profilo del diritto comunitario, 
per consentire la libera circolazione 
de i dat i ; (13) considerando che gli Stati membri 
possono precisare nella loro 
legislazione o in sede di applicazione 
delle norme di attuazione della 
presente direttiva, i requisiti 
generali di liceità del trattamento; 
che tuttavia tali precisazioni non 
possono servire da fondamento per il 
controllo da parte di uno Stato membro 
diverso da quello in cui risiede il 
responsabile del trattamento, in 
quanto l'obbligo di quest'ultimo Stato 
membro di garantire, conformemente 
alla presente direttiva, la tutela dei 
diritti e delle libertà con riguardo 
al trattamento dei dati personali è 
sufficiente, in forza del diritto 
comunitario, per consentire la libera 
circolazione dei dat i; 
(14) considerando che i principi di 
tutela si esprimono, da un lato, nei 
vari obblighi a carico delle persone, 
autorità pubbliche, imprese o 
organismi che eseguono il 
trattamento, obblighi relativi in 
particolare alla qualità dei dati, 
alla sicurezza tecnica, alla 
notificazione all'autorità di 
controllo, ai presupposti dei 
trattamenti, tra cui il consenso della 
persona Interessata, e, dall'altro, 
nel diritto delle persone, i cui dati 
sono oggetto di trattamento, di 
esserne informate, di poter accedere 
ai dati, di chiederne la rettifica, o 
di opporsi al trattamento; 
- 53 -
(15) considerando che qualsivoglia 
trattamento di dati personali deve 
essere eseguito lealmente e 
lecitamente nei confronti delle 
persone interessate; che esso deve in 
particolare avere per oggetto dati 
pertinenti e non sovrabbondanti 
rispetto alle finalità perseguite; che 
tali finalità devono essere esplicite 
e Ieg111 i me ; 
(11) considerando che il trattamento 
di dati personali deve essere 
legittimo; che la sua legittimità deve 
basarsi sul consenso della persona 
interessata, sul diritto comunitario o 
su II e Ieg i s Iaz i on i naz i onaIi; (16) considerando che il trattamento 
di dati personali è lecito soltanto se 
è basato sul consenso della persona 
interessata oppure sulla conclusione o 
sull'esecuzione di un contratto 
vincolante per la persona interessata, 
sul diritto comunitario o sul diritto 
nazionale, sull'interesse generale o 
su un interesse particolare a 
condizione che la persona interessata 
non abbia motivi legittimi di 
opporvisi; considerando inoltre che, 
per garantire un equilibrio degli 
interessi in causa, pur assicurando 
una concorrenza effettiva, gli Stati 
membri possono precisare le condizioni 
alle quali può essere effettuata la 
comunicazione a terzi di dati 
personali a fini di prospezione 
commerciale o di prospezione promossa 
da un'associazione a scopo benefico o 
da altre associazioni o fondazioni, in 
particolare a carattere politico nel 
rispetto delle disposizioni 
- 54 -
(16) considerando che ai fini di un 
eventuale trattamento i dati devono 
rispondere a determinati requisiti; 
che il trattamento di dati di per sé 
suscettibili di nuocere al diritto 
alla vita privata deve essere vietato 
salvo consenso esplicito della persona 
interessata; che tuttavia, per motivi 
importanti d'interesse pubblico, in 
particolare per le professioni 
mediche, possono essere previste 
deroghe in base ad una legge che 
fissi esattamente e rigorosamente le 
condizioni e i limiti del trattamento 
di tale t ipo di dat i ; volte a consentire alla persone 
interessate di opporsi senza 
motivazione e senza spese alla 
comunicazione dei dati che le 
r iguardano; 
(17) considerando inoltre che i dati 
che possono per loro natura ledere le 
libertà fondamentali o la vita privata 
non debbono essere oggetto di 
trattamento salvo consenso scritto 
della persona interessata; che 
tuttavia il trattamento di tali dati 
deve essere autorizzato qualora sia 
effettuato da un'associazione il cui 
scopo consista nel favorire 
l'esercizio di tali libertà; che 
inoltre, per motivi di rilevante 
interesse pubblico, in particolare per 
le professioni mediche, possono essere 
previste deroghe in base a 
disposizioni legislative o ad 
autorizzazioni dell'autorità di 
controllo che stabiliscano i limiti e 
le garanzie adeguate per il 
trattamento di questi tipi di dati; 
- 55 -
(18) considerando che nel settore dei 
media gli Stati membri possono 
derogare alle disposizioni della 
presente direttiva al fine di 
conciliare il diritto alla vita 
privata con la libertà d'informazione 
e il diritto di ricevere o di 
comunicare informazioni, quale 
garantito dall'articolo 10 della 
convenzione per la salvaguardia dei 
diritti dell'uomo e delle libertà 
fondamenta I i; 
(14) considerando che, ai fini della 
validità del suo consenso, la persona 
interessata deve disporre di 
un'informazione effettiva e completa, 
e che tale informazione deve altresì 
esserle fornita quando i dati che la 
riguardano le sono richiesti in prima 
persona ; (18) considerando che il trattamento 
di dati personali a fini di 
giornalismo o di editoria deve 
beneficiare di deroghe alle 
disposizioni della presente direttiva 
al fine di conciliare i diritti 
fondamentali della persona con la 
libertà di informazione ed in 
particolare la libertà di ricevere o 
di comunicare informazioni, quale 
garantita in particolare 
dall'articolo 10 della convenzione 
europea per la salvaguardia dei 
diritti dell'uomo e delle libertà 
fondamenta li; 
(19) considerando che il trattamento 
leale dei dati presuppone che le 
persone interessate possano conoscere 
resistenza del trattamento e disporre 
di un'informazione effettiva e 
completa quando i dati che le 
riguardano sono forniti direttamente 
dalle persone stesse, oppure al più 
tardi al momento della prima 
comunicazione ad un terzo di dati ad 
esse relativi, se l'informazione non è 
stata data contemporaneamente alla 
racco I ta ; 
- 56 -
(15) considerando che la persona 
interessata deve godere del diritto 
d'accesso per poter verificare la 
legittimità del trattamento dei dati 
che la riguardano e la loro qualità; (20) considerando che una persona deve 
godere del diritto d'accesso ai dati 
che la riguardano e che sono oggetto 
di trattamento, per poter verificare 
la loro esattezza e la liceità del 
trattamento; che di conseguenza una 
persona deve godere di un diritto di 
opposizione, per motivi legittimi, al 
trattamento dei dati; 
(17) considerando che la protezione 
della vita privata relativamente al 
trattamento di dati personali richiede 
l'adozione di misure di sicurezza 
adeguate a livello sia della 
progettazione che della tecnologia del 
trattamento al fine di impedire 
eventuali trattamenti non autorizzati; (21) considerando che la tutela dei 
diritti e delle libertà delle persone 
interessate relativamente al 
trattamento di dati personali richiede 
l'adozione di adeguate misure tecniche 
sia al momento della progettazione 
tecnica che al momento dell'esecuzione 
del trattamento, in particolare per 
garantirne la sicurezza ed impedire in 
tal modo qualsiasi trattamento non 
autor i zzato; 
- 57 -
(13) considerando che le procedure di 
notifica, per gli archivi del settore 
pubblico o privato, e d'informazione 
al momento della prima comunicazione, 
per gli archivi del settore privato, 
sono volte a garantire la trasparenza 
indispensabile all'esercizio del 
diritto di accesso di qualsiasi 
persona ai dati che la riguardano; (22) considerando che le procedure di 
notificazione hanno lo scopo di dare 
pubblicità alle finalità del 
trattamento ed alle sue principali 
caratteristiche per consentirne il 
controllo secondo le norme nazionali 
di attuazione della presente 
direttiva; che al fine di evitare 
formalità amministrative improprie 
debbono essere previste dagli Stati 
membri misure di esenzione 
dal l'obbligo di notificazione o di 
semplificazione di quest'ultima per i 
trattamenti che non recano pregiudizio 
ai diritti e alle libertà delle 
persone interessate, purché siano 
conformi ad un atto adottato dallo 
Stato membro che ne precisi i limiti; 
(23) considerando che il controllo a 
posteriori da parte delle autorità 
competenti deve essere ritenuto di 
norma sufficiente; che tuttavia gli 
Stati membri debbono prevedere un 
esame dell'autorità di controllo prima 
dell'esecuzione di trattamenti che 
presentano rischi particolari per i 
diritti e le libertà delle persone 
interessate, a causa della loro 
natura, della loro portata o delle 
loro finalità, come quelli aventi ad 
oggetto l'esclusione delle persone 
interessate dal beneficio di un 
diritto, di una 
58 -
(20) considerando che in caso di 
inosservanza delle disposizioni della 
presente direttiva il responsabile 
dell'archivio deve essere considerato 
responsabile dei danni provocati; che, 
per assicurare una protezione 
effettiva, si devono applicare 
sanzioni dissuasive; prestazione o di un contratto; che gli 
Stati membri hanno la facoltà di 
sostituire tale esame preventivo con 
un provvedimento legislativo o una 
decisione dell'autorità di controllo 
che autorizzino il trattamento e 
precisino le opportune garanzie; 
(24) considerando che in caso di 
violazione dei diritti delle persone 
interessate da parte del responsabile 
del trattamento, le legislazioni 
nazionali devono prevedere vie di 
ricorso giurisdizionale; che i danni 
cagionati alle persone per effetto di 
un trattamento illecito devono essere 
riparati dal responsabile del 
trattamento, il quale può essere 
esonerato dalla propria responsabilità 
solo se provi di aver adottato le 
opportune misure di sicurezza; che 
sanzioni dissuasive debbono essere 
applicate nei confronti di qualsiasi 
soggetto di diritto privato o di 
diritto pubblico che non rispetti le 
norme nazionali di attuazione 
della presente direttiva; 
- 59 -
(21) considerando che il trasferimento 
di dati personali deve poter aver 
luogo anche nel caso di paesi terzi 
aventi un livello di protezione 
adeguato; che, in assenza di tale 
protezione, la presente direttiva 
prevede, in particolare, l'avvio di 
negoziati con detti paesi; (25) considerando che lo sviluppo 
degli scambi internazionali comporta 
necessariamente il trasferimento oltre 
frontiera di dati personali; che la 
tutela delle persone garantita nella 
Comunità dalla presente direttiva non 
osta al trasferimento di dati 
personali verso paesi terzi che 
garantiscano un livello di protezione 
adeguato; che l'adeguatezza della 
tutela offerta da un paese terzo deve 
essere valutata in funzione di tutte 
le circostanze relative ad un 
trasferimento o ad una categoria di 
trasfer iment i ; 
(26) considerando, per contro, che 
deve essere vietato il trasferimento 
di dati personali verso un paese terzo 
che non offre un livello di protezione 
adeguato; che devono essere previste 
deroghe a tale divieto a condizione 
che la persona interessata vi abbia 
consentito o ne sia stata informata, 
oppure qualora il trasferimento sia 
necessario per la salvaguardia 
dell'interesse pubblico; che possono 
essere adottate misure particolari per 
rimediare al livello di protezione 
insufficiente di un paese terzo, 
qualora il responsabile del 
trattamento offra le opportune 
garanzie; che inoltre debbono essere 
previste procedure di negoziato fra la 
Comunità e i paesi terzi di cui 
trattas i; 
- 60 -
(19) considerando che gli Stati membri 
devono incoraggiare l'elaborazione, da 
parte degli ambienti professionali, di 
codici di deontologia o di buona 
condotta europei concernenti taluni 
settori particolari; che la 
Commissione appoggerà le iniziative in 
materia e ne terrà conto al momento di 
valutare l'opportunità di nuove misure 
specifiche per taluni settori; (27) considerando che gli Stati membri 
possono altresì prevedere il ricorso a 
codici nazionali di condotta elaborati 
dagli ambienti professionali, 
sottoposti al parere all'autorità di 
controllo al fine di adeguare le norme 
nazionali di attuazione in 
applicazione della presente direttiva 
alle caratteristiche specifiche dei 
trattamenti effettuati in taluni 
settor i ; 
(28) considerando che gli Stati membri 
devono incoraggiare gli ambienti 
professionali a elaborare codici 
comunitari di condotta destinati a 
favorire l'attuazione della presente 
direttiva; che la Commissione 
appoggerà le iniziative in materia e 
ne terrà conto al momento di valutare 
l'opportunità di misure supplementari 
specifiche per taluni settori; 
- 61 -
(23) considerando che l'esistenza in 
ciascuno Stato membro di un'autorità 
di controllo indipendente è un 
elemento essenziale per la protezione 
delle persone nei riguardi del 
trattamento di dati personali; che a 
livello comunitario è opportuno 
istituire un Gruppo per la protezione 
dei dati personali che eserciti le sue 
funzioni in piena indipendenza e, 
tenuto conto di tale sua 
caratteristica specifica, consigli la 
Commissione e contribuisca 
all'applicazione omogenea delle norme 
nazionali adottate in applicazione 
della presente direttiva; (29) considerando che la designazione 
di un'autorità di controllo 
indipendente in ciascuno Stato membro 
è un elemento essenziale per la tutela 
delle persone con riguardo al 
trattamento di dati personali; che 
tale autorità deve disporre dei mezzi 
necessari all'adempimento di tale 
compito, siano essi poteri 
investigativi o di intervento oppure 
poteri conferiti nell'ambito delle 
procedure di notificazione; che essa 
deve contribuire alla trasparenza dei 
trattamenti effettuati nello Stato 
membro da cui dipende; che le autorità 
dei vari Stati membri sono tenute a 
collaborare nello svolgimento dei 
propr i comp iti; 
(30) considerando che, a livello 
comunitario, deve essere istituito un 
gruppo per la tutela delle persone con 
riguardo del trattamento dei dati 
personali e che esso deve esercitare 
le sue funzioni in piena indipendenza; 
che, tenuto conto di tale carattere 
specifico, esso deve consigliare la 
Commissione e contribuire in 
particolare all'applicazione omogenea 
delle norme nazionali di attuazione 
della presente direttiva; 
- 62 -
(24) considerando che l'adozione delle 
misure complementari per 
l'applicazione dei principi della 
presente direttiva richiede 
l'attribuzione alla Commissione di un 
potere regolamentare nonché 
l'istituzione di un comitato 
consultivo secondo le modalità fissate 
nella decisione 87/373/CEE del 
Consiglio del 13 luglio 1987 (D , 
(8) considerando che i principi della 
protezione della vita privata 
relativamente al trattamento di dati 
personali oggetto della presente 
direttiva potranno essere completati o 
precisati, in particolare per taluni 
settori, da norme specifiche ad essi 
conform i; (31) considerando che l'adozione delle 
misure complementari per 
l'applicazione dei principi della 
presente direttiva richiede 
l'attribuzione alla Commissione di un 
potere di regolamentazione, nonché 
l'istituzione di un comitato 
consultivo secondo le modalità fissate 
nella decisione 87/373/CEE del 
Consigi io ^ , 
(32) considerando che i principi della 
tutela dei diritti e delle libertà 
delle persone, in particolare del 
rispetto della vita privata, con 
riguardo al trattamento di dati 
personali, oggetto della presente 
direttiva, potranno essere completati 
o precisati, soprattutto per taluni 
settori, da norme specifiche ad essi 
conform i ; 
(33) considerando che è opportuno 
concedere agli Stati membri un termine 
non superiore a tre anni a decorrere 
dall'entrata in vigore delle 
disposizioni nazionali di attuazione 
della presente direttiva, per 
consentire loro di applicare 
progressivamente a tutti i trattamenti 
già realizzati dette nuove 
disposizioni nazionali; 
(1) GU L 197 del 18.7.1987, pag. 33. (1) GU L 197 del 18.7.1987, pag. 33. 
- 63 -
(34) considerando che la presente 
direttiva non deve ostare alla 
disciplina da parte di uno Stato 
membro delle attività di prospezione 
commerciale destinate ai consumatori 
residenti nel proprio territorio 
purché detta disciplina non riguardi 
la tutela delle persone con riguardo 
al trattamento dei dati personali, 
HA ADOTTATO LA PRESENTE DIRETTIVA: HA ADOTTATO LA PRESENTE DIRETTIVA: 
- 64 -
CAPO I 
DI POSIZIONI GENERALI 
Articolo 1 
Oggetto della direttiva 
1. Gli Stati membri garantiscono, 
conformemente alle disposizioni 
della presente direttiva, la 
protezione della vita privata del 
persone relativamente al 
trattamento di dati personali 
contenuti in archivi. CAPO I 
DI POSIZIONI GENERALI 
Articolo 1 
Oggetto della direttiva 
1. Gli Stati membri garantiscono, 
conformemente alle disposizioni 
della presente direttiva, la 
tutela dei diritti e delle libertà 
delle persone fisiche, e 
particolarmente del diritto alla 
vita privata, con riguardo al 
trattamento dei dati personali. 
2. Gli Stati membri non possono, per 
motivi relativi alla protezione 
garantita a norma del paragrafo 1, 
restringere o vietare la libera 
circolazione dei dati personali tra 
Stat i membr i. 2. Gli Stati membri non possono, 
restringere o vietare la libera 
circolazione dei dati personali 
tra Stati membri, per motivi 
connessi alla tutela garantita in 
forza del paragrafo 1. 
- 65 -
Ar t i co Io 2 
Def inizioni 
Ai fini della presente direttiva si 
intende per : 
a) "dati personali": qualsiasi 
informazione concernente una 
persona fisica identificata o 
identificabile ("persona 
interessata"); in particolare si 
considera identificabile la persona 
cri e può essere identificata 
mediante riferimento ad un numero 
d'identificazione o informazione 
anaIoga ; Art icolo 2 
Definizioni 
Ai fini della presente direttiva si 
i ntende per : 
a) "dati personali": qualsiasi 
informazione concernente una 
persona fisica identificata o 
identificabile ("persona 
interessata"); si considera 
identificabile la persona che può 
essere identificata, direttamente 
o indirettamente, in particolare 
mediante riferimento ad un numero 
d'identificazione o ad uno o più 
elementi specifici caratteristici 
della sua identità fisica, 
fisiologica, psichica, economica, 
cui tura le o soc i a I e ; 
Non sono considerati personali i 
dati aggregati in forma 
statistica, in modo che più 
persone interessate non siano più 
ragionevolmente identificabili. 
b) "rendere anonimi i dati": una 
modifica dei dati personali in modo 
che le informazioni ivi contenute 
non possano più essere associate ad 
una persona fisica determinata o 
determinabile soltanto mediante uno 
sforzo eccessivo in termini di 
personale, spese e tempo; 
- 66 -
d) "trattamento": le operazioni, 
effettuate con o senza l'aiuto di 
procedimenti automatizzati: 
memorizzazione, archiviazione, 
interconnessione di dati, loro 
modifica, utilizzo e comunicazione, 
in particolare la trasmissione, la 
divulgazione, la selezione, nonché 
il congelamento e la cancellazione-, b) "trattamento di dati personali" 
(trattamento): qualsiasi 
operazione o insieme di operazioni 
compiute con o senza l'ausilio di 
processi automatizzati e applicate 
a dati personali, come la 
raccolta, la registrazione, 
I'organizzazione, Ia 
conservazione, l'elaborazione o la 
modifica, l'estrazione, la 
consultazione, l'impiego, la 
comunicazione mediante 
trasmissione, diffusione o 
qualsiasi altra forma di messa a 
disposizione, il raffronto o 
l'interconnessione nonché il 
congelamento, la cancellazione o 
la distruzione; 
c) "archivio di dati personali" 
(archivio): qualsiasi insieme di 
dati personali, centralizzati o 
ripartiti in vari siti, sottoposti 
a trattamento automatizzato oppure 
che, pur non essendovi sottoposti, 
siano strutturati ed accessibili in 
una raccolta organizzata secondo 
criteri tali da facilitarne 
l'utilizzo o l'interconnessione. c) "archivio di dati personali" 
(archivio): qualsiasi insieme 
strutturato di dati personali, 
centralizzati o ripartiti in vari 
siti e accessibili secondo criteri 
determinati aventi per oggetto o 
per effetto di facilitare 
l'impiego o il ravvicinamento di 
dati relativi alla o alle persone 
interessate; 
- 67 -
e) "responsabile dell'archivio": la 
persona fisica o giuridica, 
l'autorità pubblica, il servizio o 
qualsiasi altro organismo cui 
competa, secondo il diritto 
comunitario o in base alla 
legislazione di uno Stato membro, 
la decisione in materia di finalità 
dell'archivio, scelta delle 
categorie di dati personali da 
memorizzare, operazioni da 
effettuare, accesso di terzi; d) "responsabile del trattamento": la 
persona fisica o giuridica, 
l'autorità pubblica, il servizio o 
qualsiasi altro organismo che 
elabora o fa elaborare dati 
personali, e decide sulle finalità 
e gli obiettivi del trattamento, i 
dati personali elaborati, le 
operazioni ad essi relative ed i 
terzi che possono venire a 
conoscenza di detti dati; 
e) "incaricato del trattamento": la 
persona fisica o giuridica che 
elabora dati personali per conto 
del responsabile del trattamento; 
f) "terzi": qualsiasi persona fisica 
o giuridica che non sia la persona 
interessata, il responsabile del 
trattamento e le persone 
autorizzate all'elaborazione dei 
dati sotto la sua autorità diretta 
o per suo conto; 
- 68 -
Articolo 12 
Il consenso della persona interessata 
Il consenso della persona interessata 
a un trattamento di dati personali ai 
sensi della presente direttiva è 
va Ii do so I tanto se : 
a) la persona dispone delle seguenti 
i nformaz ion i: 
- le finalità dell'archivio e i 
tipi di dati memorizzati; 
- il tipo di utilizzazione e, se 
del caso, i destinatari dei dati 
persona Ii contenut i 
ne II'arch i v io ; 
- il nome e l'indirizzo del 
responsabile dell'archivio, 
b) è specifico ed esplicito e precisa 
i tipi di dat i , le forme di 
trattamento e gli eventuali 
dest i natar i ; 
c) può essere revocato dalla persona 
interessata in qualsiasi momento 
senza effetto retroattivo. g) "consenso della persona 
interessata": qualsiasi 
manifestazione espressa di volontà 
con la quale la persona 
interessata accetta che i dati 
personali che la riguardano siano 
oggetto di un trattamento, purché 
essa disponga delle informazioni 
relative alle finalità del 
trattamento, ai dati o alle 
categorie di dati su cui questo è 
basato, ai destinatari dei dati 
personali nonché al nome e 
all'indirizzo del responsabile del 
trattamento ed eventualmente del 
suo rappresentante; 
Il consenso è libero e specifico e 
può essere revocato dalla persona 
interessata in qualsiasi momento 
senza effetto retroattivo. 
f) "autorità di controllo": l'autorità 
pubblica indipendente, o qualsiasi 
altro organismo indipendente, 
designati da ciascuno Stato membro 
conformemente all'articolo 26 della 
presente d i rett i va ; 
- 69 -
g) "settore pubblico": l'insieme delle 
amministrazioni, degli organismi o 
enti di diritto pubblico di uno 
Stato membro, ad eccezione di 
quelli che svolgono un'attività 
industriale o commerciale, nonché 
gli organismi ed enti di diritto 
privato qualora partecipino 
all'esercizio dell'autorità 
pubblica; 
h) "settore privato": qualsiasi 
persona fisica o giuridica o 
associazione, ivi compresi le 
amministrazioni, gli organismi o 
enti del settore pubblico che 
esercitano un'attività industriale 
o commerciale. 
Art icolo 3 Art i co lo 3 
Campo d'applicazione Campo d'appIi caz i one 
1. Gli Stati membri applicano le 
disposizioni della presente 
direttiva agli archivi del settore 
privato e del settore pubblico, ad 
esclusione degli archivi del 
settore pubblico la cui attività 
non rientra nel campo 
d'appI i caz i one de I diritto 
comuni tar io. 1. Le disposizioni della presente 
direttiva si applicano al 
trattamento di dati personali 
interamente o parzialmente 
automatizzato nonché al 
trattamento non automatizzato di 
dati personali contenuti o 
destinati a figurare negli 
arch ivi. 
- 70 -
2. Le disposizioni della presente 
direttiva non si applicano agli 
archivi : 
a) detenuti da una persona fisica 
esclusivamente a fini privati e 
persona Ii, o 
b) detenuti da associazioni senza 
scopo di lucro, in particolare a 
carattere politico, filosofico, 
religioso, culturale, sindacale, 
sportivo o ricreativo, nel 
quadro del loro scopo legittimo, 
a condizione che riguardino 
unicamente i membri e i 
corr i spondent i 
dell'associazione che hanno 
acconsentito a figurarvi e che 
non siano comunicati a terzi. 2. Le disposizioni della presente 
direttiva non si applicano: 
- ai trattamenti effettuati per 
l'esercizio di attività che non 
rientrano nel campo di 
applicazione del diritto 
comuni tar io; 
- ai trattamenti di dati personali 
effettuati da una persona fisica 
per l'esercizio di attività a 
carattere esclusivamente privato 
e personale. 
Art i co lo 4 
Dir itto appiicabi le 
1. Ciascuno Stato membro applica le 
disposizioni della presente 
d i rett i va : Art icolo 4 
Diritto nazionale applicabile 
1. Ciascuno Stato membro applica le 
disposizioni nazionali di 
attuazione della presente 
direttiva a tutti i trattamenti di 
dat i persona Ii: 
a) a tutti gli archivi situati sul suo 
terr i tor io; 
- 71 -
b) al responsabile dell'archivio che 
risiede nel suo territorio e che, a 
partire da questo, utilizza un 
archivio situato in un paese terzo 
la cui legislazione non prevede un 
livello di protezione adeguato, 
salvo in caso di utilizzazione 
sporad i ca. a) il cui responsabile risiede nel 
suo territorio o ricade sotto la 
sua sovranità; 
b) il cui responsabile non risiede 
nel territorio della Comunità ma 
ricorre, ai fini del trattamento 
di dati personali, a strumenti, 
automatizzati o non automatizzati, 
situati nel territorio di detto 
Stato membro. 
2. Ciascuno Stato membro applica le 
disposizioni degli articoli 5, 6, 
8, 9, 10, 17, 18 e 21 de I la 
presente direttiva all'utente che 
consulti un archivio situato in un 
paese terzo a partire da un 
terminale che si trova nel 
territorio di uno Stato membro, 
salvo in caso di utilizzazione 
sporad i ca. 2. Nella fattispecie di cui al 
paragrafo 1, lettera b), il 
responsabile del trattamento deve 
designare un rappresentante che 
risiede nel territorio di detto 
Stato membro e che è surrogato nei 
diritti e negli obblighi del 
responsab ile. 
- 72 -
3. Qualora un archivio sia 
temporaneamente trasferito da uno 
Stato membro ad un altro Stato 
membro, quest'ultimo non oppone 
ostacoli e non esige formalità 
addizionali rispetto alle norme 
applicabili nello Stato membro in 
cui si trova permanentemente 
I'arch ivio. 
CAPO II 
REQUISITI GENERALI DI LICEITÀ 
DEI TRATTAMENTI DI DATI PERSONALI 
Art icolo 5 
Gli Stati membri dispongono che i 
trattamenti di dati personali sono 
leciti soltanto se effettuati in 
conformità delle disposizioni del 
presente capo. 
Salve le disposizioni del presente 
capo, gli Stati membri possono 
precisare i requisiti di leceità dei 
trattamenti di dati personali. 
- 73 -
CAPO V 
QUAL ITA' DEI DATI 
Art icolo 16 
Pr incipi 
1. Gli Stati membri stabiliscono che: 
a) la raccolta e il trattamento di 
dati personali devono essere 
effettuati in maniera leale e 
Ieg i 11 ima ; 
b) i dati devono essere memorizzati 
per finalità ben determinate, 
esplicite e legittime ed 
utilizzati conformemente a tali 
f i na I i tà ; 
c) i dati devono essere adeguati, 
pertinenti e non eccessivi 
rispetto alle finalità per le 
quali sono stati memorizzati; SEZIONE I 
PRINCIPI RELATIVI ALLA 
QUALITA' DEI DATI 
Art i co lo 6 
1. Gli Stati membri dispongono che: 
a) il trattamento di dati 
personali deve essere eseguito 
lealmente e lecitamente; 
b) i dati devono essere rilevati 
per finalità determinate, 
esplicite e legittime ed 
utilizzati in modo compatibile 
con tali finalità; 
c) i dati devono essere adeguati, 
pertinenti e non sovrabbondanti 
rispetto alle finalità per le 
quali vengono registrati; 
- 74 -
d) i dati devono essere esatti, e, 
se necessario, aggiornati; i 
dati inesatti o incompleti 
devono essere cancellati o 
rett i f icat i; d) i dati devono essere esatti e, 
se necessario, aggiornati; 
devono essere prese tutte le 
misure necessarie per 
cancellare o rettificare i dati 
inesatti o incompleti rispetto 
alle finalità per le quali sono 
stat i reg i strat i ; 
e) i dati non devono essere 
conservati sotto una forma che 
consenta l'identificazione delle 
persone interessate per un 
periodo di tempo superiore a 
quello necessario alle finalità 
per cui sono stati memorizzati. e) i dati devono essere conservati 
in modo da consentire 
l'identificazione delle persone 
interessate in un arco di tempo 
non superiore a quello 
necessario al conseguimento 
delle finalità perseguite. Gli 
Stati membri possono prevedere 
garanzie adeguate per i dati 
personali conservati per motivi 
stor ici, statistici o 
scientifici . 
2. I responsabili dell'archivio 
garantiscono il rispetto delle 
disposizioni contemplate dal 
paragrafo 1. 2. Il responsabile del trattamento è 
tenuto a garantire il rispetto 
delle disposizioni contemplate al 
paragrafo 1. 
- 75 -
CAPO II SEZIONE II 
LEGITTIMITÀ DEL TRATTAMENTO 
NEL SETTORE PUBBLICO PRINCIPI RELATIVI Al FONDAMENTI 
DEL TRATTAMENTO DEI DATI 
Art i co lo 5 
Pr incìpi Ar t i co Io 7 
1. Fatte salve le disposizioni 
dell'articolo 6, gli Stati membri 
stabiliscono nella loro 
legislazione relativa agli archivi 
del settore pubblico che: Gli Stati membri dispongono che il 
trattamento di dati personali può 
essere effettuato soltanto quando: 
- 76 -
a) la creazione di un archivio e il 
trattamento di dati personali sono 
legittimi qualora siano necessari 
per lo svolgimento dei compiti 
dell'autorità pubblica responsabile 
de II'arch iv io; 
b) il trattamento di dati per una 
finalità diversa da quella per cui 
è stato costituito l'archivio è 
leg i tt imo quando: 
- la persona interessata vi 
acconsente, o 
- il trattamento viene effettuato 
in base al diritto comunitario o 
ad una legge o a un atto 
giuridico adottato in 
applicazione di una legge di uno 
Stato membro conforme alla 
presente direttiva che lo 
autorizzi e ne fissi i limiti, o 
- a tale mutamento di finalità non 
si oppone un interesse legittimo 
della persona interessata, o 
- il trattamento è necessario per 
prevenire una minaccia imminente 
all'ordine pubblico oppure una 
grave violazione del diritto di 
terzi . a) la persona interessata ha 
manifestato il proprio consenso 
oppure 
b) è necessario per l'esecuzione del 
contratto concluso con la persona 
interessata o per l'esecuzione di 
misure precontrattuali prese su 
richiesta di tale persona oppure 
c) è necessario per adempiere un 
obbligo previsto dal diritto 
nazionale o dalla legislazione 
comunitaria oppure 
d) è necessario per la salvaguardia 
dell'interesse vitale della 
persona interessata oppure 
e) è necessario per l'esecuzione di 
un compito di interesse pubblico o 
connesso all'esercizio 
dell'autorità pubblica di cui è 
investito il responsabile del 
trattamento o il terzo a cui 
vengono comunicati i dati oppure 
- 77 -
Art icolo 6 
Trattamento nel settore pubblico 
avente per oggetto la 
comunicazione di dati personali 
1. Gli Stati membri stabiliscono nella 
loro legislazione che la 
comunicazione di dati personali 
contenuti negli archivi di un 
organismo del settore pubblico è 
Ieg i 11 ima so I tanto : f) è necessario per il perseguimento 
dell'interesse generale, 
dell'interesse legittimo del 
responsabile del trattamento 
oppure del o dei terzi cui vengono 
comunicati i dati, a condizione 
che non prevalga l'interesse della 
persona interessata. 
a) quando sia necessaria per lo 
svolgimento dei compiti attribuiti 
all'organismo del settore pubblico 
che comunica o chiede la 
comunicazione di detti dati, o 
b) su richiesta di una persona fisica 
0 giuridica del settore privato che 
invochi un interesse legittimo, a 
condizione che non prevalga 
l'interesse della persona 
1 nteressata. 
2. Fatte salve le disposizioni di cui 
al paragrafo 1, gli Stati membri 
possono precisare le condizioni in 
cui la comunicazione di dati 
persona li è leg i tt ima. 
- 78 -
3. Gli Stati membri stabiliscono nella 
loro legislazione che, nei casi 
contemplati dal paragrafo 1 (b), il 
responsabile dell'archivio informa 
le persone interessate in merito 
alla comunicazione dei loro dati 
personali. Essi possono disporre 
che tale informazione sia 
sostituita da un'autorizzazione 
preventiva dell'autorità di 
cont roIlo. 
CAPO III 
LEGITTIMITÀ' DEL TRATTAMENTO 
NEL SETTORE PRIVATO 
Art i co lo 8 
Pr incipi 
1. Gli Stati membri stabiliscono nella 
loro legislazione che, senza il 
consenso della persona interessata, 
la memorizzazione in un archivio e 
qualsiasi altro tipo di trattamento 
di dati personali sono legittimi 
soltanto nel rispetto delle 
disposizioni della presente 
direttiva e a condizione che: 
- 79 -
a) il trattamento risulti necessario 
ai fini dell'esecuzione di un 
contratto o nel quadro di un 
rapporto di fiducia quasi 
contrattuale con la persona 
interessata, o 
b) i dati provengano da fonti 
generalmente accessibili al 
pubblico e il loro trattamento sia 
destinato unicamente alla 
corrispondenza, o 
c) il responsabile dell'archivio 
persegua un interesse legittimo, 
purché non prevalga l'interesse 
della persona interessata; 
2. Gli Stati membri stabiliscono nella 
loro legislazione che il 
responsabile dell'archivio deve 
accertarsi, per ogni comunicazione 
di dati, che essa non sia 
incompatibile con la finalità 
dell'archivio e che non sia in 
contrasto con l'ordine pubblico. In 
caso di consultazione in linea, 
l'utente è soggetto allo stesso 
obbligo. 
- 80 -
Fatte salve le disposizioni di cui 
al paragrafo 1, gli Stati membri 
possono precisare le condizioni 
ne I le qua li è leg i tt imo il 
trattamento di dati personali. 
CAPO V SEZIONE 
QUALI TA' DEI DATI CATEGORIE PARTICOLARI DI TRATTAMENTI 
Art i co lo 17 
Categorie particolari di dati 
Gli Stati membri vietano il 
trattamento automatizzato, salvo 
accordo libero, esplicito e scritto 
dalla persona interessata, di dati 
che ne rivelino l'origine razziale 
ed etnica, le opinioni politiche, 
le convinzioni religiose o 
filosofiche, l'appartenenza a 
sindacati, nonché le informazioni 
relative alla salute e alla vita 
sessuaI e. Art icolo 8 
Trattamenti riguardanti 
categorie particolari di dati 
1. Gli Stati membri vietano il 
trattamento di dati che rivelino 
l'origine razziale ed etnica, le 
opinioni politiche, le convinzioni 
religiose, filosofiche o morali, 
l'appartenenza sindacale, nonché 
di dati relativi alla salute e 
alla vita sessuale. 
2. Gli Stati membri dispongono che il 
trattamento di dati i cui al 
paragrafo 1 può essere effettuato 
qualora: 
- 81 -
a) la persona interessata abbia dato 
per iscritto il proprio consenso a 
tale trattamento, salvo nei casi 
in cui la legislazione dello Stato 
membro stabilisce che non si possa 
derogare al divieto di cui al 
paragrafo 1 con il consenso della 
persona interessata; 
b) iI trattamento venga effettuato da 
una fondazione o una associazione 
senza scopo di lucro, a carattere 
politico, filosofico, religioso o 
sindacale, nell'ambito del suo 
scopo lecito e a condizione che 
riguardi unicamente i membri della 
fondazione o dell'associazione e 
le persone in contatto con esse e, 
che i dati non vengano comunicati 
a terzi senza il consenso delle 
persone interessate; 
c) il trattamento sia effettuato in 
condizioni tali da non recare 
manifestamente pregiudizio alla 
vita privata e alle libertà. 
I trattamenti di cui alla lettera b) 
sono dispensati dal l'obbligo di 
notificazione disposto alla sezione 
Vili del presente capo. 
- 82 -
2. Gli Stati membri possono, per 
importanti motivi d'interesse 
pubblico, stabilire deroghe alle 
disposizioni del paragrafo 1 in 
base ad una legge che precisi i 
tipi di dati memorizzabiIi, le 
persone aventi accesso all'archivio 
nonché le opportune garanzie contro 
il rischio d'utilizzazione abusiva 
e di accesso non autorizzato. 3. Gli Stati membri possono, per 
motivi d'interesse pubblico 
rilevante, stabilire deroghe al 
paragrafo 1 sulla base di una 
disposizione legislativa nazionale 
o di una decisione dell'autorità 
di controllo che precisino i tipi 
di dati che possono essere oggetto 
di trattamento, le persone 
destinatarie dei dati, la qualità 
del responsabile del trattamento 
nonché le opportune garanzie. 
3. I dati relativi a condanne penali 
possono essere conservati soltanto 
in archivi del settore pubblico. I dati relativi a condanne penali 
possono essere conservati soltanto 
dalle autorità giudiziarie e dalle 
autorità centrali compententi in 
materia di giustizia nonché delle 
persone direttamente interessate 
dalle decisioni in oggetto o dai 
loro rappresentanti; gli Stati 
membri possono tuttavia stabilire 
deroghe sulla base di una 
disposizione legislativa nazionale 
che precisi le opportune garanzie. 
5. Gli Stati membri determinano a 
quali condizioni può essere 
utilizzato un numero nazionale di 
identificazione o qualsiasi altro 
mezzo identificativo di portata 
genera le. 
- 83 -
CAPO VI 
DISPOSIZIONI SPECIFICHE PER 
TALUNI SETTORI 
Articolo 19 Articolo 9 
Trattamenti di dati personali e 
libertà di espressione 
Al fine di conciliare il diritto alla 
vita privata con le norme che 
disciplinano la libertà d'informazione 
e di stampa, gli Stati membri possono 
accordare deroghe alla presente 
direttiva a favore degli organismi di 
stampa e audiovisivi. Al fine di conciliare il diritto alla 
vita privata con le norme sulla 
libertà di espressione, gli Stati 
membri prevedono deroghe alle 
disposizioni della presente 
direttiva, in relazione al 
trattamento di dati personali 
effettuato a fini di giornalismo 
dagli organismi di stampa e del 
settore audiovisivo, nonché dai 
g iornalisti. 
- 84 -
CAPO IV SEZIONE IV 
DIRITTI DELLA PERSONA INTERESSATA INFORMAZIONE DELLA 
PERSONA INTERESSATA 
Articolo 14 
Diritti complementari della 
persona interessata Art icolo 10 
Informazione sull'esistenza 
di un trattamento 
Gli Stati membri accordano alla 
persona interessata il diritto: 
3. di conoscere l'esistenza di 
un'archivio, le sue finalità 
principali nonché l'identità e la 
residenza abituale, la sede o il 
domicilio del responsabile 
de II'arch i v io ; 1. Gli Stati membri garantiscono a 
qualsiasi persona il diritto di 
conoscere, su sua richiesta, 
l'esistenza di un trattamento, le 
sue finalità, le categorie di dati 
relativi nonché i terzi o 
categorie di terzi a cui vengono 
comunicati i dati, il nome e 
l'indirizzo del responsabile del 
trattamento ed eventualmente del 
suo rappresentante. 
2. Gli Stati membri possono derogare 
alle disposizioni del paragrafo 1, 
alle condizioni previste 
all'articolo 14, paragrafo 1. 
- 85 -
Articolo 13 Articolo 11 
L'informazione al momento Informazione nel caso di 
della raccolta dei dati raccolta dei dati presso 
la persona interessata 
1. Gli Stati membri garantiscono alle 
persone presso le quali viene 
effettuata una raccolta di dati 
personali il diritto di essere 
almeno informate in merito: 
a) alle finalità dell'archivio cui 
sono destinate le informazioni, 
b) all'obbligatorietà o 
discrezionalità della loro risposta 
alle domande oggetto della 
racco I ta, 
c) alle conseguenze nei loro confronti 
di un eventuale rifiuto di 
r i spondere, 
d) ai destinatari delle informazioni 1. Gli Stati membri dispongono che il 
responsabile del trattamento deve 
accertare che la persona 
interessata presso la quale viene 
effettuata una raccolta di dati 
sia informata almeno in merito: 
a) alle finalità del trattamento cui 
sono destinati i dati, e 
b) alla natura obbligatoria o non 
della risposta alle domande 
oggetto della raccolta, e 
c) alle conseguenze nei suoi 
confronti di una mancata risposta, 
e 
d) ai destinatari o alle categorie di 
dest inatar i de i dat i , e 
- 86 -
e) all'esistenza del diritto di 
accesso e di rettifica dei loro 
dat i persona Ii, e) ài resistenza del diritto di 
accesso ai dati che la riguardano 
e del diritto di rettifica di tali 
dat i , e 
f) al nome e indirizzo del 
responsabile dell'archivio. f) al nome e indirizzo del 
responsabile del trattamento ed 
eventualmente del suo 
rappresentante. 
2. Le disposizioni del paragrafo 1 non 
si applicano alla raccolta di 
informazioni quando l'informazione 
della persona interessata ostacoli 
l'esercizio delle funzioni di 
controllo e di verifica 
dell'autorità pubblica o il 
mantenimento dell'ordine pubblico. 2. Le disposizioni del paragrafo 1 
non si applicano alla raccolta dei 
dati quando l'informazione della 
persona interessata impedirebbe il 
compimento di una funzione di 
controllo o di ispezione relativa 
all'esercizio dell'autorità 
pubblica o la collaborazione con 
la funzione suddetta, oppure 
impedirebbe il mantenimento 
dell'ordine pubblico. 
- 87 -
CAPO III 
LEGITTIMITÀ DEL TRATTAMENTO 
NEL SETTORE PRIVATO 
Art icolo 9 
Obbligo d'informare la 
persona interessata Art icolo 12 
Informazione nel caso di 
comunicazione ad un terzo 
1. Per il settore privato, gli Stati 
membri stabiliscono nella loro 
legislazione che, in occasione 
della prima comunicazione o 
dell'apertura di una possibilità di 
consultazione in linea, il 
responsabile ne informa la persona 
interessata ed indica inoltre la 
finalità dell'archivio, i tipi di 
dati ivi contenuti, il suo nome e 
i nd i r i zzo. 1. Gli Stati membri dispongono che, 
nei casi di cui alle lettere b), 
c), e), f) dell'articolo 7, il 
responsabile del trattamento 
accerta, al momento opportuno e 
comunque non più tardi della prima 
comunicazione ad un terzo, che la 
persona interessata sia informata 
di tale comunicazione ed almeno in 
mer i to: 
a) al nome e indirizzo del 
responsabile del trattamento ed 
eventualmente del suo 
rappresentante, e 
b) alle finalità del trattamento, e 
c) alle categorie di dati ad esso 
relative al trattamento, e 
d) al destinatario o categorie di 
dest i natar i , e 
e) all'esistenza del diritto di 
accesso, di rettifica e di 
oppos i z ione. 
- 88 -
2. L'informazione di cui al paragrafo 
1 non è obbligatoria nel caso 
contemplato dall'articolo 8, 
paragrafo 1, lettera b). L'obbligo 
d'informare le persone interessate 
decade quando la comunicazione è 
prevista per legge. 
3. Qualora la persona interessata sia 
contraria alla comunicazione o a 
qualsiasi altro trattamento, il 
responsabile dell'archivio è tenuto 
a porre termine al trattamento 
contestato a meno che non vi sia 
esplicitamente autorizzato da una 
disposizione giuridica. 2. Le disposizioni del paragrafo 1 
non si applicano quando-, 
la comunicazione ad un terzo o la 
possibilità di questa sono già 
state portate a conoscenza della 
persona interessata, oppure 
la comunicazione ad un terzo è 
imposta da una legge che prevede 
una deroga all'obbligo di 
informazione della persona 
interessata, oppure 
la comunicazione ad un terzo è 
eseguita in forza 
dell'articolo 14, paragrafo 1. 
Art i co lo 10 
Deroghe particolari all'obbligo 
d'informare la persona interessata 
Qualora, l'informazione della persona 
interessata, conformemente 
all'articolo 9, paragrafo 1, si riveli 
impossibile o comporti sforzi 
spropor7ionati , oppure contrasti con 
interessi legittimi preminenti del 
responsabile dell'archivio o con un 
interesse analogo di un terzo, gli 
Stati membri possono stabilire nella 
loro legislazione che l'autorità di 
controllo può autorizzare una deroga. 3. Qualora l'informazione della 
persona interessata si riveli 
impossibile o implichi sforzi 
sproporzionati, oppure confi igga 
con interessi legittimi preminenti 
del responsabile del trattamento o 
con un interesse analogo di un 
terzo, gli Stati membri possono 
disporre che l'autorità di 
controllo abbia la facoltà di 
autor izzare uria deroga, precedendo 
eventualmente le opportune 
garanz ie. 
- 89 -
CAPO IV 
DIRITTI DELLA PERSONA INTERESSATA 
Articolo 14 
Diritti complementari della 
persona interessata 
Gli Stati membri accordano alla 
persona interessata il diritto: 
4. di ottenere a intervalli 
ragionevoli e senza ritardi o spese 
eccessive, la conferma 
dell'esistenza o meno in un 
archivio di dati personali che la 
riguardano e la loro comunicazione 
i n forma i nte I I ig i b ile. 
Gli Stati membri possono disporre 
che il diritto di accesso ai dati a 
carattere medico può essere 
esercitato soltanto per II tramite 
di un medico; SEZIONE V 
DIRITTO DI ACCESSO Al DATI DA 
PARTE DELLA PERSONA INTERESSATA 
Art i co lo 13 
Dir itto di accesso 
Gli Stati membri riconoscono alla 
persona interessata il diritto: 
1. di ottenere, su richiesta, a 
intervalli ragionevoli e senza 
ritardi o spese eccessive, la 
conferma dell'esistenza o meno di 
dati personali che la riguardano, 
la comunicazione di tali dati in 
forma intelligibile nonché di 
informazioni sulla loro origine e, 
in linea generale, sul loro 
impiego. 
Gli Stati membri possono disporre 
che il diritto di accesso ai dati 
di carattere medico può essere 
esercitato soltanto per il tramite 
di un medico; 
- 90 -
2. di non essere obbligata da un 
terzo, salvo se la domanda di 
questo sia basata sulla 
legislazione nazionale o 
comunitaria, ad esercitare il 
diritto di accesso al fine di 
comunicargli i dati in oggetto o 
di comunicarli ad altri; 
5. di ottenere, se del caso, la 
rettifica, la cancellazione o il 
congelamento di tali dati qualora 
il trattamento non sia conforme 
alle disposizioni della presente 
d i rett i va ; 3. di ottenere, secondo i casi, la 
rettifica dei dati inesatti o 
incompleti, la loro cancellazione 
o il loro congelamento qualora il 
trattamento non sia conforme alle 
disposizioni della presente 
d i rett i va ; 
7. di ottenere, in caso di 
applicazione del paragrafo 5 del 
presente articolo e qualora i dati 
siano stati comunicati a terzi, la 
notifica a questi ultimi della loro 
rettifica, cancellazione o 
congelamento; 4. di ottenere, in caso di 
applicazione del punto 3, e 
qualora i dati siano stati 
comunicat i a terzi , la 
notificazione a questi ultimi 
della rettifica, cancellazione o 
congelamento; 
5. di conoscere, su 
log i ca appIi cata 
automatizzati i 
vengono oppost i . r i eh i esta , la 
nei trattamenti 
ui risultati le 
- 91 -
Art i co Io 15 
Deroghe al diritto di accesso 
della persona interessata 
agli archivi del settore pubblico 
1. Gli Stati membri possono limitare 
per legge i diritti enunciati dai 
paragrafi 3 e 4 dell'articolo 14 
per motivi concernenti: 
a) la sicurezza dello Stato, 
b) la difesa, 
c) procedimenti penali, 
d) la pubblica sicurezza, 
e) un interesse economico e 
finanziario imperativo, debitamente 
giustificato, di uno Stato membro o 
della Comunità europea, Ar t i co Io 14 
Deroghe al diritto di accesso 
1. Salvo non vi siano obbligati da 
una disposizionse di diritto 
comunitario, gli Stati membri, 
possono limitare per legge 
l'esercizio dei diritti enunciati 
all'articolo 10, paragrafo 1 e 
all'articolo 13, punto 1 qualora 
tali limiti siano necessari alla 
sa Ivaguard i a : 
a) della sicurezza dello Stato, 
b) de IIa di fesa, 
c) dei procedimenti penali, 
d) della pubblica sicurezza, 
e) di un interesse economico e 
finanziario imperativo, 
debitamente giustificato, di uno 
Stato membro o della Comunità, 
- 92 -
f) la necessità dell'autorità pubblica 
di esercitare funzioni di controllo 
o d i ispez ione, 
g) un diritto equivalente di un'altra 
persona o diritti e libertà di 
terz i . 
2. Nei casi di cui al paragrafo 1, 
l'autorità di controllo deve poter 
effettuare, su domanda della 
persona interessata, le necessarie 
verifiche dell'archivio. 
3. Gli Stati membri possono limitare 
il diritto di accesso della persona 
interessata ai dati temporaneamente 
compilati al fine di estrarvi 
i iìfoi niaz ion i statisti elio . f) di un compito di controllo o di 
ispezione connesso con l'esercizio 
dell'autorità pubblica o della 
cooperazione in tale compito; 
g) di un diritto equivalente di 
un'altra persona o di diritti e 
Ii bertà d i terz i. 
2. Nei casi di cui al paragrafo 1, 
l'autorità di controllo deve poter 
eseguire, su richiesta della 
persona interessata, le verifiche 
necessarie per accertare la 
liceità dei trattamenti a norma 
della presente direttiva, nel 
rispetto degli interessi da 
salvaguardare ai sensi del 
paragrafo 1 . 
3. Gli Stati membri possono limitare 
il diritto di accesso della 
persona interessata ai dati 
conservati temporanemente sotto 
forma por sonalo 'i dentina ti ad 
essere trattati per fini 
statistici in modo che le persone 
interessate non siano più 
ragionevolmente identificabili. 
- 93 -
Articolo 14 
Diritti complementari 
della persona interessata 
Gli Stati membri accordano alla 
persona interessata il diritto: 
1. di opporsi, per motivi legittimi, 
al trattamento di dati personali 
che la riguardano; 
6. di ottenere, su richiesta, la 
cancellazione gratuita dei dati che 
la riguardano memorizzati in 
archivi contenenti informazioni in 
materia di ricerche di mercato o di 
pubbIi c i tà. SEZIONE VI 
DIRITTO DI OPPOSIZIONE 
DELLA PERSONA INTERESSATA 
Art i co lo 15 
Opposizione per motivi legittimi 
1. Gli Stati membri riconoscono alla 
persona interessata il diritto di 
opporsi in qualsiasi momento, per 
motivi legittimi, al trattamento 
di dati personali che la 
r iguardano; 
2. In caso di opposizione legittima, 
il responsabile del trattamento è 
tenuto a porvi termine. 
- 94 -
3. Il responsabile del trattamento 
deve accertare che, prima della 
comunicazione a terzi o dell'uso 
da parte di terzi di dati 
personali a fini di prospezione 
per via postale, venga 
esplicitamente riconosciuta alle 
persone interessate la possibilità 
di far cancellare senza spese i 
dat i . 
Articolo 16 
Dec i s i on i indivi duaIi 
automatizzate 
2. di non essere sottoposta ad una 
decisione amministrativa o privata 
che implichi una valutazione del 
suo comportamento avente come unico 
fondamento un trattamento 
automatizzato di dati personali 
volto a definire il profilo o la 
personalità dell'interessato; 1. Gli Stati membri riconoscono a 
qualsiasi persona il diritto di 
non essere sottoposta ad una 
decisione amministrativa o 
privata, ad essa pregiudizievole, 
fondata esclusivamente su di un 
trattamento automatizzato che 
definisce un profilo di 
persona I i tà. 
2. Gli Stati membri dispongono, 
salve le altre disposizioni della 
presente direttiva, che una 
persona può essere sottoposta alla 
decisione, di cui al paragrafo 1, 
la quale: 
- 95 -
a) sia presa nel contesto della 
conclusione o della esecuzione 
di un contratto, a condizione 
che la domanda della persona 
interessata, relativa alla 
decisione, sia stata accolta 
oppure che misure adeguate, fra 
le quali la possibilità di far 
valere il proprio punto di 
vista, garantiscano la 
salvaguardia del suo legittimo 
i nteresse. 
b) sia autorizzata da una legge 
che precisi i provvedimenti 
atti a garant ire la 
salvaguardia del legittimo 
interesse della persona 
i nteressata. 
- 96 -
CAPITOLO V 
QUALITA DEI DATI 
Articolo 18 
Sicurezza dei dati 
1. Gli Stati membri, nella loro 
legislazione, impongono al 
responsabile dell'archivio 
l'obbligo di adottare le misure 
tecniche ed organizzative 
necessarie per proteggere 
l'archivio dalla distruzione, 
accidentale o non autorizzata, 
dalla perdita accidentale dei dati 
o dalla loro alterazione, 
dall'accesso non autorizzato a dati 
personali o da qualsiasi altro 
trattamento non consentito. SEZIONE VI I 
SICUREZZA DEI TRATTAMENTI 
Art icolo 17 
1. Gli Stati membri dispongono che il 
responsabile del trattamento deve 
adottare adeguate misure tecniche 
ed organizzative necessarie a 
tutela contro la distruzione, 
accidentale o illecita, la perdita 
accidentale, nonché l'alterazione, 
la comunicazione o qualsiasi altra 
forma non autorizzata di 
trattamento di dati personali. 
- 97 -
Tali misure devono garantire agli 
archivi automatizzati un adeguato 
livello di sicurezza tenuto conto, 
da un lato, delle attuali 
conoscenze in materia e del costo 
della loro applicazione e, d'altro 
lato, della natura dei dati da 
proteggere e della valutazione dei 
rischi potenziali. A tal fine, il 
responsabile dell'archivio deve 
prendere in considerazione le 
raccomandazioni in materia di 
sicurezza informatica e 
d'interoperatività delle reti 
adottate dalla Commissione secondo 
le modaIità previste 
dal I'art icolo 29. Tali misure devono garantire al 
trattamento automatizzato dei dati 
un adeguato livello di sicurezza 
tenuto conto, da un lato, delle 
attuali conoscenze tecnologiche e, 
dall'altro, della natura dei dati 
da proteggere e della valutazione 
dei rischi potenziali. A tal fine, 
il responsabile del trattamento 
deve prendere in considerazione le 
raccomandazioni in materia di 
sicurezza informatica e 
d'interoperatività delle reti 
adottate dalla Commissione secondo 
le modalità menzionate 
al l'art icolo 33. 
2. Per la trasmissione di dati 2. Per la trasmissione di dati 
personali in una rete occorre personali in una rete occorre 
scegliere metodi atti a fornire un scegliere metodi che garantiscano 
adeguato livello di sicurezza. una sicurezza adeguata. 
3. In caso di consultazione in linea, 
le installazioni tecniche e il 
software devono essere predisposti 
in modo che la consultazione 
avvenga entro i limiti 
dell'autorizzazione concessa dal 
responsabile dell'archivio. 3. Qualora esista la possibilità di 
accesso a d i stanza, i l 
responsabile del trattamento deve 
predisporre gli impianti tecnici e 
i programmi in modo che l'accesso 
resti nei limiti di liceità del 
trattamento. 
- 98 -
4. Gli obblighi di cui ai paragrafi 1-
3 incombono anche alle persone che, 
di fatto o per contratto, 
esercitano il controllo sulle 
operazioni relative ad un archivio. 4. Gli obblighi di cui ai paragrafi 
da 1 a 3 incombono anche alle 
persone implicate nella 
realizzazione del trattamento, in 
particolare l'incaricato dal 
trattamento. 
5. Chiunque acceda, nell'esercizio 
della sua attività professionale, a 
informazioni contenute in archivi, 
non può comunicarle a terzi senza 
l'accordo del responsabile 
del I'archivio. 5. Chiunque acceda, nell'esercizio 
della sua attività professionale, 
a dati personali, non deve 
comunicarli a terzi senza 
l'accordo del responsabile del 
trattamento, se non in forza di 
obblighi previsti dal diritto 
nazionale o comunitario. 
- 99 -
CAPO II SEZIONE Vili 
LEGITTIMITÀ DEL TRATTAMENTO NOTIFICAZIONE 
NEL SETTORE PUBBLICO 
Art icolo 7 
Obbligo di notifica all'autorità 
di control lo Articolo 18 
Obbligo di notificazione 
all'autorità di controllo 
1. Gli Stati membri stabiliscono nella 
loro legislazione che la creazione 
di un archivio del settore pubblico 
contenente dati personali 
suscettibili di essere comunicati 
deve essere preventivamente 
notificata all'autorità di 
controllo, che l'annota in un 
apposito registro. Il registro può 
essere consultato da qualsiasi 
persona. 1. Gli Stati membri dispongono un 
obbligo di notificazione a carico 
del responsabile del trattamento, 
od eventualmente il suo 
rappresentante, sia presso 
l'autorità di controllo di cui 
all'articolo 30, prima di 
procedere alla realizzazione di un 
trattamento interamente o 
parzialmente automatizzato o di un 
insieme di trattamenti della 
stessa natura destinati al 
conseguimento di una o più 
f i na Ii tà corre late. 
- 100 -
Gli Stati membri definiscono le 2. 
informazioni che devono essere 
notificate all'autorità di 
controllo. Esse devono comprendere 
come minimo il nome e l'indirizzo 
del responsabile dell'archivio, la a) 
finalità dell'archivio, una 
descrizione dei tipi di dati ivi 
memorizzati, i terzi cui i dati 
possono essere comunicati e una b) 
descrizione delle misure adottate c) 
in applicazione dell'articolo 18. 
d) 
Gli Stati membri possono stabilire 
che le disposizioni dei paragrafi 1 
e 2 si applicano ad altri archivi e) 
del settore pubblico e che la 
consultazione del registro può 
essere lim'"' 
all'art ico 
9) nata per i mot IVI ai cui 
lo 15, paragrafo 1. Gli Stati membri definiscono le 
informazioni che devono essere 
contenute nella notificazione. 
Esse comprendono almeno: 
il nome e l'indirizzo del 
responsabile del trattamento, ed 
eventualmente del suo 
rappresentante, 
le finalità del trattamento, 
le categorie di persone 
interessate, 
una descrizione dei dati o delle 
categorie di dati oggetto del 
trattamento, 
i terzi o le categorie di terzi 
cui i dati possono essere 
comun i cat i , 
i trasferimenti di dati previsti 
con paes i terz i , 
una descrizione delle misure 
adottate in applicazione 
dell'articolo 17 per garantire I 
sicurezza del trattamento. 
- 101 -
CAPO III 
LEGITTIMITÀ' DEL TRATTAMENTO 
NEL SETTORE PRIVATO 3. Qualsiasi mutamento relativo alle 
informazioni di cui al paragrafo 2 
deve essere notificato 
all'autorità di controllo. 
Art icolo 11 
Obbligo di notifica all'autorità 
di controI lo 
1. Gli Stati membri stabiliscono nella 
loro legislazione che il 
responsabile dell'archivio notifica 
la creazione di un archivio di dati 
personali quando i dati sono 
destinati ad essere comunicati e 
non provengono da font i 
generalmente accessibili al 
pubblico. La notifica deve essere 
fatta all'autorità di controllo 
dello Stato membro in cui si trova 
l'archivio oppure, se l'archivio 
non è situato in uno Stato membro, 
all'autorità di controllo dello 
Stato membro di residenza del 
responsabile. Il responsabile 
dell'archivio notifica alle 
autorità nazionali competenti 
qualsiasi mutamento di finalità 
dell'archivio o d'indirizzo. 4. Entro quindici giorni dalla 
notificazione, l'autorità di 
controllo procede, prima della 
loro esecuzione, all'esame dei 
trattamenti che presentino rischi 
particolari per i diritti e le 
libertà della persona, e presenta 
le proprie conclusioni. 
5. Gli Stati membri possono disporre 
che alcuni trattamenti di cui al 
paragrafo 4 siano soggetti ad 
autorizzazione preventiva 
dell'autorità di controllo. 
- 102 -
2. Gli Stati membri definiscono le 
informazioni che devono essere 
notificate all'autorità di 
controllo. Esse devono comprendere 
almeno il nome e l'indirizzo del 
responsabile dell'archivio, la 
finalità dell'archivio, una 
descrizione dei tipi di dati ivi 
contenuti, i terzi cui sono 
eventualmente comunicati i dati e 
una descrizione delle misure 
adottate in applicazione 
de Il'art i co lo 18. 
3. Gli Stati membri possono stabilire 
che le disposizioni di cui ai 
paragrafi 1 e 2 si applicano ad 
altri archivi del settore privato e 
che le informazioni contemplate dal 
paragrafo 2 sono accessibili al 
pubbI ico. 
- 103 -
Art i co lo 19 
La semplificazione e l'esonero 
da II'obbligo di notificazione 
1. Gli Stati membri dispongono che 
l'obbligo di notificazione è 
oggetto di semplificazione o di 
esonero per alcune categorie di 
trattamenti che non ledono i 
diritti e le libertà della persona 
interessata. Queste categorie di 
trattamenti comprendono in 
particolare la produzione di 
lettere o documenti, l'adempimento 
di obblighi legali, contabili, 
fiscali o sociali oppure la 
consultazione di servizi di 
documentazione accessibili al 
pubblico. 
2. Il provvedimento di 
semplificazione o di esonero è 
deciso o dall'autorità di 
controllo o previa consultazione 
della medesima. Esso precisa per 
ogni categoria di trattamento in 
particolare quanto segue: 
le finalità del trattamento, 
- una descrizione dei dati o delle 
categorie di dati trattati, 
le categorie di persone 
interessate, 
i terzi o categorie di terzi a cui 
vengono comunicati i dati, 
- 104 -
il periodo di conservazione dei 
dat i , 
- eventualmente le condizioni alle 
quali viene effettuato il 
trattamento. 
3. Il beneficio della semplificazione 
o dell'esonero dal l'obbligo di 
notificazione lascia 
impregiudicati gli altri obblighi 
previsti dalla presente direttiva 
a carico del responsabile del 
trattamento. 
Art i co lo 20 
I trattamenti manuali 
Gli Stati membri possono stabilire le 
modalità di applicazione delle 
disposizioni di cui agli articoli 18 
e 19 ai trattamenti non automatizzati 
di dati personali contenuti negli 
arch ivi. 
- 105 -
Ar t i co lo 21 
11 registro dei 
trattamenti notificati 
Gli Stati membri dispongono che 
l'autorità di controllo tiene il 
registro dei trattamenti notificati. 
Il registro contiene, nei casi 
previsti agli articoli 18 e 19, 
almeno le informazioni elencate 
all'articolo 18, paragrafo 2, lettere 
da a) ad f). Può essere consultato da 
eh iunque, sa Iv i i limiti 
eventualmente stabiliti dagli Stati 
membri secondo le disposizioni 
dell'articolo 14, paragrafo 1. 
CAPO VI 
DISPOSIZIONI SPECIFICHE PER 
TALUNI SETTORI 
Art i co lo 20 
1. Gli Stati membri incoraggiano gli 
ambienti professionali a 
partecipare all'elaborazione di 
codici europei di deontologia o di 
buona condotta per determinati 
settori sulla base dei principi 
contenuti nella presente direttiva. 
- 106 -
CAPO IV 
DIRITTI DELLA PERSONA INTERESSATA 
Art icolo 14 
Diritti complementari 
della persona interessata 
Gli Stati membri accordano alla 
persona interessata il diritto: 
8. di disporre di un mezzo di ricorso 
giurisdizionale in caso di 
violazione dei diritti garantiti 
dal presente articolo. CAPO III 
RICORSI GIURISDIZIONALI, 
RESPONSABILITÀ E SANZIONI 
Art i co lo 22 
Ricorsi giurisdizionali 
Gli Stati membri stabiliscono che 
chiunque disponga di un ricorso 
giurisdizionale in caso di violazione 
dei diritti garantiti dalla presente 
d i rett i va. 
- 107 -
CAPO VII 
RESPONSABIL ITA' E SANZIONI 
Art i co lo 21 
Responsab iIità 
1. Gli Stati membri stabiliscono nella 
loro legislazione che qualsiasi 
persona i cui dati personali siano 
memorizzati in un archivio e che 
subisca un danno per effetto del 
trattamento o di qualsiasi altra 
azione incompatibile con le 
disposizioni della presente 
direttiva, ha il diritto di 
chiedere al responsabile 
dell'archivio un adeguato 
r isarcimento. 
2. Gli Stati membri possono stabilire 
che i danni risultanti dalla 
perdita o dalla distruzione di dati 
o da un accesso non autorizzato non 
sono imputabili al responsabile 
dell'archivio se quest'ultimo 
dimostra di aver adottato le 
opportune misure per conformarsi 
alle disposizioni degli articoli 18 
e 22. Ar t i co lo 23 
ResponsabiIi tà 
1. Gli Stati membri dispongono che 
qualsiasi persona i cui dati 
personali siano oggetto di un 
trattamento e che subisca un danno 
cagionato da un trattamento 
illecito o da qualsiasi altro atto 
incompatibile con le disposizioni 
nazionali di attuazione della 
presente direttiva ha il diritto 
di ottenere il risarcimento dal 
responsabile del trattamento. 
2. Gli Stati membri possono disporre 
che il responsabile del 
trattamento sia esonerato in tutto 
o in parte dalla responsabilità 
per i danni cagionati da perdita 
o da distruzione di dati o 
dall'accesso non autorizzato 
qualora provi di aver preso le 
misure idonee per conformarsi alle 
disposizioni degli articoli 17 e 
24. 
- 108 -
Art icolo 22 
Trattamento per conto del 
responsab ile de 11'areh i v i o 
1. Gli Stati membri stabiliscono nella 
loro legislazione che, in caso di 
trattamento effettuato per conto 
del responsabile dell'archivio, 
quest'ultimo deve accertarsi del 
rispetto delle necessarie misure dì 
sicurezza e di organizzazione e 
scegliere una persona o un'impresa 
che fornisca garanzie sufficienti 
al riguardo. 
2. Chiunque raccolga o tratti dati 
personali per conto del 
responsabile dell'archivio deve 
rispettare gli obblighi contemplati 
dagli articoli 16 e 18 della 
presente d i rett i va. Art icolo 24 
Trattamento per conto 
del responsabile del trattamento 
1. Gli Stati membri dispongono che, 
il responsabile del trattamento, 
quando quest'ultimo sia eseguito 
per suo conto, deve accertarsi del 
rispetto delle necessarie misure 
di sicurezza e di organizzazione e 
scegliere un incaricato del 
trattamento che dia garanzie 
sufficienti al riguardo. 
2. L'incaricato del trattamento 
esegue unicamente il trattamento 
dei dati personali oggetto del 
contratto concluso con il 
responsabile del trattamento e 
riceve istruzioni esclusivamente 
da quest'ultimo. Egli deve 
osservare le disposizioni 
nazionali di attuazione della 
presente d i rett i va. 
- 109 -
3. Il contratto deve essere stipulato 
per iscritto e specificare, in 
particolare, che i dati personali 
non possono essere divulgati dal 
prestatario o dai suoi dipendenti 
senza l'accordo del responsabile 
de II'archIv io. 3. Il contratto deve essere stipulato 
per iscritto e specificare, in 
particolare, che i dati personali 
trattati in forza di esso non 
possono essere divulgati a terzi 
dall'incaricato del trattamento o 
dai suoi dipendenti senza il 
consenso del responsabile del 
trattamento. 
Articolo 23 Articolo 25 
Sanzioni Sanzioni 
Gli Stati membri prevedono nelle loro 
legislazioni l'applicazione di 
sanzioni dissuasive al fine di 
garantire il rispetto delle 
disposizioni adottate in applicazione 
della presente direttiva. Gli Stati membri dispongono 
l'irrogazione di sanzioni dissuasive 
contro chiunque non osservi le 
disposizioni nazionali di attuazione 
della presente direttiva. 
- 110 -
CAPO Vili 
TRASFERIMENTO DI DATI PERSONALI 
VERSO PAESI TERZI 
Art i co lo 24 
Pr incipi 
1. Gli Stati membri stabiliscono nella 
loro legislazione che il 
trasferimento temporaneo o 
definitivo, verso un paese terzo, 
di dati personali che formano 
oggetto di un trattamento, oppure 
raccolti a tal fine, può aver luogo 
soltanto a condizione che detto 
paese garantisca un livello di 
protezione adeguato. CAPO IV 
TRASFERIMENTO DI DATI PERSONALI 
VERSO PAESI TERZI 
Art i co lo 26 
Pr incipi 
1. Gli Stati membri dispongono che il 
trasferimento, temporaneo o 
definitivo, verso un paese terzo 
di dati personali oggetto di un 
trattamento o raccolti a tal fine, 
può aver luogo soltanto se il 
paese terzo di cui trattasi 
garantisca una tutela adeguata. 
In deroga al primo comma, gli 
Stati membri dispongono che un 
trasferimento verso un paese terzo 
che non garantisca una tutela 
adeguata può avvenire a condizione 
che : 
la persona interessata abbia 
consentito al trasferimento 
previsto nell'ambito di rapporti 
precontrattuali, salve le 
disposizioni dell'articolo 8, 
paragrafo 2, lettera a), oppure 
il trasferimento sia necessario 
per l'esecuzione di un contratto 
tra la persona interessata ed i I 
responsabile del trattamento, 
purché la prima sia stata 
informata del trasferimento, 
anche potenziale, verso un paese 
terzo che non garantisce una 
tutela adeguata, oppure 
il trasferimento sia necessario 
per la salvaguardia di un 
interesse pubblico importante, 
oppure 
il trasferimento sia necessario 
per la salvaguardia 
dell'interesse vitale della 
persona interessata. 
- 112 -
2. Il carattere adeguato della tutela 
garantito da un paese terzo è 
valutato con riguardo a tutte le 
circostanze relative ad un 
trasferimento o ad una categoria 
di trasferimenti di dati; in 
particolare sono prese in 
considerazione la natura dei dati, 
le finalità e la durata dei 
trattamenti previsti, le 
disposizioni legislative, generali 
o settoriali vigenti nel paese 
terzo di cui trattasi, nonché le 
regole professionali ivi 
osservate. 
P. Gli Stati membri comunicano alla 3. Gli Stati membri comunicano alla 
Commissione i casi in cui un paese Commissione i casi in cui, a loro 
terzo importatore non garantisce un parere, un paese terzo non 
livello di protezione adeguato. garantisce una tutela adeguata. 
3. Qualora la Commissione constati, in 
base alle informazioni degli Stati 
membri o in base ad altre 
informazioni, che un paese terzo 
non dispone di un livello di 
protezione adeguato e che la 
situazione che ne deriva è 
pregiudizievole per gli interessi 
della Comunità e dello Stato 
membro, essa può avviare negoziati 
al fine di porvi rimedio. 4. Qualora la Commissione constati, 
in base alle informazioni degli 
Stati membri o in base ad altre 
informazioni, che un paese terzo 
non garantisce una tutela 
adeguata e che la conseguente 
situazione lede gli interessi 
della Comunità o di uno Stato 
membro, può avviare negoziati al 
f ine di porv i r imed io. 
- 113 -
4. La Commissione può decidere, 
secondo la procedura definita 
dall'articolo 30, paragrafo 2 della 
presente direttiva, che un paese 
terzo garantisce un livello di 
protezione adeguato in 
considerazione dei suoi impegni 
internazionali o della sua 
legislazione nazionale. 
5. Le misure adottate a norma del 
presente articolo sono conformi 
agli obblighi incombenti alla 
Comunità in virtù di accordi 
internazionali, sia bilaterali che 
multilaterali, relativi alla 
protezione delle persone per quanto 
riguarda il trattamento 
automatizzato dei dati personali. 5. La Commissione può decidere, 
secondo la procedura definita 
all'articolo 34, paragrafo 2, che 
un paese terzo garantisce una 
tutela adeguata in considerazione 
degli impegni internazionali 
sottoscritti o della sua 
legislazione interna. 
6. Le misure adottate a norma del 
presente articolo devono essere 
conformi agli obblighi gravanti 
sulla Comunità in forza di accordi 
internazionali, bilaterali o 
multilaterali, relativi alla 
protezione delle persone con 
riguardo al trattamento 
automatizzato dei dati personali. 
- 114 -
Art i co lo 25 
Deroghe 
1. Uno Stato membro può derogare alle 
disposizioni dell'articolo 24, 
paragrafo 1, per una determinata 
esportazione di dati, qualora il 
responsabile dimostri che nel caso 
di specie esistono sufficienti 
garanzie relativamente al rispetto 
di un livello di protezione 
adeguato. Lo Stato membro può 
accordare una deroga soltanto dopo 
averne informato la Commissione e 
gli Stati membri e se nessuno Stato 
membro o la Commissione notificano 
la loro opposizione entro un 
termine di 10 giorni. Art i co lo 27 
Disposizioni particolari 
1 . Sa Ivo il di sposto 
dell'articolo 26, paragrafo 1, 
secondo capoverso, uno Stato 
membro può autorizzare un 
trasferimento o una categoria di 
trasferimenti di dati personali 
verso un paese terzo che non 
garantisce una tutela adeguata, 
qualora il responsabile del 
trattamento presenti 
giustificazioni sufficienti, 
segnatamente derivanti da idonee 
disposizioni contrattuali che 
assicurano in particolare 
l'esercizio effettivo dei diritti 
della persona interessata. 
2. In caso di opposizione, la 
Commissione adotta le misure 
appropriate, secondo la procedura 
di cui al I'art icolo 30, 
paragrafo 2. 2. Lo Stato membro informa 
tempestivamente la Commissione e 
gli altri Stat i membr i de I 
progetto di autorizzazione. 
3. In caso di opposizione notificata 
da uno Stato membro o dalla 
Commissione prima della data da 
cui decorre l'autorizzazione, la 
Commissione adotta le misure 
appropriate, secondo la procedura 
di cui a I l'art icolo 34, 
paragrafo 2. 
- 115 -
CAPO V 
CODICI DI CONDOTTA 
Art i co lo 28 
Codici nazionali 
1. Salve le disposizioni nazionali di 
attuazione della presente 
direttiva, gli Stati membri 
possono disporre che i codici di 
condotta elaborati dagli ambienti 
professionali stabi Iiscano misure 
complementari conformi alle 
caratteristiche specifiche di 
talun i settor i. 
2. I progetti di codici sono 
esaminati dall'autorità nazionale 
di control lo che ne accerta la 
fondatezza e verifica la 
rappresentatività delle 
organizzazioni professionali 
autrici. Essa raccoglie le 
osservazioni delle persone 
interessate o dei loro 
rappresentant i. 
- 116 -
3. Gli Stati membri provvedano alle 
pubblicazione ufficiale dei codici 
che hanno ricevuto il parere 
favorevole dell'autorità di 
control lo. 
4. Qualsiasi proroga o modificazione 
dei codici è oggetto di procedure 
ident iche. 
Art icolo 29 
Codici comunitari 
1. Gli Stati membri e la Commissione 
incoraggiano gli ambienti 
professionali a partecipare 
all'elaborazione di codici di 
condotta comunitari destinati a 
contribuire alla corretta 
applicazione della presente 
direttiva in funzione delle 
specificità settoriali. 
La Commissione può pubblicare, a 
titolo notiziale, nella Gazzetta 
ufficiale delle Comunità europee, 
un codice di condotta corredato 
dal parere formulato dal Gruppo d 
cui all'articolo 31 in merito al 
contenuto del codice e alla 
rappresentatività sul piano 
comunitario delle organizzazioni 
autrici. Il Gruppo raccoglie le 
osservazioni delle persone 
interessate o dei loro 
rappresentant i. 
- 118 -
CAPO IX 
AUTORITA' DI CONTROLLO E 
GRUPPO PER LA PROTEZIONE 
DEI DATI PERSONALI 
Art icolo 26 
L'Autorità di controllo 
1. Gli Stati membri garantiscono che 
un'autorità indipendente competente 
controlli la protezione dei dati 
personali. Tale autorità ha il 
compito di sorvegliare 
I'appI i caz ione de II e di spos i z i on i 
nazionali adottate in applicazione 
della presente direttiva e di 
esercitare tutte le funzioni 
attribuitele dalla presente 
d i rett i va. CAPO VI 
AUTORITA' DI CONTROLLO E GRUPPO 
PER LA TUTELA DELLE PERSONE 
CON RIGUARDO AL TRATTAMENTO 
DEI DATI PERSONALI 
Articolo 30 
L'autorità di controllo 
1. Ogni Stato membro designa 
un'autorità pubblica indipendente 
preposta al controllo della 
protezione dei dati personali. 
Tale autorità è incaricata della 
sorveglianza sull'applicazione 
delle disposizioni nazionali di 
attuazione della presente 
direttiva e di esercitare tutte le 
funzioni da questa attribuitele. 
Ogni Stato membro può designare 
più autorità di controllo. 
- 119 -
L'autorità di controllo dispone di 
mezzi investigativi e di poteri 
effettivi d'intervento contro la 
creazione e lo sfruttamento di 
archivi non conformi alle 
disposizioni della presente 
direttiva. A tal fine, essa dispone 
in particolare del diritto di 
accesso agli archivi cui si applica 
la presente direttiva e deve poter 
raccogliere qualsiasi informazione 
necessaria all'esercizio della sua 
funzione di controllo. 2. Ogni autorità di controllo 
d i spone : 
- di mezzi investigativi, come il 
diritto di accesso ai dati 
oggetto di trattamenti 
disciplinati dalla presente 
direttiva e di raccogliere 
qualsiasi informazione 
necessaria all'esercizio della 
sua funzione di controllo; 
- d i poter i effett i v i 
d'intervento, come quello di 
ordinare il congelamento o la 
cancellazione dei dati, il 
vietare a titolo provvisorio o 
definitivo un trattamento, 
distruggere il supporto 
materiale dei dati oppure di 
rivolgere un avvertimento al 
responsabile del trattamento; 
- del potere di adire l'autorità 
giudiziaria qualora constati una 
v i oIaz i one de II e di spos i z i on i 
nazionali di attuazione della 
presente d i rett i va. 
All'autoiitA di contiollo può 
rivolgersi qualsiasi persona che 
abbia interesse a presentarle una 
denuncia o un reclamo concernenti 
la protezione delle persone in 
materia di dati personali. 3. Qualsiasi p'" sona può' progni ar fj 
all'autorità di controllo denuncie 
o reclami concernenti la tutela 
delle persone con riguardo al 
trattamento dei dati personali. 
Essa viene informata degli esiti 
di tali atti. 
- 120 -
4. Ogni autorità di controllo 
presenta una relazione annuale 
sulle proprie attività. La 
relazione è oggetto di 
pubblicazione. 
5. Le autorità degli Stati membri 
collaborano tra di loro nella 
misura necessaria allo svolgimento 
dei propri compiti di controllo, 
in particolare attraverso lo 
scambio di informazioni utili, il 
ricorso ai mezzi investigativi o 
l'esercizio dei poteri 
d ' i ntervento. 
6. Gli Stati membri dispongono che 
ogni autorità di controllo e i 
suoi membri ed agenti sono 
soggetti all'obbligo del segreto 
profess ionaI e. 
- 121 -
Art icolo 27 
Gruppo per la protezione 
dei dati personali Ar t i co Io 31 
Gruppo per la tutela delle 
persone con riguardo al 
trattamento dei dati personali 
1. E' istituito un Gruppo per la 
protezione dei dati personali. Tale 
Gruppo, a carattere consultivo e 
indipendente, è composto dai 
rappresentanti dell'autorità di 
controllo, prevista dall'articolo 
26, di tutti gli Stati membri ed è 
presieduto da un rappresentante 
de II a Comm i ss ione. 1. E' istituito un Gruppo per la 
tutela delle persone con riguardo 
al trattamento dei dati personali, 
in appresso denominato "il 
gruppo". Esso, a carattere 
consultivo e indipendente, è 
composto da rappresentanti delle 
autorità di controllo di cui 
a II 'art i co lo 30 e da un 
rappresentante della Commissione. 
Qualora uno Stato membro abbia 
designato più autorità di 
controllo, queste procedono alla 
nomina di rappresentanti comuni 
che dispongono, in seno al gruppo, 
degli stessi diritti ed obblighi 
degli altri rappresentanti delle 
a I tre autor i tà. 
2. Il gruppo elegge il proprio 
presidente. La durata del mandato 
del presidente è di due anni. Il 
mandato è rinnovabile. 
- 122 -
Al segretariato del Gruppo per la 3. Al segretariato del gruppo 
protezione dei dati personali provvede la Commissione, 
provvedono i servizi della 
Commissione. 
Il Gruppo per la protezione dei 
dati personali adotta il proprio 
regolamento interno. 4. Il gruppo adotta il proprio 
regolamento interno. 
Il Gruppo per la protezione dei 
dati personali esamina le questioni 
iscritte all'ordine del giorno dal 
suo presidente, di sua iniziativa o 
su domanda motivata di un 
rappresentante delle autorità di 
controllo, concernenti 
l'applicazione delle disposizioni 
di diritto comunitario in materia 
di protezione dei dati personali. 5. Il gruppo esamina le questioni 
iscritte all'ordine del giorno dal 
suo presidente, per iniziativa di 
questo o su domanda motivata di un 
rappresentante delle autorità di 
controllo oppure su domanda della 
Comm i ss i one. 
- 123 -
Art icolo 28 
Compiti dei Gruppo per la 
protezione dei dati personali 
1. Il Gruppo per la protezione dei 
dat i persona Ii: 
a) contribuisce all'interpretazione 
omogenea delle norme nazionali 
adottate in applicazione della 
presente d i rett i va ; Ar t i co Io 32 
Comp iti de I gruppo 
1. Il gruppo ha i seguenti compiti 
a) contribuire all'applicazione 
omogenea delle norme nazionali di 
attuazione della presente 
d i rett i va ; 
b) formula un parere sul livello di b) formulare un parere sul livello di 
protezione nella Comunità e nei tutela nella Comunità e nei paesi 
paesi terzi ; terz i ; 
c) consiglia la Commissione in merito 
a progetti di misure addizionali o 
specifiche da adottare ai fini 
della protezione della vita 
pr i vata. c) consigliare la Commissione in 
merito a progetti di modificazioni 
della presente direttiva, progetti 
di misure addizionali o specifiche 
da prendere ai fini della tutela 
dei diritti e delle libertà delle 
persone fisiche, nonché in merito 
a qualsiasi altro progetto di 
misure che incidano su tali 
diritti e li bertà; 
d) formulare un parere sui codici di 
condotta elaborati a livello 
comun i tar io. 
- 124 -
2. Qualora il Gruppo per la protezione 
dei dati personali constati tra le 
legislazioni o prassi degli Stati 
membri in materia di protezione di 
dati personali divergenze tali da 
pregiudicare l'equivalenza della 
protezione nella Comunità, ne 
informa la Commissione. 2. Qualora il gruppo constati che, 
tra le legislazioni o prassi degli 
Stati membri in materia di tutela 
delle persone nei confronti del 
trattamento dei dati personali, si 
instaurino divergenze gravi che 
rischino di pregiudicare 
l'equivalenza della tutela nella 
Comunità, ne informa la 
Commi ss ione. 
3. Il Gruppo per la protezione dei 
dati personali può formulare 
raccomandazioni su qualsiasi 
questione riguardante la protezione 
delle persone per quanto concerne i 
dati personali nella Comunità. Le 
raccomandazioni vengono messe a 
verbale e possono essere trasmesse 
al Comitato consultivo di cui 
all'articolo 30. La Commissione 
informa il Gruppo per la protezione 
dei dati personali del seguito da 
essa dato alle raccomandazioni. 3. Il gruppo può formulare di propria 
iniziativa raccomandazioni su 
qualsiasi questione riguardante la 
tutela delle persone nei confronti 
del trattamento di dati personali 
ne II a Comun i tà. 
4. I pareri e le raccomandazioni del 
gruppo vengono messi a verbale e 
trasmessi alla Commissione; 
possono essere comunicati anche al 
comitato consultivo di cui 
al I 'art icolo 34. 
- 125 -
5. La Commissione informa il gruppo 
del seguito da essa dato ai pareri 
e alle raccomandazioni. A tal fine 
redige una relazione che viene 
trasmessa anche al Parlamento 
europeo e al Consiglio. La 
relazione è oggetto di 
pubblicazione. 
4. Il Gruppo per le protezione dei 
dati personali redige una relazione 
annuale sullo stato della 
protezione delle persone per quanto 
riguarda il trattamento dei dati 
personali nella Comunità e nei 
paesi terzi, e la trasmette alla 
Commissione. 6. Il gruppo redige una relazione 
annuale sullo stato della tutela 
delle persone fisiche nei 
confronti del trattamento dei dati 
personali nella Comunità e nei 
paesi terzi e la trasmette alla 
Commissione, al Parlamento europeo 
e al Consiglio. La relazione è 
oggetto di pubblicazione. 
- 126 -
CAPO X CAPO VII 
POTERE REGOLAMENTARE DELLA POTERE REGOLAMENTARE DELLA 
COMMISSIONE COMMISSIONE 
Articolo 29 Articolo 33 
Esercizio del potere regolamentare Esercizio del potere regolamentare 
1. La Commissione, secondo la 
procedura di cui all'articolo 30, 
paragrafo 2, stabilisce le modalità 
tecniche necessarie per applicare 
la presente direttiva alle 
specificità di taluni settori, 
tenuto conto delle conoscenze 
attuali in materia e dei codici di 
buona condotta. 
Art icolo 30 
Comitato consultivo 
1. La Commissione è assistita da un 
Comitato consultivo composto da 
rappresentanti degli Stati membri e 
presieduto dal rappresentante della 
Comm i ss i one. 1. La Commissione stabilisce, secondo 
la procedura di cui 
all'articolo 34, paragrafo 2, le 
necessarie modalità tecniche di 
applicazione della presente 
direttiva con riguardo alle 
specificità di taluni settori o di 
talune categorie di trattamenti 
nonché le misure necessarie ai 
fini di un'applicazione omogenea 
delle disposizioni della medesima. 
Art i co lo 34 
Comitato consultivo 
1. La Commissione è assistita da un 
comitato consultivo composto dai 
rappresentanti degli Stati membri 
e presieduto dal rappresentante 
de II a Comm i ss ione. 
- 127 -
2. Il rappresentante della Commissione 
sottopone al Comitato un progetto 
di misure da adottare. Il Comitato 
esprime il suo parere su tale 
progetto entro un termine che il 
presidente può fissare in funzione 
dell'urgenza della questione di cui 
trattasi, procedendo, se del caso, 
ad una votazione. Il parere è 
iscritto a verbale; inoltre, 
ciascuno Stato membro ha il diritto 
di chiedere che la sua posizione 
sia verbalizzata. La Commissione 
attribuisce la massima importanza 
al parere espresso dal Comitato, e 
lo informa del modo in cui ha 
tenuto conto del suo parere. 2. Il rappresentante della 
Commissione sottopone al comitato 
un progetto delle misure da 
adottare. Il comitato, entro un 
termine che il presidente può 
fissare in funzione dell'urgenza 
della questione in esame, formula 
il suo parere sul progetto, 
eventualmente procedendo a 
votaz ione. 
Il parere è iscritto a verbale; 
inoltre, ciascuno Stato membro ha 
il diritto di chiedere che la sua 
posizione figuri a verbale. 
La Commissione tiene in massima 
considerazione il parere formulato 
dal comitato. Essa lo informa del 
modo in cui ha tenuto conto del 
suo parere. 
DISPOSIZIONI FINALI 
Art i co lo 31 DISPOSIZIONI FINALI 
Art icolo 35 
1. Gli Stati membri mettono in vigore 
le disposizioni legislative, 
regolamentari ed amministrative 
necessarie per conformarsi alla 
presente direttiva entro e non 
oltre il 1" gennaio 1993. 1. Gli Stati membri mettono in vigore 
le disposizioni legislative, 
regolamentari ed amministrative 
necessarie per conformarsi alla 
presente direttiva entro e non 
ol tre il 1 * lug I io 1993. 
- 128 -
Quando gli Stati membri adottano 
tali disposizioni, queste 
contengono un riferimento alla 
presente direttiva o sono 
corredate da un siffatto 
riferimento all'atto della loro 
pubblicazione ufficiale. Le 
modalità di tale riferimento sono 
decise dagli Stati membri. 
2. Gli Stati membri stabiliscono la 
data, non essere posteriore al 
30 giugno 1997, successivamente 
alla quale i trattamenti la cui 
realizzazione è anteriore al 
1* luglio 1994 dovranno essere 
conformi alle disposizioni 
nazionali di attuazione della 
presente d i rett i va. 
Le disposizioni adottate in virtù del 
primo comma fanno riferimento alla 
presente dirett iva. 
2. Gli Stati membri comunicano alla 
Commissione il testo delle 
disposizioni di diritto interno che 
adottano nella materia disciplinata 
dalla presente direttiva. 3. Gli Stati membri comunicano alla 
Commissione il testo delle 
disposizioni di diritto interno 
che adottano nel settore 
disciplinato dalla presente 
dirett iva. 
- 129 -
Art icolo 32 
La Commissione presenta periodicamente 
al Consiglio e al Parlamento europeo 
una relazione sull'applicazione della 
presente direttiva, accompagnata, se 
del caso, dalle opportune proposte di 
mod i f i ca. Art i co lo 36 
La Commissione presenta 
periodicamente al Consiglio e al 
Parlamento europeo una relazione 
sull'applicazione della presente 
direttiva, accompagnata, se del caso, 
dalle opportune proposte di 
modificazione. La relazione è oggetto 
d i pubbIicaz ione. 
Art icolo 33 
Gli Stati membri sono destinatar 
della presente direttiva. Art i co lo 37 
Gli Stati membri sono destinatari 
della presente direttiva. 
Fatto a Bruxelles, 
Per iI Consigi io Fatto a BruxeI les, 
Per iI Consigi io 
- 130 -
SCHEDA FINANZIARIA 
Prima parte: incidenza finanziaria 
1. Denominazione dell'azione 
Proposta modificata di direttiva del Consiglio concernente la 
protezione delle persone fisiche relativamente al trattamento dei 
dati personali ed alla libera circolazione di tali dati. 
2. Linee di bilancio interessate 
- A 2510: Spese di riunione di un comitato la cui consultazione è 
elemento obbligatorio della procedura di formazione di atti 
comun i tar i . 
- A 2511: Spese di riunione di un comitato la cui consultazione non 
è elemento obbligatorio della procedura di formazione di atti 
comun i tar i . 
- Titoli A1 e A2: Spese per il personale e spese di funzionamento. 
3. Base qiur idica 
Articolo 100A del trattato CEE. 
4. Descrizione dell'azione 
- Ob i et t i v i 
consentire il buon funzionamento del mercato interno 
garantendo la circolazione oltre frontiera di dati personali 
ne II a Comun i tà; 
garantire la protezione delle persone fisiche per quanto 
riguarda i dati personali. 
- Istituzione di due comitati competenti in materia di protezione 
delle persone relativamente ai dati personali (artt. 31 e 34). 
- Soggetti interessati 
1. Per il gruppo per la protezione delle persone nei confronti 
del trattamento dei dati personali (art. 31): rappresentanti 
dell'autorità di controllo di tutti gli Stati membri 
(gruppo 4). 
2. Per il Comitato consultivo (art. 34): rappresentanti degli 
Stati membri (gruppo 3). 
- 131 -
Un rappresentante della Commissione presiede il Comitato consultivo. 
La presidenza del gruppo per la protezione viene assunta da un 
membro eletto per due anni. I servizi della Commissione provvedono a 
svolgere i compiti di segreteria del Comitato consultivo e del 
gruppo per la protezione delle persone nei confronti del trattamento 
de i dat i persona Ii . 
5. Classificazione della spesa 
5.1.: Spese non obbligatorie (SNO) 
5.2.: Stanziamenti non dissociati (SND) 
6. Natura della spesa 
Spese di partecipazione dei membri alle riunioni del gruppo e del 
comi tato. 
- Spese per il personale. 
7. Incidenza finanziaria sugli stanziamenti d'intervento 
Nessuna. 
8. Disposizioni per la prevenzione delle frodi previste nella proposta 
d'az ione 
Nessuna. 
Seconda parte: Spese amministrative (parte A del bilancio) 
1. Precisare se l'azione proposta implica un aumento di organico della 
Comm i ss i one 
Si: 2 funzionari di grado C. 
Tali posti saranno ottenuti sia nel quadro della ripartizione delle 
risorse decisa dalla Commissione sulla base dei bilanci futuri, sia 
mediante ridistribuzione interna. 
2. Importo delle spese prodotte: 
- Segretar iato: ± 120 000 ECU all' anno imputate alle var i e 
linee di bilancio dei titoli A1 e A2 
(2 funz ionar i C). 
- R i un ion i de i grupp i : 
* Gruppo per la protezione delle persone nei confronti del 
trattamento dei dati personali: 
- 132 -
24 membri (non governativi) per 4 riunioni di 2 giorni: 
- Spese di viaggio : 526,61 ECU x 24 x 4 
- Spese di trasporto : 105,40 ECU x 24 x 4 
- Spese di segreteria: 105,40 ECU x 24 x 4 x 2 50 555 ECU 
10 118 ECU 
20 236 ECU 
80 909 ECU 
* Comitato consultivo: 
24 membri (governativi) per 2 riunioni di 2 giorni: 
- Spese di viaggio 526,61 ECU X 24 x 2 25 277 ECU 
Totale arrotondato per un anno intero: 
- segreter i a 
- gruppo 
- comitato 120 000 ECU 
81 000 ECU 
25 000 ECU 
TOTALE 226 000 ECU 
Terza parte: Elementi per un'analisi del rapporto costo/efficacia 
1. Obiettivi e coerenza con la programmazione finanziaria 
Si tratta di istituire due gruppi che saranno autorizzati a riunirsi 
a partire dal 1994 e saranno inseriti nell'elenco dei comitati in 
sede di programmazione finanziaria 1994. 
Lo scadenziario degli stanziamenti d'impegno e di pagamento (SN0, 
SND) è il seguente: 
Gli stanziamenti devono essere ottenuti nel quadro generale di ogni 
procedura di bilancio all'interno delle varie voci della Parte A. 
2. Motivazione dell'azione 
a) Gruppo per la protezione delle persone nei confronti del 
trattamento dei dati personali (art. 31). 
Viene istituito tale gruppo a carattere consultivo e 
indipendente, composto di rappresentanti dell'autorità di 
controllo di tutti gli Stati membri. 
Il gruppo adotta il proprio regolamento interno. Al segretariato 
del gruppo provvedono i servizi della Commissione. SI SP 
1994 
1995 
1996 
1997 
1998 226 000 ECU 
226 000 ECU 
226 000 ECU 
226 000 ECU 
226 000 ECU 
- 133 -
Compiti del gruppo: cfr. articolo 32. Il gruppo sarà tenuto a 
consigliare la Commissione in merito ai progetti di misure 
addizionali formulando il proprio parere in piena indipendenza, 
fattore fondamentale nel settore della protezione della vita 
pr i vata. 
3. Controllo e valutazione dell'azione 
3.1. Ind i cator i: analisi della relazione annuale presentata dal 
gruppo in applicazione dell'articolo 32, paragrafo 6. 
3.2. Modalità e periodicità: ogni anno sulla base della relazione 
sopra menzionata che il gruppo ha il compito di presentare. 
3.3. I principali fattori d'incertezza riguarderanno le difficoltà 
incontrate nell'armonizzazione delle varie impostazioni e dei 
diversi gradi di esperienza negli Stati membri. Tali 
divergenze sono dovute a fattori differenti, soprattutto di 
natura culturale e tecnica. 
- 134 -
SCHEDA DI VALUTAZIONE DELL'IMPATTO 
IMPATTO DELLA PROPOSTA SULLE IMPRESE 
E SU ALTRI ORGANISMI INTERESSATI ED IN PARTICOLARE 
SULLE PICCOLE E MEDIE IMPRESE (PMI) 
Titolo del la proposta 
Proposta modificata di direttiva del Consiglio concernente la protezione 
delle persone fisiche relativamente al trattamento dei dati personali ed 
alla libera circolazione di tali dati. 
Numero di riferimento del documento 
LA PROPOSTA 
1. Tenuto conto del principio di sussidiarietà specificare le ragioni 
per le quali risulta necessaria una legislazione comunitaria in 
questo settore e i principali obiettivi perseguiti 
I flussi di dati personali tra i vari operatori economici e le parti 
sociali stabiliti nei diversi Stati membri e il trattamento di tali 
dati ad opera degli organismi interessati sono in notevole aumento a 
seguito della realizzazione del mercato interno: 
- flusso tra imprese private o pubbliche; 
- flusso tra unità che dipendono giuridicamente da una stessa 
impresa ; 
- flusso tra amministrazioni nazionali tenute a prestare reciproca 
assistenza in virtù di vari atti comunitari; 
flusso verso centri di ricerca per esempio nel settore medico, 
ecc. 
Le importanti divergenze esistenti tra le legislazioni nazionali -
va precisato d'altronde che quattro Stati membri non hanno ancora 
una legislazione specifica in materia di protezione dei dati: 
Belgio, Grecia, Italia, Spagna - danno origine a: 
- ostacoli alla libera circolazione dei dati personali, soprattutto 
a destinazione di uno Stato membro che non dispone di 
legislazione poiché le legislazioni in materia tendono a 
proteggere le libertà e i diritti fondamentali, soprattutto la 
vita privata delle persone fisiche; 
- distorsione della concorrenza tra operatori economici della 
Comunità, in quanto alcuni sono assoggettati agli oneri imposti 
dalle legislazioni in materia di tutela mentre altri ne sono 
esenti a seconda dello Stato membro in cui sono stabiliti. 
- 135 -
Inoltre l'introduzione di norme in materia di protezione dei dati è 
tale da favorire lo sviluppo del mercato dell'informazione in virtù 
della certezza del diritto che tali norme procurano agli organismi 
interessat i. 
Risulta pertanto fondamentale che un intervento della Comunità deve 
assumere la forma di un ravvicinamento delle legislazioni nazionali. 
La convenzione del Consiglio d'Europa del 28 gennaio 1981 per la 
protezione delle persone relativamente al trattamento automatizzato 
dei dati personali, solo strumento di diritto internazionale in 
materia, prevede numerose alternative per l'applicazione dei 
principi in essa definiti e non permette pertanto una sufficiente 
armonizzazione in vista del mercato interno. 
L'IMPATTO SULLE IMPRESE. SULLE AMMINISTRAZIONI PUBBLICHE E SUGLI ALTRI 
ORGANISMI. IN PARTICOLARE LE FONDAZIONI ED ASSOCIAZIONI 
2. Soggetti interessati dal la proposta 
La proposta riguarda, indipendentemente dalla dimensione o dal 
settore di attività, tutte le imprese pubbliche e private, le 
amministrazioni pubbliche le cui attività sono soggette al diritto 
comunitario nonché le fondazioni ed associazioni senza scopo di 
lucro purché tali organismi siano incaricati del trattamento di dati 
personali (gestione di fornitori e clienti, amministrazione del 
personale, dei membri o dei corrispondenti delle associazioni e 
fondazioni, trattamento di dati relativi alle persone amministrate, 
offerta di servizi di informazione relativi a persone fisiche). 
Tuttavia, come dimostrato dalle consultazioni di cui al punto 6, il 
settore dell'industria più direttamente interessato 
dall'applicazione di tale direttiva è il settore terziario nel quale 
operano imprese ed organismi le cui attività sono orientate verso le 
persone fisiche e il cui sviluppo è basato sull'elaborazione 
dell'informazione: imprese di marketing diretto, istituti 
finanziari, compagnie d'assicurazione, agenzie di valutazione 
de II'affidab iI i tà. 
3. Misure che le imprese sono tenute a prendere per conformarsi alla 
prppQstfl 
Dovranno introdurre procedure decisionali e schemi organizzativi 
destinati a comprendere, in funzione della struttura e della 
dimensione dell'organismo, il responsabile del settore informatica e 
organizzazione, il servizio destinatario di tali trattamenti, il 
servizio giuridico, il responsabile dell'organismo. Allo stadio di 
impostazione di nuovi trattamenti di dati personali, prima di 
procedere agli investimenti, l'organismo deve pertanto: 
- verificare la liceità dei trattamenti previsti; 
- 136 -
- prevedere l'informazione da trasmettere alle persone interessate 
dai trattamenti (tale informazione potrà essere fornita in 
occasione di normali contatti tra il responsabile del trattamento 
e le persone interessate); 
- predisporre le misure tecniche e organizzative destinate a 
garantire la sicurezza dei dati dei trattamenti; 
- verificare la procedura di notifica applicabile. Dopo aver 
raccolto gli elementi d'informazione necessari, il responsabile 
constaterà se è previsto l'esonero dalla notifica oppure seguirà 
una procedura semplificata oppure aprirà la pratica richiesta. 
Il responsabile del trattamento deve inoltre garantire 
l'introduzione di una procedura che consenta di rispondere alle 
eventuali richieste basate sul diritto di accesso delle persone 
interessate ai dati che le riguardano, nonché ad eventuali reclami 
ed è tenuto a predisporre controlli in materia di corretta 
applicazione delle misure di sicurezza. 
Tali compiti devono essere realizzati progressivamente in funzione 
dell'attuazione dei nuovi trattamenti e possono pertanto essere 
pianificati in relazione all'impostazione tecnica dei trattamenti. 
Per i trattamenti attuati prima dell'entrata in vigore delle 
disposizioni nazionali prese in applicazione della direttiva, tali 
compiti possono essere pianificati su un periodo di tre anni 
previsto a tal fine dalla direttiva. 
Per gli organismi stabiliti negli Stati membri già dotati di 
legislazione in questo settore le misure richieste dalla direttiva 
non sono di natura diversa da quelle già attuate. 
Per gli organismi stabiliti negli Stati membri non dotati di tale 
legislazione è necessaria l'acquisizione dei nuovi metodi ed a tale 
proposito le autorità di controllo competenti possono fornire un 
aiuto prezioso per facilitare la realizzazione di tale compito nella 
fase di avviamento (consulenza, procedura di semplificazione della 
notifica di alcuni trattamenti, ecc.). 
4. Consequenze economiche che la proposta PUÒ comportare 
La protezione della vita privata delle persone, garantita dalla 
direttiva, contribuisce ad aumentare l'accettazione sociale nei 
confronti dell'impiego di vari trattamenti di dati personali e di 
conseguenza l'accettazione di una loro espansione, fattore 
favorevole alla crescita e alla creazione di posti di lavoro nel 
settore privato e pubblico. 
Inoltre queste norme di protezione sono tali da eliminare le 
distorsioni della concorrenza dovute alla disparità attualmente 
esistente nelle legislazioni nazionali. Per quanto riguarda la 
competitività internazionale la direttiva prevede negoziati con i 
paesi terzi che non garantiscono ancora un livello di protezione 
adeguato. 
- 137 -
5. Specificare se la proposta contiene misure destinate a tener conto 
della situazione specifica delle piccole e medie imprese 
No. Tuttavia si può ragionevolmente ritenere che la maggior parte 
dei trattamenti effettuati dalle PMI rientreranno nelle categorie 
che, secondo il sistema proposto, potrebbero essere esonerate 
dall'obbligo di notifica o beneficiare di misure di semplificazione 
(lo svolgimento di tali formalità non dovrebbe superare qualche ora 
di lavoro). D'altronde la direttiva non prevede alcun onere per lo 
svolgimento delle formalità di notifica. 
CONSULTAZIONE 
6. Elenco degli organismi che sono stati consultati sulla proposta e 
sintesi degli elementi essenziali della loro posizione 
a) la consultazione degli ambienti interessati è stata fatta in 
primo luogo attraverso il Comitato economico e sociale che ha 
espresso parere favorevole sulla proposta (GU C 159 del 
17.6.1991, pag. 38), il Comitato del commercio e della 
distribuzione (CCD) e il Comitato consultivo dei consumatori. 
b) I contatti diretti su iniziativa dei servizi o degli ambienti 
professionali hanno privilegiato, per la proposta modificata, le 
associazioni professionali a vocazione europea sia per il 
carattere orizzontale della proposta (UNICE) sia per i settori 
più interessati in particolare la federazione bancaria, il CELD, 
la FEWITA, il GEDIS, la Federazione europea del marketing 
diretto, EAT, CHANGE (associazione senza scopo di lucro), 
l'Associazione europea per gli studi di opinione e di marketing, 
ACT/EBU, EPC, ENPA, CAEJ, UER, FAEP (per gli aspetti stampa e 
aud iov i s i vo). 
Gli elementi essenziali delle posizioni degli ambienti professionali 
riguardano nei confronti della proposta iniziale: 
- il carattere troppo particolareggiato della proposta; 
la posizione predominante assegnata al consenso della persona 
interessata come condizione per II trattamento di dati personali; 
il divieto di ogni possibilità di decisione automatizzata e di 
elaborazione di profili; 
la gravosità e l'inadeguatezza degli obblighi in materia di 
informazione della persona interessata e di notifica alle 
autorità di controllo; 
l'impossibilità di effettuare il commercio internazionale in 
direzione dei paesi terzi che non garantiscono un livello di 
protezione adeguato; 
- 138 -
il rischio di pregiudizio alla libertà di espressione qualora 
alcuni Stati membri non concedano le deroghe necessarie per 
conciliare le norme relative all'esercizio di tale libertà con 
quelle della protezione della vita privata. 
La proposta modificata ha tentato di apportare i chiarimenti o gli 
adeguamenti necessari pur mantenendo l'obiettivo di un alto livello 
di protezione senza il quale non potrebbe essere garantita la libera 
c i reo Iaz ione. 
- 139 -
ISSN 0254-1505 
COM(92) 422 def. 
DOCUMENTI 
IT 06 
N. di catalogo : CB-CO-92-437-IT-C 
ISBN 92-77-47944-2 
Ufficio delle pubblicazioni ufficiali delle Comunità europee 
L-2985 Lussemburgo