COMMISSIONE EUROPEA Bruxelles, 10.1.2017 COM(2017) 8 final 2017/0002(COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione, nonché la libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la

decisione n. 1247/2002/CE



RELAZIONE 1.CONTESTO DELLA PROPOSTA •Motivi e obiettivi della proposta L’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea (TFUE), introdotto dal trattato di Lisbona, stabilisce il principio secondo il quale ogni persona ha diritto alla protezione dei dati personali che la riguardano. Inoltre al paragrafo 2 dello stesso articolo il trattato di Lisbona ha introdotto una base giuridica specifica per l’adozione di norme in materia di protezione dei dati personali. L’articolo 8 della Carta dei diritti fondamentali dell’Unione europea (Carta) annovera la protezione dei dati personali tra i diritti fondamentali. Il diritto alla protezione dei dati personali si applica anche al trattamento dei dati personali da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione. Il regolamento (CE) n. 45/2001 – pietra angolare nell’impianto della vigente normativa dell’UE in materia di protezione dei dati personali – è stato adottato nel 2001 con due obiettivi: salvaguardare il diritto fondamentale alla protezione dei dati e garantire la libera circolazione dei dati personali in tutta l’Unione. Il regolamento è stato integrato dalla decisione n. 1247/2002/CE. Il 27 aprile 2016 il Parlamento europeo e il Consiglio hanno adottato il regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679) che sarà applicabile dal 25 maggio 2018. Il presente regolamento richiede che il regolamento (CE) n. 45/2001 sia adeguato ai principi e alle norme stabiliti nel regolamento (UE) 2016/679 al fine di fornire un quadro di protezione dei dati solido e coerente nell’Unione e consentire di applicare contemporaneamente entrambi gli strumenti. L’allineamento, per quanto possibile, delle norme sulla protezione dei dati per le istituzioni, gli organi, gli uffici e le agenzie dell’Unione a quelle adottate per il settore pubblico degli Stati membri è in linea con l’approccio coerente in materia di protezione dei dati personali in tutta l’Unione. Quando le disposizioni della proposta si basano sullo stesso concetto su cui si basano le disposizioni del regolamento (UE) 2016/679, le disposizioni dei due regolamenti dovrebbero essere interpretate in modo omogeneo, in particolare in considerazione del fatto che il regime della proposta dovrebbe essere inteso come equivalente a quello del regolamento (UE) 2016/679. Il riesame del regolamento (CE) n. 45/2001 tiene conto anche dei risultati delle indagini, delle consultazioni con i portatori di interesse e dello studio di valutazione dell’applicazione del medesimo negli ultimi 15 anni. La presente iniziativa non rientra nel programma di controllo dell’adeguatezza e dell’efficienza normativa (REFIT). •Coerenza con le disposizioni vigenti nel settore normativo interessato La proposta si prefigge di allineare le disposizioni del regolamento (CE) n. 45/2001 ai principi e alle norme stabiliti dal regolamento (UE) 2016/679, al fine di fornire un quadro di protezione dei dati solido e coerente nell’Unione. La proposta integra anche le norme pertinenti stabilite dal regolamento (UE) XXXX/XX [regolamento relativo alla vita privata e alle comunicazioni elettroniche] per quanto riguarda la protezione delle apparecchiature terminali degli utenti finali. •Coerenza con le altre normative dell’Unione Non pertinente 2.BASE GIURIDICA, SUSSIDIARIETÀ E PROPORZIONALITÀ •Base giuridica La protezione delle persone fisiche in relazione al trattamento dei loro dati personali è un diritto fondamentale stabilito dall’articolo 8, paragrafo 1, della Carta. La presente proposta si basa sull’articolo 16 del TFUE, la base giuridica per l’adozione delle norme in materia di protezione dei dati. Tale articolo consente di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte degli delle istituzioni, degli organi e degli organismi dell’Unione nell’esercizio di attività che rientrano nel campo di applicazione del diritto dell’Unione. Tale disposizione consente inoltre l’adozione di norme relative alla libera circolazione dei dati personali, inclusi i dati personali trattati da dette istituzioni, organi e organismi. •Sussidiarietà (per la competenza non esclusiva) L’oggetto del presente regolamento ricade nell’ambito della competenza esclusiva dell’Unione, in quanto soltanto l’Unione può adottare norme che disciplinano il trattamento dei dati personali da parte delle proprie istituzioni.

•Proporzionalità In conformità al principio di proporzionalità, per il conseguimento degli obiettivi fondamentali di garantire un livello equivalente di protezione delle persone fisiche per quanto riguarda il trattamento dei dati personali e la libera circolazione degli stessi in tutta l’Unione, è necessario e appropriato stabilire norme per il trattamento dei dati personali da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione. Il presente regolamento si limita a quanto necessario per il raggiungimento degli obiettivi perseguiti, in conformità dell’articolo 5, paragrafo 4, del trattato sull’Unione europea. •Scelta dell’atto giuridico Un regolamento è considerato lo strumento giuridico appropriato per definire il quadro di protezione delle persone fisiche per quanto riguarda il trattamento di dati personali da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione e la libera circolazione di tali dati. Esso conferisce alle persone fisiche diritti azionabili e precisa gli obblighi in materia di trattamento di dati dei titolari del trattamento nelle istituzioni, negli organi, negli uffici e nelle agenzie dell’Unione. Esso prevede inoltre che un’autorità di controllo indipendente, il garante europeo della protezione dei dati, sia responsabile di sorvegliare il trattamento dei dati personali da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione. 3.RISULTATI DELLE VALUTAZIONI EX POST, DELLE CONSULTAZIONI DEI PORTATORI DI INTERESSI E DELLE VALUTAZIONI D’IMPATTO La Commissione ha condotto consultazioni con i portatori di interessi nel 2010 e nel 2011 e una valutazione d’impatto nell’ambito della preparazione del pacchetto di riforme della protezione dei dati, in cui sono fornite informazioni sulle modifiche che si propone di apportare al regolamento (CE) n. 45/2001. In tale contesto la Commissione ha svolto anche un’indagine sui coordinatori per la protezione dei dati (CPD) della Commissione stessa. Con riguardo all’applicazione pratica del regolamento (CE) n. 45/2001 da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione, sono state raccolte informazioni dal garante europeo della protezione dei dati (GEPD), dalle altre istituzioni, organi, uffici e agenzie dell’Unione, dalle altre DG della Commissione e da un contraente esterno. Un questionario è stato inviato alla rete dei responsabili della protezione dei dati. I responsabili della protezione dei dati di varie istituzioni, organi, uffici e agenzie dell’Unione hanno tenuto workshop sulla riforma del regolamento (CE) n. 45/2001 il 9 luglio 2015, il 22 ottobre 2015, il 19 gennaio 2016 e il 15 marzo 2016. Nel 2013 la Commissione ha deciso di condurre uno studio di valutazione sull’applicazione, fino a quel momento, del regolamento (CE) n. 45/2001, che ha affidato a un contraente esterno. I risultati finali dello studio di valutazione (relazione finale, cinque studi di casi e un’analisi dei singoli articoli) sono stati presentati alla Commissione l’8 giugno 2015. La valutazione ha dimostrato l’efficacia del sistema di governance che si basa sui responsabili della protezione dei dati (RPD) e sul GEPD. Essa ha stabilito che la suddivisione dei poteri tra gli RPD e il GEPD è chiara ed equilibrata e che entrambi hanno una gamma adeguata di poteri. Potrebbero tuttavia sorgere difficoltà a causa della mancanza di autorità, in quanto gli RPD non ricevono un sostegno sufficiente da parte della loro gestione. Lo studio di valutazione indica che si potrebbe migliorare l’attuazione del regolamento (CE) n. 45/2001 conferendo al GEPD il potere di imporre sanzioni. L’aumento dell’uso dei suoi poteri di autorità di controllo potrebbe portare a una migliore attuazione delle norme in materia di protezione dei dati. Lo studio conclude poi che i titolari del trattamento dovrebbero adottare un approccio di gestione dei rischi e svolgere valutazioni dei rischi prima di effettuare i trattamenti al fine di migliorare l’attuazione dei requisiti di conservazione e sicurezza dei dati. Lo studio ha dimostrato anche che le attuali norme del capo IV del regolamento (CE) n. 45/2001 concernenti il settore delle telecomunicazioni sono superate ed è necessario allineare detto capo con la direttiva relativa alla vita privata e alle comunicazioni elettroniche. Secondo lo studio di valutazione è inoltre necessario chiarire ulteriormente alcune definizioni fondamentali del regolamento (CE) n. 45/2001. Esse includono l’individuazione dei titolari del trattamento dei dati all’interno delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione, la definizione dei destinatari e l’estensione dell’obbligo di riservatezza ai responsabili del trattamento esterni. Lo studio di valutazione ha inoltre indicato la necessità di semplificare il regime delle notifiche e dei controlli preventivi al fine di aumentare l’efficienza e ridurre gli oneri amministrativi. Il valutatore ha condotto un’indagine online su 64 istituzioni, organi e uffici e agenzie dell’Unione. Hanno risposto alle domande dell’indagine 422 funzionari responsabili dei titolari del trattamento, 73 RPD, 118 CPD e 109 membri del personale informatico. Il valutatore ha anche condotto una serie di interviste con i portatori di interesse. Il 26 marzo 2015 il valutatore e la Commissione hanno organizzato un workshop finale a cui hanno partecipato vari titolari del trattamento, RPD, CPD, membri del personale informatico e rappresentanti del GEDP. •Assunzione e uso di perizie Si veda il riferimento allo studio di valutazione nel punto precedente. •Valutazione d’impatto L’impatto della presente proposta riguarda principalmente le istituzioni, gli organi, gli uffici e le agenzie dell’Unione. Ciò è stato confermato dalle informazioni che sono state raccolte dal garante europeo della protezione dei dati, dalle altre istituzioni, organi, uffici e agenzie dell’Unione, dalle altre DG della Commissione e da un contraente esterno. Inoltre l’impatto dei nuovi obblighi derivanti dal regolamento (UE) 2016/679, a cui il presente regolamento deve essere allineato, è stato valutato nell’ambito dei lavori preparatori per quest’ultimo. Non è pertanto necessaria una valutazione d’impatto specifica per il presente regolamento. •Efficienza normativa e semplificazione Non pertinente

•Diritti fondamentali Il diritto alla protezione dei dati personali è sancito dall’articolo 8 della Carta, dall’articolo 16 del TFUE e dall’articolo 8 della Convenzione europea dei diritti dell’uomo. Come sottolinea la Corte di giustizia dell’Unione europea, il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale. La protezione dei dati è strettamente legata anche al rispetto della vita privata e familiare tutelato dall’articolo 7 della Carta. La presente proposta stabilisce le norme di protezione delle persone fisiche per quanto riguarda il trattamento di dati personali da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione e la libera circolazione di tali dati. Altri diritti fondamentali sanciti dalla Carta che potrebbero essere potenzialmente interessati sono: la libertà di espressione (articolo 11); il diritto di proprietà e, in particolare, la tutela della proprietà intellettuale (articolo 17, paragrafo 2); il divieto di qualsiasi forma di discriminazione fondata, tra l’altro, sulla razza, l’origine etnica, le caratteristiche genetiche, la religione o le convinzioni personali, le opinioni politiche o di qualsiasi altra natura, la disabilità, o l’orientamento sessuale (articolo 21); i diritti del minore (articolo 24); il diritto a un elevato livello di protezione sanitaria (articolo 35); il diritto d’accesso ai documenti (articolo 42) e il diritto a un ricorso effettivo e a un giudice imparziale (articolo 47). 4.INCIDENZA SUL BILANCIO Si veda la scheda finanziaria nell’allegato. 5.ALTRI ELEMENTI •Piani attuativi e modalità di monitoraggio, valutazione e informazione Non pertinente •Documenti esplicativi (per le direttive) Non pertinente CAPO I - DISPOSIZIONI GENERALI L’articolo 1 definisce l’oggetto del regolamento e, alla stregua dell’articolo 1 del regolamento (CE) n. 45/2001, stabilisce i due obiettivi del regolamento: salvaguardare il diritto fondamentale alla protezione dei dati e garantire la libera circolazione dei dati personali in tutta l’Unione. Esso prevede inoltre i compiti principali del garante europeo della protezione dei dati. L’articolo 2 delimita l’ambito di applicazione del regolamento. Quest’ultimo si applica al trattamento dei dati personali, con l’ausilio di strumenti automatizzati o in altro modo, da parte di tutte le istituzioni e di tutti gli organi dell’Unione, nella misura in cui detto trattamento è effettuato nell’esercizio di attività che rientrano in tutto o in parte nell’ambito di applicazione del diritto dell’Unione. L’ambito di applicazione materiale del regolamento proposto è tecnologicamente neutro. La protezione dei dati personali si applica sia al trattamento dei dati personali con l’ausilio di strumenti automatizzati sia al trattamento manuale, se i dati personali sono contenuti o destinati a essere contenuti in un archivio. L’articolo 3 contiene le definizioni dei termini utilizzati nel regolamento. Eccettuate le definizioni di “istituzioni e organi dell’Unione”, “titolare del trattamento”, “utente” ed “elenco”, che sono specifiche del regolamento proposto, i termini in esso utilizzati sono definiti nel regolamento (UE) 2016/679, nel regolamento (UE) 0000/00 [nuovo regolamento relativo alla vita privata e alle comunicazioni elettroniche], nella direttiva 00/0000/UE [direttiva che istituisce il codice europeo delle comunicazioni elettroniche] e la direttiva 2008/63/CE della Commissione. CAPO II - PRINCIPI L’articolo 4 stabilisce i principi in materia di trattamento dei dati personali, che corrispondono a quelli di cui all’articolo 5 del regolamento (UE) 2016/679. Rispetto al regolamento (CE) n. 45/2001 esso aggiunge i nuovi principi di trasparenza, integrità e riservatezza. L’articolo 5 si basa sull’articolo 6 del regolamento (UE) 2016/679 e stabilisce i criteri per il trattamento lecito, con la sola eccezione del criterio del legittimo interesse del titolare del trattamento che non è applicabile al settore pubblico e pertanto non si dovrebbe applicare alle istituzioni e agli organi dell’Unione. L’articolo 5 mantiene i criteri già stabiliti dall’articolo 5 del regolamento (CE) n. 45/2001. L’articolo 6 chiarisce le condizioni del trattamento per un’altra finalità compatibile in linea con l’articolo 6, paragrafo 4, del regolamento (UE) 2016/679. Rispetto all’articolo 6 del regolamento (CE) n. 45/2001 la nuova disposizione prevede una flessibilità e una certezza del diritto maggiori per quanto riguarda l’ulteriore trattamento per finalità compatibili. L’articolo 7 chiarisce, conformemente all’articolo 7 del regolamento (UE) 2016/679, le condizioni alle quali il consenso è valido come base giuridica ai fini di un trattamento lecito.

L’articolo 8 stabilisce, in linea con l’articolo 8 del regolamento (UE) 2016/679, ulteriori condizioni per la liceità del trattamento dei dati personali di un minore in relazione ai servizi della società dell’informazione diretti ai minori. Esso fissa a 13 anni l’età minima per il consenso valido del minore. L’articolo 9 stabilisce, in conformità all’articolo 8 del regolamento (CE) n. 45/2001, norme che prevedono un livello specifico di protezione per la trasmissione di dati personali a destinatari diversi dalle istituzioni e dagli organi dell’Unione, stabiliti nell’Unione e soggetti al regolamento (UE) 2016/679 o alla direttiva (UE) 2016/680. Esso chiarisce che, quando dà origine alla trasmissione, il titolare del trattamento dovrebbe dimostrare la necessità e la proporzionalità della trasmissione. Sulla base dell’articolo 9 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 10 del regolamento (CE) n. 45/2001, l’articolo 10 stabilisce il divieto generale di trattamento di categorie particolari di dati personali e le eccezioni a questa regola generale. In conformità all’articolo 10 del regolamento (UE) 2016/679 e in linea con l’articolo 10, paragrafo 5, del regolamento (CE) n. 45/2001, l’articolo 11 stabilisce le condizioni per il trattamento dei dati personali relativi alle condanne penali e ai reati. In conformità all’articolo 11 del regolamento (UE) 2016/679, l’articolo 12 chiarisce gli obblighi di informazione del titolare del trattamento nei confronti dell’interessato e stabilisce che se i dati personali che tratta non gli consentono di identificare una persona fisica, il titolare del trattamento non dovrebbe avere l’obbligo di acquisire ulteriori informazioni per identificare l’interessato al solo fine di rispettare una disposizione del presente regolamento. Tuttavia, il titolare del trattamento non dovrebbe rifiutare le ulteriori informazioni fornite dall’interessato al fine di sostenere l’esercizio dei suoi diritti. Sulla base dell’articolo 89, paragrafo 1, del regolamento (UE) 2016/679, l’articolo 13 stabilisce le norme sulle garanzie relative al trattamento ai fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici. CAPO III - DIRITTI DELL’INTERESSATO Sezione 1 – Trasparenza e modalità Sulla base dell’articolo 12 del regolamento (UE) 2016/679, l’articolo 14 introduce l’obbligo in capo ai titolari del trattamento di fornire informazioni trasparenti, facilmente accessibili e comprensibili, e prevedere le procedure e i meccanismi che permettano all’interessato di esercitare i propri diritti, compresi, se del caso, i mezzi per introdurre le richieste per via elettronica, l’obbligo di rispondere entro un termine determinato e di motivare un eventuale rifiuto. Poiché le istituzioni e gli organi dell’Unione non dovrebbero applicare in nessun caso contributi spese relativi ai costi amministrativi per fornire informazioni, tale possibilità non è stata ripresa dal regolamento (UE) 2016/679. Sezione 2 – Informazioni e accesso ai dati L’articolo 15 precisa gli obblighi di informazione del responsabile del trattamento nei confronti dell’interessato qualora i dati siano raccolti presso l’interessato, sulla base dell’articolo 13 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 11 del regolamento (CE) n. 45/2001, ossia le informazioni da fornire all’interessato, compreso il periodo di conservazione, il diritto di proporre reclamo e i trasferimenti internazionali. Sulla base dell’articolo 14 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 12 del regolamento (CE) n. 45/2001, l’articolo 16 precisa che il titolare del trattamento ha l’obbligo di informare l’interessato, qualora i dati personali non siano stati ottenuti presso l’interessato, della fonte da cui hanno origine i dati personali. Tale articolo mantiene le deroghe previste dal regolamento (UE) 2016/679, ad esempio l’obbligo viene meno se l’interessato dispone già delle informazioni; se comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato da parte del titolare del trattamento; se i dati personali devono rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell’Unione o se la registrazione o la comunicazione sono espressamente previsti per legge. Ciò potrebbe avvenire, ad esempio, nei procedimenti avviati dai servizi competenti in materia di sicurezza sociale o sanità pubblica. L’articolo 17 stabilisce, conformemente all’articolo 15 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 13 del regolamento (CE) n. 45/2001, norme sul diritto di accesso dell’interessato ai propri dati personali e aggiunge nuovi elementi, quali l’obbligo di informare gli interessati del periodo di conservazione, dei diritti di rettifica e cancellazione e di proporre reclamo. Sezione 3 – Rettifica e cancellazione Sulla base dell’articolo 16 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 14 del regolamento (CE) n. 45/2001, l’articolo 18 stabilisce il diritto di rettifica dell’interessato. In linea con l’articolo 17 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 16 del regolamento (CE) n. 45/2001, l’articolo 19 stabilisce il diritto dell’interessato all’oblio e alla cancellazione. Esso prevede le condizioni del diritto all’oblio, compreso l’obbligo del responsabile del trattamento che abbia pubblicato dati personali di informare i terzi della richiesta dell’interessato di cancellare qualsiasi link verso tali dati, copia o riproduzione. L’articolo 20 introduce il diritto alla limitazione di trattamento in determinati casi, evitando il termine ambiguo “blocco”, utilizzato nel regolamento (CE) n. 45/2001, e garantendo la coerenza con la nuova terminologia dell’articolo 18 del regolamento (UE) 2016/679. In linea con l’articolo 19 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 17 del regolamento (CE) n. 45/2001, l’articolo 21 stabilisce l’obbligo del titolare del trattamento di comunicare ai destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni dei dati personali o le eventuali limitazioni salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento deve inoltre comunicare all’interessato tali destinatari qualora l’interessato lo richieda. In linea con l’articolo 20 del regolamento (UE) 2016/679, l’articolo 22 introduce il diritto alla portabilità dei dati dell’interessato, ossia il diritto di ricevere i dati personali che lo riguardano che ha fornito a un titolare del trattamento o di ottenere la trasmissione diretta di tali dati personali a un altro titolare del trattamento, se tecnicamente fattibile. Come presupposto e al fine di migliorare l’accesso dell’interessato ai dati personali che lo riguardano, detto articolo prevede il diritto di ottenere tali dati dal titolare del trattamento in un formato strutturato, di uso comune e leggibile da dispositivo automatico. Tale diritto si applica soltanto quando il trattamento si fonda sul consenso dell’interessato o su un contratto concluso da questi. Sezione 4 – Diritto di opposizione e processo decisionale automatizzato relativo alle persone fisiche

Sulla base dell’articolo 21 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 18 del regolamento (CE) n. 45/2001, l’articolo 23 stabilisce il diritto di opposizione dell’interessato. L’articolo 24 riguarda il diritto dell’interessato di non essere sottoposto a una misura basata unicamente sul trattamento automatizzato, compresa la profilazione, in linea con l’articolo 22 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 19 del regolamento (CE) n. 45/2001. Sezione 5 – Limitazioni L’articolo 25 consente limitazioni ai diritti dell’interessato stabiliti dagli articoli da 14 a 22 e dagli articoli da 34 a 38 e ai principi stabiliti dall’articolo 4 (nella misura in cui le disposizioni corrispondono ai diritti e agli obblighi previsti dagli articoli da 14 a 22). Tali limitazioni dovrebbero essere disposte da atti giuridici adottati sulla base dei trattati o dalle norme interne delle istituzioni e degli organi dell’Unione. Nel caso in cui la possibilità di tale limitazione non sia disposta negli atti giuridici adottati sulla base dei trattati o nelle norme interne delle istituzioni e degli organi dell’Unione, questi ultimi possono imporre una limitazione ad hoc se essa rispetta l’essenza dei diritti e delle libertà fondamentali e, in relazione a uno specifico trattamento, è una misura necessaria e proporzionata in una società democratica per salvaguardare uno o più degli obiettivi che consentono le limitazioni dei diritti dell’interessato. Tale approccio è conforme all’articolo 23 del regolamento (UE) 2016/679. Tuttavia, a differenza dell’articolo 23 del regolamento (UE) 2016/679 e in linea con l’articolo 20 del regolamento (CE) n. 45/2001, questa disposizione non prevede la possibilità di limitare il diritto di opposizione e il diritto di non essere sottoposto a decisioni che siano basate unicamente su un trattamento automatizzato. I requisiti per le limitazioni sono in linea con la Carta e la Convenzione europea dei diritti dell’uomo, come interpretate rispettivamente dalla Corte di giustizia dell’Unione europea e dalla Corte europea dei diritti dell’uomo. CAPO IV - TITOLARE DEL TRATTAMENTO E RESPONSABILE DEL TRATTAMENTO Sezione 1 – Obblighi generali L’articolo 26 si basa sull’articolo 24 del regolamento (UE) 2016/679 e introduce il “principio di responsabilizzazione”, descrivendo l’obbligo di responsabilità del titolare del trattamento di conformarsi al regolamento proposto e di dimostrare la conformità, anche adottando misure tecniche e organizzative adeguate e, se del caso, politiche interne e meccanismi atti ad assicurare tale conformità. L’articolo 24, paragrafo 3, del regolamento (UE) 2016/679 non è stato mantenuto in questa disposizione in quanto le istituzioni e gli organi dell’Unione non dovrebbero aderire a codici di condotta o meccanismi di certificazione. In conformità all’articolo 25 del regolamento (UE) 2016/679, l’articolo 27 enuncia gli obblighi del titolare del trattamento derivanti dai principi di protezione dei dati fin dalla progettazione e di protezione per impostazione predefinita. L’articolo 28 sui contitolari del trattamento si basa sull’articolo 26 del regolamento (UE) 2016/679 e chiarisce le responsabilità dei contitolari del trattamento – siano essi istituzioni o organi dell’Unione o meno – per quanto riguarda il loro rapporto interno e nei confronti dell’interessato. Questa disposizione disciplina la situazione in cui tutti i contitolari del trattamento sono soggetti allo stesso regime giuridico (il regolamento proposto) e quella in cui alcuni sono soggetti al regolamento proposto e altri a un diverso strumento giuridico (regolamento (UE) 2016/679, direttiva (UE) 2016/680, direttiva (UE) 2016/681 e altri regimi specifici di protezione dei dati concernenti le istituzioni e gli organi dell’Unione). L’articolo 29 si basa sull’articolo 28 del regolamento (UE) 2016/679 e sviluppa ulteriormente l’articolo 23 del regolamento (CE) n. 45/2001 per chiarire la posizione e gli obblighi del responsabile del trattamento, disponendo altresì che il responsabile del trattamento che violi il regolamento determinando le finalità e i mezzi del trattamento è considerato titolare del trattamento per il trattamento in questione. L’articolo 30 sul trattamento sotto l’autorità del titolare del trattamento o del responsabile del trattamento si basa sull’articolo 29 del regolamento (UE) 2016/679 e stabilisce il divieto per il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento e abbia accesso a dati personali, di trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri. L’articolo 31 si basa sull’articolo 30 del regolamento (UE) 2016/679 e introduce l’obbligo per i titolari e i responsabili del trattamento di conservare la documentazione delle operazioni effettuate sotto la propria responsabilità, invece della notificazione preventiva al GEPD richiesta dall’articolo 25 del regolamento (CE) n. 45/2001 e dell’iscrizione nel registro del responsabile della protezione dei dati. A differenza del regolamento (UE) 2016/679, questa disposizione non fa riferimento ai rappresentanti, in quanto le istituzioni dell’Unione non hanno rappresentanti e avranno sempre RPD. I riferimenti ai trasferimenti sulla base di deroghe per situazioni specifiche previste nel regolamento (UE) 2016/679 non sono state mantenute in quanto tali tipi di trasferimenti non sono contemplati dal regolamento proposto. L’obbligo di tenere un registro delle attività di trattamento può essere centralizzato a livello di un’istituzione o di un organo dell’Unione. In tali casi le istituzioni e gli organi dell’Unione hanno la possibilità di tenere i registri delle attività di trattamento sotto forma di registri accessibili al pubblico. Sulla base dell’articolo 31 del regolamento (UE) 2016/679, l’articolo 32 chiarisce gli obblighi delle istituzioni e degli organi dell’Unione di cooperare con il GEPD. Sezione 2 – Sicurezza dei dati personali e riservatezza delle comunicazioni elettroniche In linea con l’articolo 32 del regolamento (UE) 2016/679 e sviluppando ulteriormente l’articolo 22 del regolamento (CE) n. 45/2001, l’articolo 33 pone l’obbligo in capo al titolare del trattamento di mettere in atto misure appropriate al fine di garantire la sicurezza del trattamento ed estende tale obbligo anche al responsabile del trattamento, indipendentemente dal contratto con il titolare del trattamento. L’articolo 34 si basa sull’articolo 36 del regolamento (CE) n. 45/2001 e assicura la riservatezza delle comunicazioni elettroniche all’interno delle istituzioni e degli organi dell’Unione. L’articolo 35 si basa sulle pratiche esistenti delle istituzioni e degli organi dell’Unione e protegge le informazioni relative alle apparecchiature terminali degli utenti finali che accedono ai siti web e alle applicazioni per dispositivi mobili a disposizione del pubblico delle istituzioni e degli organi dell’Unione in conformità al regolamento (UE) XXXX/XX [nuovo regolamento relativo alla vita privata e alle comunicazioni elettroniche], in particolare all’articolo 8. L’articolo 36 si basa sull’articolo 38 del regolamento (CE) n. 45/2001 e protegge i dati conservati in elenchi pubblici e privati delle istituzioni e degli organi dell’Unione. Gli articoli 37 e 38 introducono l’obbligo di notificare le violazioni dei dati personali in conformità agli articoli 33 e 34 del regolamento (UE) 2016/679. Sezione 3 – Valutazione d’impatto sulla protezione dei dati e consultazione preventiva

L’articolo 39 si basa sull’articolo 35 del regolamento (UE) 2016/679 e introduce l’obbligo per i titolari del trattamento e i responsabili del trattamento di eseguire una valutazione d’impatto sulla protezione dei dati prima di effettuare i trattamenti che potrebbero presentare un elevato rischio per i diritti e le libertà delle persone fisiche. Tale obbligo si applica in particolare alla valutazione sistematica e globale di aspetti personali relativi a persone fisiche, che si basa su un trattamento automatizzato, tra cui la profilazione, il trattamento su larga scala di categorie particolari di dati o la sorveglianza sistematica su larga scala di una zona accessibile al pubblico. L’articolo 40 si basa sull’articolo 36 del regolamento (UE) 2016/679 e riguarda i casi in cui è obbligatorio ottenere l’autorizzazione del GEPD e consultarlo prima del trattamento. Tuttavia il primo paragrafo dell’articolo 40 riprende il considerando 94 del regolamento (UE) 2016/679 e si prefigge di chiarire la portata dell’obbligo di consultazione. Sezione 4 – Informazioni e consultazione legislativa L’articolo 41 stabilisce che le istituzioni e gli organi dell’Unione hanno l’obbligo di informare il GEPD quando elaborano misure amministrative e norme interne relative al trattamento di dati personali. L’articolo 42 stabilisce che la Commissione ha l’obbligo di consultare il GEPD a seguito dell’adozione di proposte di atti legislativi e di raccomandazioni o proposte al Consiglio a norma dell’articolo 218 del TFUE e quando elabora atti delegati o di esecuzione che incidano sulla tutela dei diritti e delle libertà delle persone per quanto riguarda il trattamento dei dati personali. Qualora tali atti abbiano una particolare rilevanza ai fini della tutela dei diritti e delle libertà fondamentali delle persone in relazione al trattamento di dati personali, la Commissione può consultare anche il comitato europeo per la protezione dei dati. In tali casi le due autorità dovrebbero coordinare le proprie attività al fine di emettere un parere congiunto. Nei suddetti casi si applica un termine di 8 settimane per fornire una consulenza, con la possibilità di derogare in casi di urgenza o di opportunità, ad esempio quando la Commissione elabora atti delegati o di esecuzione. Sezione 5 – Obbligo di rispondere ai rilievi L’articolo 43 definisce l’obbligo dei titolari del trattamento e del responsabile del trattamento di rispondere ai rilievi quando il GEPD decide di sottoporre una questione alla loro attenzione. Sezione 6 – Responsabile della protezione dei dati L’articolo 44 si basa sull’articolo 37, paragrafo 1, lettera a), del regolamento (UE) 2016/679 e sull’articolo 24 del regolamento (CE) n. 45/2001 e prevede la designazione di un RPD obbligatorio per le istituzioni e gli organi dell’Unione. L’articolo 45 si basa sull’articolo 38 del regolamento (UE) 2016/679 e sull’articolo 24 del regolamento (CE) n. 45/2001 per definire la funzione dell’RPD. L’articolo 46 si basa sull’articolo 39 del regolamento (UE) 2016/679 e sull’articolo 24 del regolamento (CE) n. 45/2001 e sui punti 2 e 3 dell’allegato al regolamento (CE) n. 45/2001 per stabilire i compiti principali dell’RPD. CAPO V - TRASFERIMENTI DI DATI PERSONALI VERSO PAESI TERZI O ORGANIZZAZIONI INTERNAZIONALI L’articolo 47 si basa sull’articolo 9 del regolamento (CE) n. 45/2001 e stabilisce, in conformità all’articolo 44 del regolamento (UE) 2016/679, il principio generale secondo cui la conformità alle altre disposizioni del regolamento proposto e alle condizioni stabilite nel capo V è obbligatoria per i trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali, compresi i trasferimenti successivi di dati personali da un paese terzo o un’organizzazione internazionale verso un altro paese terzo o un’altra organizzazione internazionale. L’articolo 48 stabilisce che un trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale può avere luogo quando la Commissione ha deciso, a norma dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo, o un’organizzazione internazionale garantiscono un livello di protezione adeguato e che i dati personali sono trasferiti unicamente per consentire l’espletamento dei compiti che rientrano nelle competenze del titolare del trattamento. I paragrafi 2 e 3 di questo articolo sono ripresi dall’articolo 9 del regolamento (CE) n. 45/2001 in quanto rappresentano elementi utili per monitorare il livello di protezione in paesi terzi e organizzazioni internazionali. L’articolo 49 si basa sull’articolo 46 del regolamento (UE) 2016/679 e prevede che, in mancanza di una decisione di adeguatezza della Commissione, i trasferimenti a paesi terzi siano subordinati ad adeguate garanzie, in particolare clausole tipo di protezione dei dati e clausole contrattuali. Conformemente al regolamento (UE) 2016/679, i responsabili del trattamento diversi dalle istituzioni e dagli organi dell’Unione possono ricorrere a norme vincolanti d’impresa, codici di condotta e meccanismi di certificazione. Il paragrafo 4 di questo articolo, relativo l’obbligo delle istituzioni e degli organi dell’Unione di informare il GEPD delle categorie di casi in cui hanno applicato questo articolo, corrisponde all’articolo 9, paragrafo 8, del regolamento (CE) n. 45/2001 ed è mantenuto in considerazione della sua specificità. Il paragrafo 5 si basa sulla validità delle autorizzazioni esistenti stabilite dall’articolo 46, paragrafo 5, del regolamento (UE) 2016/679. L’articolo 50 chiarisce, in conformità all’articolo 48 del regolamento (UE) 2016/679, che le sentenze di un’autorità giurisdizionale e le decisioni di un’autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del capo V. L’articolo 51 si basa sull’articolo 49 del regolamento (UE) 2016/679 e precisa e chiarisce le deroghe al trasferimento di dati. Ciò vale in particolare per i trasferimenti di dati richiesti e necessari per motivi di interesse pubblico rilevante, per esempio in caso di trasferimenti di dati internazionali che coinvolgono autorità garanti della concorrenza, amministrazioni fiscali o doganali oppure tra servizi competenti per la sicurezza sociale o per la gestione delle risorse alieutiche. Il paragrafo 5, sull’obbligo di informare il GEPD delle categorie di casi in cui le deroghe sono state utilizzate per un trasferimento, corrisponde all’articolo 9, paragrafo 8, del regolamento (CE) n. 45/2001. L’articolo 52 si basa sull’articolo 50 del regolamento (UE) 2016/679 e stabilisce esplicitamente meccanismi di cooperazione internazionale per la protezione dei dati personali tra il GEDP, in cooperazione con la Commissione e il comitato europeo per la protezione dei dati, e le autorità di controllo dei paesi terzi. CAPO VI - IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI L’articolo 53 si basa sull’articolo 41 del regolamento (CE) n. 45/2001 e concerne l’istituzione del GEDP.

L’articolo 54 si basa sull’articolo 42 del regolamento (CE) n. 45/2001 e sull’articolo 3 della decisione 1247/2002/CE e stabilisce le norme per la nomina del GEPD da parte del Parlamento europeo e del Consiglio. Esso fissa inoltre a cinque anni la durata del suo mandato. L’articolo 55 si basa sull’articolo 43 del regolamento (CE) n. 45/2001 e sull’articolo 1 della decisione 1247/2002/CE e disciplina lo statuto e le condizioni generali di esercizio delle funzioni del GEPD e le sue risorse umane e finanziarie. L’articolo 56 si basa sull’articolo 52 del regolamento (UE) 2016/679 e sull’articolo 44 del regolamento (CE) 45/2001 e precisa le condizioni per l’indipendenza del GEPD, tenendo conto della giurisprudenza della Corte di giustizia dell’Unione europea. L’articolo 57 stabilisce, sulla base dell’articolo 45 del regolamento (CE) n. 45/2001, i doveri di segretezza del GEPD durante e dopo il mandato in merito alle informazioni riservate cui ha avuto accesso durante l’esercizio delle proprie funzioni. L’articolo 58 si basa sull’articolo 57 del regolamento (UE) 2016/679 e sull’articolo 46 del regolamento (CE) n. 45/2001 e stabilisce i compiti del GEPD, compresi il trattamento dei reclami e il compimento dei relativi accertamenti, e la promozione della consapevolezza del pubblico rispetto a rischi, norme, garanzie e diritti. L’articolo 59 si basa sull’articolo 58 del regolamento (UE) 2016/679 e sull’articolo 47 del regolamento (CE) n. 45/2001 e stabilisce le competenze del GEPD. L’articolo 60 si basa sull’articolo 59 del regolamento (UE) 2016/679 e sull’articolo 48 del regolamento (CE) n. 45/2001 e fissa gli obblighi del GEDP di redigere un rapporto annuale sulle attività svolte. CAPO VII - COOPERAZIONE E COERENZA L’articolo 61 si basa sull’articolo 61 del regolamento (UE) 2016/679 e sull’articolo 46, lettera f), del regolamento (CE) n. 45/2001 e introduce norme esplicite sulla cooperazione del GEPD con le autorità nazionali di controllo. L’articolo 62 stabilisce gli obblighi del GEPD quando altri atti dell’Unione si riferiscono a questo articolo nell’ambito del controllo coordinato con le autorità di controllo nazionali. Esso mira ad attuare un unico modello di controllo coordinato. Tale modello potrebbe essere utilizzato per il controllo coordinato di grandi sistemi informatici, quali Eurodac, il sistema di informazione Schengen II, il sistema di informazione visti, il sistema di informazione doganale o il sistema di informazione del mercato interno, ma anche per il controllo di alcune agenzie dell’Unione, quali Europol, quando si stabilisce un modello specifico di cooperazione tra il GEPD e le autorità nazionali. Il comitato europeo per la protezione dei dati dovrebbe costituire un forum unico per garantire un controllo coordinato efficace sistematico. CAPO VIII - RICORSI GIURISDIZIONALI, RESPONSABILITÀ E SANZIONI L’articolo 63 si basa sull’articolo 77 del regolamento (UE) 2016/679 e sull’articolo 32 del regolamento (CE) n. 45/2001 e stabilisce il diritto di qualunque interessato di proporre reclamo al GEPD. Esso prevede inoltre l’obbligo del GEPD di trattare i reclami e comunicarne all’interessato il progresso e l’esito del reclamo entro un termine di tre mesi dopodiché il reclamo si considererà rigettato. L’articolo 64 mantiene l’articolo 32, paragrafo 1, del regolamento (CE) n. 45/2001 e stabilisce la competenza della Corte di giustizia dell’Unione europea a conoscere delle controversie relative alle disposizioni del regolamento proposto, incluse le azioni per risarcimento del danno. L’articolo 65 disciplina il diritto al risarcimento dei danni materiali e immateriali, fatte salve le condizioni stabilite dai trattati, comprese quelle in materia di responsabilità. L’articolo 66 si basa sull’articolo 83 del regolamento (UE) 2016/679 e attribuisce al GEPD il potere di imporre sanzioni amministrative pecuniarie alle istituzioni e agli organi dell’Unione, come sanzione di ultima istanza e soltanto qualora le istituzioni e gli organi dell’Unione non rispettino un ordine del GEPD di cui all’articolo 59, paragrafo 2, lettere da a) ad h) e j). L’articolo precisa inoltre i criteri per fissare l’ammontare della sanzione pecuniaria in ogni singolo caso, mentre i massimali annui si ispirano all’ammontare delle sanzioni pecuniarie applicate in alcuni Stati membri. In linea con l’articolo 80, paragrafo 1, del regolamento (UE) 2016/679, l’articolo 67 autorizza alcuni organismi, organizzazioni o associazioni a proporre reclamo per conto dell’interessato. In linea con l’articolo 33 del regolamento (CE) n. 45/2001, l’articolo 68 stabilisce norme specifiche intese a proteggere il personale dell’Unione che, senza seguire la via gerarchica, propone reclamo al GEPD per un’asserita violazione delle disposizioni del regolamento proposto. L’articolo 69 si basa sull’articolo 49 del regolamento (CE) n. 45/2001 e disciplina le sanzioni applicabili ai funzionari o altri agenti dell’Unione europea che non assolvano agli obblighi previsti dal presente regolamento. CAPO IX - ATTI DI ESECUZIONE L’articolo 70 dispone la procedura di comitato necessaria per il conferimento delle competenze di esecuzione alla Commissione, nei casi in cui, conformemente all’articolo 291 del TFUE, sono necessarie condizioni uniformi di esecuzione degli atti giuridicamente vincolanti dell’Unione. Si applica la procedura d’esame.

CAPO X - DISPOSIZIONI FINALI L’articolo 71 abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE e dispone che i riferimenti ai due strumenti abrogati sono intesi come riferimenti al futuro regolamento. L’articolo 72 specifica che il futuro regolamento non inciderà sugli attuali mandati del garante europeo della protezione dei dati e del garante aggiunto e che l’articolo 54, paragrafi 4, 5 e 7, e gli articoli 56 e 57 del regolamento si applicano all’attuale garante aggiunto fino al termine del suo mandato, ossia fino al 5 dicembre 2019. L’articolo 73 fissa il 25 maggio 2018 come data di entrata in vigore del futuro regolamento al fine di assicurare la coerenza con la data di applicazione del regolamento (UE) 2016/679. 2017/0002 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi, degli uffici e delle agenzie dell’Unione, nonché la libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la

decisione n. 1247/2002/CE IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA, visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16, paragrafo 2, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo, deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1)La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea (“Carta”) e l’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea (“TFUE”) stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. (2)Il regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio conferisce alle persone fisiche diritti giuridicamente tutelati, precisa gli obblighi dei titolari del trattamento in seno alle istituzioni e agli organi dell’Unione e istituisce un’autorità di controllo indipendente, il garante europeo della protezione dei dati, incaricata di sorvegliare il trattamento dei dati personali effettuato dalle istituzioni e dagli organi dell’Unione. Tuttavia esso non si applica al trattamento dei dati personali nel corso di un’attività delle istituzioni e degli organi dell’Unione che esuli dall’ambito di applicazione del diritto dell’Unione. (3)Il 27 aprile 2016 sono stati adottati il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio e la direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio. Il regolamento stabilisce norme generali per la protezione delle persone fisiche in relazione al trattamento dei dati personali e per la libera circolazione dei dati personali nell’Unione, mentre la direttiva prevede norme specifiche per la protezione delle persone fisiche in relazione al trattamento dei dati personali e per la libera circolazione dei dati personali nell’Unione nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia. (4)Il regolamento (UE) 2016/679 sottolinea la necessità di procedere agli opportuni adeguamenti del regolamento (CE) n. 45/2001 per offrire un quadro di protezione dei dati solido e coerente nell’Unione e per consentire l’applicazione di quest’ultimo contemporaneamente al regolamento (UE) 2016/679. (5)È nell’interesse di un approccio coerente alla protezione dei dati in tutta l’Unione e alla libera circolazione dei dati personali all’interno dell’Unione allineare per quanto possibile le norme sulla protezione dei dati per le istituzioni e gli organi dell’Unione a quelle adottate per il settore pubblico degli Stati membri. Quando le disposizioni del presente regolamento si basano sullo stesso concetto su cui si basano le disposizioni del regolamento (UE) 2016/679, le disposizioni dei due regolamenti dovrebbero essere interpretate in modo omogeneo, in particolare in considerazione del fatto che il regime del presente regolamento dovrebbe essere inteso come equivalente a quello del regolamento (UE) 2016/679.

(6)Le persone i cui dati personali sono trattati da istituzioni e organi dell’Unione, in qualsiasi circostanza, ad esempio in quanto impiegate presso tali istituzioni e organi, dovrebbero essere tutelate. Il presente regolamento non si dovrebbe applicare al trattamento dei dati personali delle persone decedute. Esso non disciplina il trattamento dei dati personali relativi a persone giuridiche, in particolare imprese dotate di personalità giuridica, compresi il nome e la forma della persona giuridica e i suoi dati di contatto. (7)Al fine di evitare l’insorgere di gravi rischi di elusione, la protezione delle persone fisiche dovrebbe essere neutrale sotto il profilo tecnologico e non dovrebbe dipendere dalle tecniche impiegate. La protezione delle persone fisiche dovrebbe applicarsi sia al trattamento automatizzato che al trattamento manuale dei dati personali, se i dati personali sono contenuti o destinati a essere contenuti in un archivio. Non dovrebbero rientrare nell’ambito di applicazione del presente regolamento i fascicoli o le serie di fascicoli non strutturati secondo criteri specifici, così come le rispettive copertine. (8)Nella dichiarazione n. 21, relativa alla protezione dei dati personali nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia, allegata all’atto finale della conferenza intergovernativa che ha adottato il trattato di Lisbona, la conferenza riconosce che potrebbero rivelarsi necessarie, in considerazione della specificità dei settori in questione, norme specifiche sulla protezione dei dati personali e sulla libera circolazione di dati personali nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia, in base all’articolo 16 del TFUE. Il presente regolamento dovrebbe pertanto applicarsi alle agenzie dell’Unione che svolgono attività nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia soltanto nella misura in cui il diritto dell’Unione applicabile a tali agenzie non preveda norme specifiche sul trattamento dei dati personali. (9)La direttiva (UE) 2016/680 stabilisce norme armonizzate per la protezione e la libera circolazione dei dati personali trattati a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica. Al fine di promuovere lo stesso livello di protezione per le persone fisiche mediante diritti azionabili in tutta l’Unione e di prevenire disparità che possano ostacolare lo scambio di dati personali tra le agenzie dell’Unione che svolgono attività nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia e le autorità competenti degli Stati membri, è opportuno che le norme per la protezione e la libera circolazione dei dati personali operativi trattati da tali agenzie dell’Unione si basino sui principi su cui si fonda il presente regolamento e siano coerenti con la direttiva (UE) 2016/680. (10)Laddove l’atto istitutivo di un’agenzia dell’Unione che svolge attività rientranti nell’ambito di applicazione del titolo V, capi 4 e 5, del trattato stabilisca un regime di protezione dei dati indipendente per quanto riguarda il trattamento dei dati personali operativi, tale regime non dovrebbe essere interessato dal presente regolamento. Tuttavia, in conformità all’articolo 62 della direttiva (UE) 2016/680, la Commissione, entro il 6 maggio 2019, dovrebbe riesaminare gli atti dell’Unione che disciplinano il trattamento da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia e la prevenzione di minacce alla sicurezza pubblica e formulare, ove opportuno, le proposte necessarie per modificarli in modo da garantire un approccio coerente alla protezione dei dati personali nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia. (11)È auspicabile applicare i principi di protezione dei dati a tutte le informazioni relative a una persona fisica identificata o identificabile. I dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l’utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile. Per stabilire l’identificabilità di una persona è opportuno considerare tutti i mezzi, come l’individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente. Per accertare la ragionevole probabilità di utilizzo dei mezzi per identificare la persona fisica, si dovrebbe prendere in considerazione l’insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l’identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento, sia degli sviluppi tecnologici. I principi di protezione dei dati non dovrebbero pertanto applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire più l’identificazione dell’interessato. Il presente regolamento non si applica pertanto al trattamento di tali informazioni anonime, anche per finalità statistiche o di ricerca. (12)L’applicazione della pseudonimizzazione ai dati personali può ridurre i rischi per gli interessati e aiutare i titolari del trattamento e i responsabili del trattamento a rispettare i loro obblighi di protezione dei dati. L’introduzione esplicita della «pseudonimizzazione» nel presente regolamento non è quindi intesa a precludere altre misure di protezione dei dati. (13)Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, a marcatori temporanei (cookies) o a identificativi di altro tipo, come i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle. (14)Il consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Ciò potrebbe comprendere la selezione di un’apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della società dell’informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l’interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il silenzio, l’inattività o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste. Se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara, concisa e non interferire immotivatamente con il servizio per il quale il consenso è espresso. (15)Qualsiasi trattamento di dati personali dovrebbe essere lecito e corretto. Dovrebbero essere trasparenti per le persone fisiche le modalità con cui sono raccolti, utilizzati, consultati o altrimenti trattati dati personali che le riguardano nonché la misura in cui i dati personali sono o saranno trattati. Il principio della trasparenza impone che le informazioni e le comunicazioni relative al trattamento di tali dati personali siano facilmente accessibili e comprensibili e che sia utilizzato un linguaggio semplice e chiaro. Tale principio riguarda, in particolare, l’informazione degli interessati sull’identità del titolare del trattamento e sulle finalità del trattamento e ulteriori informazioni per assicurare un trattamento corretto e trasparente con riguardo alle persone fisiche interessate e ai loro diritti di ottenere conferma e comunicazione di un trattamento di dati personali che le riguardano. È opportuno che le persone fisiche siano sensibilizzate ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali, nonché alle modalità di esercizio dei loro diritti relativi a tale trattamento. In particolare, le finalità specifiche del trattamento dei dati personali dovrebbero essere esplicite e legittime e precisate al momento della raccolta di detti dati personali. I dati personali dovrebbero essere adeguati, pertinenti e limitati a quanto necessario per le finalità del loro trattamento. Da qui l’obbligo, in particolare, di assicurare che il periodo di conservazione dei dati personali sia limitato al minimo necessario. I dati personali dovrebbero essere trattati solo se la finalità del trattamento non è ragionevolmente conseguibile con altri mezzi. Onde assicurare che i dati personali non siano conservati più a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica. È opportuno adottare tutte le misure ragionevoli affinché i dati personali inesatti siano rettificati o cancellati. I dati personali dovrebbero essere trattati in modo da garantirne un’adeguata sicurezza e riservatezza, anche per impedire l’accesso o l’utilizzo non autorizzato dei dati personali e delle attrezzature impiegate per il trattamento. (16)Conformemente al principio di responsabilizzazione, quando le istituzioni e gli organi dell’Unione trasmettono dati personali al loro interno o ad altre istituzioni e altri organi dell’Unione, dovrebbero verificare se tali dati personali sono necessari per il legittimo esercizio dei compiti che rientrano nelle competenze del destinatario quando il destinatario non è il titolare del trattamento. In particolare, a seguito della richiesta di trasmissione di dati personali da parte di un destinatario, il titolare del trattamento dovrebbe verificare la sussistenza di un motivo pertinente per il trattamento e la competenza del destinatario, e dovrebbe effettuare una valutazione provvisoria della necessità della trasmissione dei dati. Qualora emergano dubbi su tale necessità, il titolare del trattamento dovrebbe chiedere ulteriori spiegazioni al destinatario. Il destinatario dovrebbe provvedere a che si possa successivamente verificare la necessità del trasferimento dei dati. (17)Perché sia lecito, il trattamento di dati personali dovrebbe fondarsi sulla necessità delle istituzioni e degli organi dell’Unione di eseguire un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, sulla necessità di adempiere all’obbligo legale al quale è soggetto il titolare del trattamento o su qualsiasi altra base legittima di cui al presente regolamento, incluso il consenso dell’interessato o la necessità di esecuzione di un contratto di cui l’interessato è parte o di esecuzione di misure precontrattuali adottate su richiesta dello stesso. Il trattamento di dati personali per l’esercizio dei compiti svolti da istituzioni e organi dell’Unione nell’interesse pubblico comprende il trattamento dei dati personali necessari alla gestione e al funzionamento di tali istituzioni e organi. Il trattamento di dati personali dovrebbe essere altresì considerato lecito quando è necessario per proteggere un interesse essenziale per la vita dell’interessato o di un’altra persona fisica. Il trattamento di dati personali fondato sull’interesse vitale di un’altra persona fisica dovrebbe avere luogo in principio unicamente quando il trattamento non può essere manifestamente fondato su un’altra base giuridica. Alcuni tipi di trattamento dei dati personali possono rispondere sia a rilevanti motivi di interesse pubblico sia agli interessi vitali dell’interessato, per esempio se il trattamento è necessario a fini umanitari, tra l’altro per tenere sotto controllo l’evoluzione di epidemie e la loro diffusione o in casi di emergenze umanitarie, in particolare in casi di catastrofi di origine naturale e umana. (18)Il diritto dell’Unione, comprese le norme interne di cui al presente regolamento, dovrebbe essere chiaro e preciso, e la sua applicazione prevedibile, per le persone che vi sono sottoposte, in conformità della giurisprudenza della Corte di giustizia dell’Unione europea e della Corte europea dei diritti dell’uomo. (19)Il trattamento dei dati personali per finalità diverse da quelle per le quali i dati personali sono stati inizialmente raccolti dovrebbe essere consentito solo se compatibile con le finalità per le quali i dati personali sono stati inizialmente raccolti. In tal caso non è richiesta alcuna base giuridica separata oltre a quella che ha consentito la raccolta dei dati personali. Se il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o per l’esercizio di pubblici poteri di cui è investito il titolare del trattamento, il diritto dell’Unione può stabilire e precisare le finalità e i compiti per i quali l’ulteriore trattamento è considerato lecito e compatibile. L’ulteriore trattamento a fini di archiviazione nel pubblico interesse, o di ricerca scientifica o storica o a fini statistici dovrebbe essere considerato un trattamento lecito e compatibile. La base giuridica fornita dal diritto dell’Unione per il trattamento dei dati personali può anche costituire una base giuridica per l’ulteriore trattamento. Per accertare se la finalità di un ulteriore trattamento sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento dovrebbe, dopo aver soddisfatto tutti i requisiti per la liceità del trattamento originario, tener conto tra l’altro di ogni nesso tra tali finalità e le finalità dell’ulteriore trattamento previsto, del contesto in cui i dati personali sono stati raccolti, in particolare le ragionevoli aspettative dell’interessato in base alla sua relazione con il titolare del trattamento con riguardo al loro ulteriore utilizzo; della natura dei dati personali; delle conseguenze dell’ulteriore trattamento previsto per gli interessati; e dell’esistenza di garanzie adeguate sia nel trattamento originario sia nell’ulteriore trattamento previsto. (20)Per i trattamenti basati sul consenso dell’interessato, il titolare del trattamento dovrebbe essere in grado di dimostrare che l’interessato ha acconsentito al trattamento. In particolare, nel contesto di una dichiarazione scritta relativa a un’altra questione dovrebbero esistere garanzie che assicurino che l’interessato sia consapevole del fatto di esprimere un consenso e della misura in cui ciò avviene. In conformità della direttiva 93/13/CEE del Consiglio è opportuno prevedere una dichiarazione di consenso predisposta dal titolare del trattamento in una forma comprensibile e facilmente accessibile, che usi un linguaggio semplice e chiaro e non contenga clausole abusive. Ai fini di un consenso informato, l’interessato dovrebbe essere posto a conoscenza almeno dell’identità del titolare del trattamento e delle finalità del trattamento cui sono destinati i dati personali. Il consenso non dovrebbe essere considerato liberamente espresso se l’interessato non è in grado di operare una scelta autenticamente libera o è nell’impossibilità di rifiutare o revocare il consenso senza subire pregiudizio. (21)I minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali. Tale specifica protezione dovrebbe riguardare, in particolare, la creazione di profili di personalità e la raccolta di dati personali relativi ai minori quando vengono utilizzati servizi forniti direttamente a un minore sui siti web delle istituzioni e degli organi dell’Unione, quali i servizi di comunicazione interpersonale o la vendita di biglietti online, e quando il trattamento dei dati personali si basa sul consenso. (22)I destinatari stabiliti nell’Unione e soggetti al regolamento (UE) 2016/679 e alla direttiva (UE) 2016/680 che desiderano che le istituzioni e gli organi dell’Unione trasmettano loro dati personali dovrebbero dimostrare che la trasmissione è necessaria per conseguire il loro obiettivo, è proporzionata e si limita a quanto necessario per il conseguimento di quell’obiettivo. Nel rispetto del principio della trasparenza, le istituzioni e gli organi dell’Unione dovrebbero dimostrare tale necessità quando danno origine alla trasmissione. (23)Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libertà fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libertà fondamentali. Tra tali dati personali dovrebbero essere compresi anche i dati personali che rivelano l’origine razziale o etnica, essendo inteso che l’utilizzo dei termini «origine razziale» nel presente regolamento non implica l’accettazione da parte dell’Unione di teorie che tentano di dimostrare l’esistenza di razze umane distinte. Il trattamento di fotografie non dovrebbe costituire sistematicamente un trattamento di categorie particolari di dati personali, poiché esse rientrano nella definizione di dati biometrici soltanto quando saranno trattate attraverso un dispositivo tecnico specifico che consente l’identificazione univoca o l’autenticazione di una persona fisica. Oltre ai requisiti specifici per il trattamento dei dati sensibili, dovrebbero applicarsi i principi generali e altre norme del presente regolamento, in particolare per quanto riguarda le condizioni per il trattamento lecito. È opportuno prevedere espressamente deroghe al divieto generale di trattare tali categorie particolari di dati personali, tra l’altro se l’interessato esprime un consenso esplicito o in relazione a esigenze specifiche, in particolare se il trattamento è eseguito nel corso di legittime attività di talune associazioni o fondazioni il cui scopo sia permettere l’esercizio delle libertà fondamentali. (24)Il trattamento di categorie particolari di dati personali può essere necessario per motivi di interesse pubblico nei settori della sanità pubblica, senza il consenso dell’interessato. Tale trattamento dovrebbe essere soggetto a misure appropriate e specifiche a tutela dei diritti e delle libertà delle persone fisiche. In tale contesto, la nozione di «sanità pubblica» dovrebbe essere interpretata secondo la definizione del regolamento (CE) n. 1338/2008 del Parlamento europeo e del Consiglio: tutti gli elementi relativi alla salute, ossia lo stato di salute, morbilità e disabilità incluse, i determinanti aventi un effetto su tale stato di salute, le necessità in materia di assistenza sanitaria, le risorse destinate all’assistenza sanitaria, la prestazione di assistenza sanitaria e l’accesso universale a essa, la spesa sanitaria e il relativo finanziamento e le cause di mortalità. Il trattamento dei dati relativi alla salute effettuato per motivi di interesse pubblico non dovrebbe comportare il trattamento dei dati personali per altre finalità da parte di terzi. (25)Se i dati personali che tratta non gli consentono di identificare una persona fisica, il titolare del trattamento non dovrebbe essere obbligato ad acquisire ulteriori informazioni per identificare l’interessato al solo fine di rispettare una disposizione del presente regolamento. Tuttavia, il titolare del trattamento non dovrebbe rifiutare le ulteriori informazioni fornite dall’interessato al fine di sostenere l’esercizio dei suoi diritti. L’identificazione dovrebbe includere l’identificazione digitale di un interessato, ad esempio mediante un meccanismo di autenticazione quali le stesse credenziali, utilizzate dall’interessato per l’accesso (log in) al servizio on line offerto dal titolare del trattamento.

(26)Il trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici dovrebbe essere soggetto a garanzie adeguate per i diritti e le libertà dell’interessato, in conformità del presente regolamento. Tali garanzie dovrebbero assicurare che siano state predisposte misure tecniche e organizzative al fine di garantire, in particolare, il principio della minimizzazione dei dati. L’ulteriore trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici è da effettuarsi quando il titolare del trattamento ha valutato la fattibilità di conseguire tali finalità trattando dati personali che non consentono o non consentono più di identificare l’interessato, purché esistano garanzie adeguate (come ad esempio la pseudonimizzazione dei dati personali). Le istituzioni e gli organi dell’Unione dovrebbero prevedere garanzie adeguate nel diritto dell’Unione, ed eventualmente nelle norme interne, per il trattamento di dati personali a fini di archiviazione nel pubblico interesse, o di ricerca scientifica o storica o a fini statistici. (27)È opportuno prevedere modalità volte ad agevolare l’esercizio, da parte dell’interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l’accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione. Il titolare del trattamento dovrebbe predisporre anche i mezzi per inoltrare le richieste per via elettronica, in particolare qualora i dati personali siano trattati con mezzi elettronici. Il titolare del trattamento dovrebbe essere tenuto a rispondere alle richieste dell’interessato senza ingiustificato ritardo e al più tardi entro un mese e a motivare la sua eventuale intenzione di non accogliere tali richieste. (28)I principi di trattamento corretto e trasparente implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità. Il titolare del trattamento dovrebbe fornire all’interessato eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati. Inoltre l’interessato dovrebbe essere informato dell’esistenza di una profilazione e delle conseguenze della stessa. In caso di dati personali raccolti direttamente presso l’interessato, questi dovrebbe inoltre essere informato dell’eventuale obbligo di fornire i dati personali e delle conseguenze in cui incorre se si rifiuta di fornirli. Tali informazioni possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto. Se presentate elettronicamente, le icone dovrebbero essere leggibili da dispositivo automatico. (29)L’interessato dovrebbe ricevere le informazioni relative al trattamento di dati personali che lo riguardano al momento della raccolta presso l’interessato o, se i dati sono ottenuti da altra fonte, entro un termine ragionevole, in funzione delle circostanze del caso. Se i dati personali possono essere legittimamente comunicati a un altro destinatario, l’interessato dovrebbe esserne informato nel momento in cui il destinatario riceve la prima comunicazione dei dati personali. Il titolare del trattamento, qualora intenda trattare i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, dovrebbe fornire all’interessato, prima di tale ulteriore trattamento, informazioni in merito a tale finalità diversa e altre informazioni necessarie. Qualora non sia possibile comunicare all’interessato l’origine dei dati personali, perché sono state utilizzate varie fonti, dovrebbe essere fornita un’informazione di carattere generale. (30)Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che lo riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità. Ciò include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati. Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando è basato sulla profilazione, alle possibili conseguenze di tale trattamento. Tale diritto non dovrebbe ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software. Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all’interessato tutte le informazioni. Se il titolare del trattamento tratta una notevole quantità d’informazioni riguardanti l’interessato, il titolare in questione dovrebbe poter richiedere che l’interessato precisi, prima che siano fornite le informazioni, l’informazione o le attività di trattamento cui la richiesta si riferisce. (31)L’interessato dovrebbe avere il diritto di ottenere la rettifica dei dati personali che lo riguardano e il «diritto all’oblio» se la conservazione di tali dati violi il presente regolamento o il diritto dell’Unione cui è soggetto il titolare del trattamento. L’interessato dovrebbe avere il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali che non siano più necessari per le finalità per le quali sono stati raccolti o altrimenti trattati, quando abbia ritirato il proprio consenso o si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al presente regolamento. Tale diritto è in particolare rilevante se l’interessato ha prestato il proprio consenso quando era minore, e quindi non pienamente consapevole dei rischi derivanti dal trattamento, e vuole successivamente eliminare tale tipo di dati personali, in particolare da internet. L’interessato dovrebbe poter esercitare tale diritto indipendentemente dal fatto che non sia più un minore. Tuttavia, dovrebbe essere lecita l’ulteriore conservazione dei dati personali qualora sia necessaria per esercitare il diritto alla libertà di espressione e di informazione, per adempiere un obbligo legale, per eseguire un compito di interesse pubblico o nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento, per motivi di interesse pubblico nel settore della sanità pubblica, a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, ovvero per accertare, esercitare o difendere un diritto in sede giudiziaria. (32)Per rafforzare il «diritto all’oblio» nell’ambiente online, è opportuno che il diritto di cancellazione sia esteso in modo tale da obbligare il titolare del trattamento che ha pubblicato dati personali a informare i titolari del trattamento che trattano tali dati personali di cancellare qualsiasi link verso tali dati personali o copia o riproduzione di detti dati personali. Nel fare ciò, è opportuno che il titolare del trattamento adotti misure ragionevoli tenendo conto della tecnologia disponibile e dei mezzi a disposizione del titolare del trattamento, comprese misure tecniche, per informare della richiesta dell’interessato i titolari del trattamento che trattano i dati personali. (33)Le modalità per limitare il trattamento dei dati personali potrebbero consistere, tra l’altro, nel trasferire temporaneamente i dati selezionati verso un altro sistema di trattamento, nel rendere i dati personali selezionati inaccessibili agli utenti o nel rimuovere temporaneamente i dati pubblicati da un sito web. Negli archivi automatizzati, la limitazione del trattamento dei dati personali dovrebbe in linea di massima essere assicurata mediante dispositivi tecnici in modo tale che i dati personali non siano sottoposti a ulteriori trattamenti e non possano più essere modificati. Il sistema dovrebbe indicare chiaramente che il trattamento dei dati personali è stato limitato. (34)Per rafforzare ulteriormente il controllo sui propri dati è opportuno anche che l’interessato abbia il diritto, qualora i dati personali siano trattati con mezzi automatizzati, di ricevere in un formato strutturato, di uso comune, leggibile da dispositivo automatico e interoperabile i dati personali che lo riguardano che abbia fornito a un titolare del trattamento e di trasmetterli a un altro titolare del trattamento. È opportuno incoraggiare i titolari del trattamento a sviluppare formati interoperabili che consentano la portabilità dei dati. Tale diritto dovrebbe applicarsi qualora l’interessato abbia fornito i dati personali sulla base del proprio consenso o se il trattamento è necessario per l’esecuzione di un contratto. Non dovrebbe pertanto applicarsi quando il trattamento dei dati personali è necessario per l’adempimento di un obbligo legale cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Il diritto dell’interessato di trasmettere o ricevere dati personali che lo riguardano non dovrebbe comportare l’obbligo per i titolari del trattamento di adottare o mantenere sistemi di trattamento tecnicamente compatibili. Qualora un certo insieme di dati personali riguardi più di un interessato, il diritto di ricevere i dati personali non dovrebbe pregiudicare i diritti e le libertà degli altri interessati in ottemperanza del presente regolamento. Inoltre tale diritto non dovrebbe pregiudicare il diritto dell’interessato di ottenere la cancellazione dei dati personali e le limitazioni di tale diritto di cui al presente regolamento e non dovrebbe segnatamente implicare la cancellazione dei dati personali riguardanti l’interessato forniti da quest’ultimo per l’esecuzione di un contratto, nella misura in cui e fintantoché i dati personali siano necessari all’esecuzione di tale contratto. Ove tecnicamente fattibile, l’interessato dovrebbe avere il diritto di ottenere che i dati personali siano trasmessi direttamente da un titolare del trattamento a un altro. (35)Qualora i dati personali possano essere lecitamente trattati, essendo il trattamento necessario per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento, l’interessato dovrebbe comunque avere il diritto di opporsi al trattamento dei dati personali che riguardano la sua situazione particolare. È opportuno che incomba al titolare del trattamento dimostrare che i suoi interessi legittimi cogenti prevalgono sugli interessi o sui diritti e sulle libertà fondamentali dell’interessato. (36)L’interessato dovrebbe avere il diritto di non essere sottoposto a una decisione, che possa includere una misura, che valuti aspetti personali che lo riguardano, che sia basata unicamente su un trattamento automatizzato e che produca effetti giuridici che lo riguardano o incida in modo analogo significativamente sulla sua persona, quali le pratiche di assunzione elettronica senza interventi umani. Tale trattamento comprende la «profilazione», che consiste in una forma di trattamento automatizzato dei dati personali che valuta aspetti personali concernenti una persona fisica, in particolare al fine di analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti dell’interessato, ove ciò produca effetti giuridici che la riguardano o incida in modo analogo significativamente sulla sua persona. Tuttavia, è opportuno che sia consentito adottare decisioni sulla base di tale trattamento, compresa la profilazione, se ciò è espressamente previsto dal diritto dell’Unione. In ogni caso, tale trattamento dovrebbe essere subordinato a garanzie adeguate, che dovrebbero comprendere la specifica informazione all’interessato e il diritto di ottenere l’intervento umano, di esprimere la propria opinione, di ottenere una spiegazione della decisione conseguita dopo tale valutazione e di contestare la decisione. Tale misura non dovrebbe riguardare un minore. Al fine di garantire un trattamento corretto e trasparente nel rispetto dell’interessato, tenendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati, è opportuno che il titolare del trattamento utilizzi procedure matematiche o statistiche appropriate per la profilazione, metta in atto misure tecniche e organizzative adeguate al fine di garantire, in particolare, che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali secondo una modalità che tenga conto dei potenziali rischi esistenti per gli interessi e i diritti dell’interessato e che impedisca tra l’altro effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell’origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell’appartenenza sindacale, dello status genetico, dello stato di salute o dell’orientamento sessuale, ovvero che comportano misure aventi tali effetti. Il processo decisionale automatizzato e la profilazione basati su categorie particolari di dati personali dovrebbero essere consentiti solo a determinate condizioni. (37)Gli atti giuridici adottati sulla base dei trattati o le norme interne delle istituzioni e degli organi dell’Unione possono imporre limitazioni a specifici principi e ai diritti di informazione, accesso e rettifica o cancellazione dei dati personali, al diritto alla portabilità dei dati, alla riservatezza delle comunicazioni elettroniche nonché alla comunicazione di una violazione di dati personali all’interessato e ad alcuni obblighi connessi in capo ai titolari del trattamento, ove ciò sia necessario e proporzionato in una società democratica per la salvaguardia della sicurezza pubblica, delle attività di prevenzione, indagine e perseguimento di reati o dell’esecuzione di sanzioni penali, tra cui la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica, ivi comprese la tutela della vita umana, in particolare in risposta a catastrofi di origine naturale o umana, la sicurezza interna delle istituzioni e degli organi dell’Unione, altri importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro, in particolare un interesse economico o finanziario rilevante dell’Unione o di uno Stato membro, la tenuta di registri pubblici per ragioni di interesse pubblico generale o la tutela dell’interessato o dei diritti e delle libertà altrui, compresi la protezione sociale, la sanità pubblica e gli scopi umanitari. Qualora gli atti giuridici adottati sulla base dei trattati o le norme interne non prevedano una limitazione, le istituzioni e gli organi dell’Unione possono, in casi specifici, imporre una limitazione ad hoc concernente specifici principi e i diritti dell’interessato se tale limitazione rispetta l’essenza dei diritti e delle libertà fondamentali e, in relazione a un trattamento specifico, è necessaria e proporzionata in una società democratica per salvaguardare uno o più degli obiettivi di cui al paragrafo 1. La limitazione dovrebbe essere comunicata al responsabile della protezione dei dati. Tutte le limitazioni dovrebbero essere conformi alla Carta e alla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali. (38)È opportuno stabilire la responsabilità generale del titolare del trattamento per qualsiasi trattamento di dati personali che quest’ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto. In particolare, il titolare del trattamento dovrebbe essere tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformità delle attività di trattamento con il presente regolamento, compresa l’efficacia delle misure. Tali misure dovrebbero tener conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche. I rischi per i diritti e le libertà delle persone fisiche, aventi probabilità e gravità diverse, possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare: se il trattamento può comportare discriminazioni, furto o usurpazione d’identità, perdite finanziarie, pregiudizio alla reputazione, perdita di riservatezza dei dati personali protetti da segreto professionale, decifratura non autorizzata della pseudonimizzazione, o qualsiasi altro danno economico o sociale significativo; se gli interessati rischiano di essere privati dei loro diritti e delle loro libertà o venga loro impedito l’esercizio del controllo sui dati personali che li riguardano; se sono trattati dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonché dati genetici, dati relativi alla salute o i dati relativi alla vita sessuale o a condanne penali e a reati o alle relative misure di sicurezza; in caso di valutazione di aspetti personali, in particolare mediante l’analisi o la previsione di aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, l’ubicazione o gli spostamenti, al fine di creare o utilizzare profili personali; se sono trattati dati personali di persone fisiche vulnerabili, in particolare minori; se il trattamento riguarda una notevole quantità di dati personali e un vasto numero di interessati. La probabilità e la gravità del rischio per i diritti e le libertà dell’interessato dovrebbero essere determinate con riguardo alla natura, all’ambito di applicazione, al contesto e alle finalità del trattamento. Il rischio dovrebbe essere considerato in base a una valutazione oggettiva mediante cui si stabilisce se i trattamenti di dati comportano un rischio o un rischio elevato. (39)La tutela dei diritti e delle libertà delle persone fisiche relativamente al trattamento dei dati personali richiede l’adozione di misure tecniche e organizzative adeguate per garantire il rispetto delle disposizioni del presente regolamento. Al fine di poter dimostrare la conformità con il presente regolamento, il titolare del trattamento dovrebbe adottare politiche interne e attuare misure che soddisfino in particolare i principi della protezione dei dati fin dalla progettazione e della protezione dei dati di default. Tali misure potrebbero consistere, tra l’altro, nel ridurre al minimo il trattamento dei dati personali, pseudonimizzare i dati personali il più presto possibile, offrire trasparenza per quanto riguarda le funzioni e il trattamento di dati personali, consentire all’interessato di controllare il trattamento dei dati e consentire al titolare del trattamento di creare e migliorare caratteristiche di sicurezza. I principi della protezione dei dati fin dalla progettazione e di default dovrebbero essere presi in considerazione anche nell’ambito degli appalti pubblici. (40)La protezione dei diritti e delle libertà degli interessati così come la responsabilità generale dei titolari del trattamento e dei responsabili del trattamento esigono una chiara ripartizione delle responsabilità ai sensi del presente regolamento, compresi i casi in cui un titolare del trattamento stabilisca le finalità e i mezzi del trattamento congiuntamente con altri titolari del trattamento o quando l’operazione di trattamento viene eseguita per conto del titolare del trattamento. (41)Per garantire che siano rispettate le prescrizioni del presente regolamento riguardo al trattamento che il responsabile del trattamento deve eseguire per conto del titolare del trattamento, quando affida delle attività di trattamento a un responsabile del trattamento il titolare del trattamento dovrebbe ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse, per mettere in atto misure tecniche e organizzative che soddisfino i requisiti del presente regolamento, anche per la sicurezza del trattamento. L’applicazione da parte dei responsabili del trattamento diversi dalle istituzioni e dagli organi dell’Unione di un codice di condotta approvato o di un meccanismo di certificazione approvato può essere utilizzata come elemento per dimostrare il rispetto degli obblighi da parte del titolare del trattamento. L’esecuzione dei trattamenti da parte di un responsabile del trattamento dovrebbe essere disciplinata da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri che vincoli il responsabile del trattamento al titolare del trattamento, in cui siano stipulati la materia disciplinata e la durata del trattamento, la natura e le finalità del trattamento, il tipo di dati personali e le categorie di interessati, tenendo conto dei compiti e responsabilità specifici del responsabile del trattamento nel contesto del trattamento da eseguire e del rischio in relazione ai diritti e alle libertà dell’interessato. Il titolare del trattamento e il responsabile del trattamento dovrebbero poter scegliere di usare un contratto individuale o clausole contrattuali tipo che sono adottate direttamente dalla Commissione oppure dal garante europeo della protezione dei dati e successivamente dalla Commissione. Dopo il completamento del trattamento per conto del titolare del trattamento, il responsabile del trattamento dovrebbe, a scelta del titolare del trattamento, restituire o cancellare i dati personali salvo che il diritto dell’Unione o degli Stati membri cui è soggetto il responsabile del trattamento prescriva la conservazione di tali dati personali. (42)Per dimostrare che si conformano al presente regolamento, i titolari del trattamento dovrebbero tenere un registro delle attività di trattamento effettuate sotto la propria responsabilità e i responsabili del trattamento dovrebbero tenere un registro delle categorie di attività di trattamento effettuate sotto la propria responsabilità. Sarebbe necessario obbligare le istituzioni e gli organi dell’Unione a cooperare con il garante europeo della protezione dei dati e a mettere, su richiesta, i propri registri a sua disposizione affinché possano servire per monitorare detti trattamenti. È opportuno che le istituzioni e gli organi dell’Unione siano in grado di istituire un registro centrale in cui registrare le proprie attività di trattamento. Per motivi di trasparenza, dovrebbero poter rendere tale registro pubblico. (43)Per mantenere la sicurezza e prevenire trattamenti in violazione al presente regolamento, il titolare del trattamento o il responsabile del trattamento dovrebbe valutare i rischi inerenti al trattamento e attuare misure per limitare tali rischi, quali la cifratura. Tali misure dovrebbero assicurare un adeguato livello di sicurezza, inclusa la riservatezza, tenuto conto dello stato dell’arte e dei costi di attuazione rispetto ai rischi che presentano i trattamenti e alla natura dei dati personali da proteggere. Nella valutazione del rischio per la sicurezza dei dati è opportuno tenere in considerazione i rischi presentati dal trattamento dei dati personali, come la distruzione accidentale o illegale, la perdita, la modifica, la rivelazione o l’accesso non autorizzati a dati personali trasmessi, conservati o comunque elaborati, che potrebbero cagionare in particolare un danno fisico, materiale o immateriale. (44)Le istituzioni e gli organi dell’Unione dovrebbero garantire la riservatezza delle comunicazioni elettroniche come disposto dall’articolo 7 della Carta. In particolare le istituzioni e gli organi dell’Unione dovrebbero garantire la sicurezza delle proprie reti di comunicazione elettronica, proteggere le informazioni relative alle apparecchiature terminali degli utenti finali che accedono ai loro siti web e alle applicazioni per dispositivi mobili a disposizione del pubblico in ottemperanza al regolamento (UE) XXXX/XX [nuovo regolamento relativo alla vita privata e alle comunicazioni elettroniche] e proteggere i dati personali in elenchi di utenti.

(45) Una violazione dei dati personali potrebbe, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone fisiche. Pertanto, non appena viene a conoscenza di un’avvenuta violazione dei dati personali, il titolare del trattamento dovrebbe notificare la violazione dei dati personali al garante europeo della protezione dei dati, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che il titolare del trattamento non sia in grado di dimostrare che, conformemente al principio di responsabilizzazione, è improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Oltre il termine di 72 ore, tale notifica dovrebbe essere corredata delle ragioni del ritardo e le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo. Qualora il ritardo sia giustificato, si dovrebbero comunicare quanto prima le informazioni meno sensibili o meno specifiche sulla violazione invece di risolvere completamente l’incidente sottostante prima di procedere alla notifica. (46)Il titolare del trattamento dovrebbe comunicare all’interessato la violazione dei dati personali senza indebito ritardo, qualora questa violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà della persona fisica, al fine di consentirgli di prendere le precauzioni necessarie. La comunicazione dovrebbe descrivere la natura della violazione dei dati personali e formulare raccomandazioni per la persona fisica interessata intese ad attenuare i potenziali effetti negativi. Tali comunicazioni agli interessati dovrebbero essere effettuate non appena ragionevolmente possibile e in stretta collaborazione con il garante europeo della protezione dei dati e nel rispetto degli orientamenti impartiti da questo o da altre autorità competenti quali le autorità incaricate dell’applicazione della legge. (47)Il regolamento (CE) n. 45/2001 ha introdotto l’obbligo generale in capo al titolare del trattamento di notificare il trattamento dei dati personali al responsabile della protezione dei dati, che a sua volta terrà un registro dei trattamenti notificati. Mentre tale obbligo comporta oneri amministrativi e finanziari, non ha sempre contribuito a migliorare la protezione dei dati personali. È pertanto opportuno abolire tali obblighi generali e indiscriminati di notifica e sostituirli con meccanismi e procedure efficaci che si concentrino piuttosto su quei tipi di trattamenti che potenzialmente presentano un rischio elevato per i diritti e le libertà delle persone fisiche, per loro natura, ambito di applicazione, contesto e finalità. Tali tipi di trattamenti includerebbero, in particolare, quelli che comportano l’utilizzo di nuove tecnologie o quelli che sono di nuovo tipo e in relazione ai quali il titolare del trattamento non ha ancora effettuato una valutazione d’impatto sulla protezione dei dati, o la valutazione d’impatto sulla protezione dei dati si riveli necessaria alla luce del tempo trascorso dal trattamento iniziale. In tali casi, è opportuno che il titolare del trattamento effettui una valutazione d’impatto sulla protezione dei dati prima del trattamento, per valutare la particolare probabilità e gravità del rischio, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento e delle fonti di rischio. La valutazione di impatto dovrebbe vertere, in particolare, anche sulle misure, sulle garanzie e sui meccanismi previsti per attenuare tale rischio assicurando la protezione dei dati personali e dimostrando la conformità al presente regolamento. (48)Se dalla valutazione d’impatto sulla protezione dei dati risulta che il trattamento, in mancanza delle garanzie, delle misure di sicurezza e dei meccanismi per attenuare il rischio, presenterebbe un rischio elevato per i diritti e le libertà delle persone fisiche e il titolare del trattamento è del parere che il rischio non possa essere ragionevolmente attenuato in termini di tecnologie disponibili e costi di attuazione, è opportuno consultare il garante europeo della protezione dei dati prima dell’inizio delle attività di trattamento. Tale rischio elevato potrebbe scaturire da certi tipi di trattamento e dall’estensione e frequenza del trattamento, da cui potrebbe derivare altresì un danno o un’interferenza con i diritti e le libertà della persona fisica. Il garante europeo della protezione dei dati che riceve una richiesta di consultazione dovrebbe darvi seguito entro un termine determinato. Tuttavia, la mancanza di reazione del garante europeo della protezione dei dati entro tale termine dovrebbe far salvo ogni intervento dello stesso nell’ambito dei suoi compiti e poteri previsti dal presente regolamento, compreso il potere di vietare i trattamenti. Nell’ambito di tale processo di consultazione, dovrebbe essere possibile presentare al garante europeo della protezione dei dati il risultato di una valutazione d’impatto sulla protezione dei dati effettuata riguardo al trattamento in questione, in particolare le misure previste per attenuare il rischio per i diritti e le libertà delle persone fisiche. (49)Il garante europeo della protezione dei dati dovrebbe essere informato circa le misure amministrative e le norme interne delle istituzioni e degli organi dell’Unione che prevedono il trattamento di dati personali, stabiliscono le condizioni per le limitazioni dei diritti dell’interessato o fissano garanzie adeguate per i diritti dell’interessato, al fine di garantire la conformità del trattamento previsto al presente regolamento e, in particolare, attenuare i rischi per l’interessato. (50)Il regolamento (UE) 2016/679 istituisce il comitato europeo per la protezione dei dati quale organo indipendente dell’Unione dotato di personalità giuridica. Il comitato dovrebbe contribuire all’applicazione coerente del regolamento (UE) 2016/679 e della direttiva (UE) 2016/680 in tutta l’Unione, fornendo anche consulenza alla Commissione. Nel contempo il garante europeo della protezione dei dati dovrebbe continuare a esercitare le proprie funzioni di controllo e consulenza in relazione a tutte le istituzioni e tutti gli organi dell’Unione, di propria iniziativa o su richiesta. Per garantire la coerenza delle norme sulla protezione dei dati in tutta l’Unione, la Commissione dovrebbe avere l’obbligo di condurre una consultazione a seguito dell’adozione di atti legislativi o durante la preparazione di atti delegati e atti di esecuzione di cui agli articoli 289, 290 e 291 del TFUE e a seguito dell’adozione di raccomandazioni e proposte relative ad accordi con paesi terzi e organizzazioni internazional