5. 11. 90 Gazzetta ufficiale delle Comunità europee N. C 277/3 
Proposta di direttiva del Consiglio concernente la protezione delle persone relativamente al 
trattamento dei dati personali 
COM(90) 314 def. — SYN 287 
(Presentata dalla Commissione il 27 luglio 1990) 
(90/C 277/03) 
IL CONSIGLIO DELLE COMUNITÀ EUROPEE, 
visto il trattato che istituisce la Comunità economica 
europea, in particolare l'articolo 100A e l'articolo 113, 
vista la proposta della Commissione, 
in cooperazione con il Parlamento europeo, 
visto il parere del Comitato economico e sociale, 
(2) considerando che la realizzazione e il funzionamento 
del mercato interno, nel quale, conformemente 
all'articolo 8 A del trattato CEE, è assicurata la libera 
circolazione delle merci, delle persone, dei servizi e dei 
capitali, esigono non solo che i dati personali possano 
circolare, qualunque sia lo Stato membro in cui sono 
stati trattati o richiesti, ma anche che siano salvaguar­
dati i diritti fondamentali, tenuto conto del ricorso 
sempre più frequente nella Comunità al trattamento di 
dati personali nei vari settori delle attività economiche 
e sociali ; 
(3) considerando che il mercato interno comporta uno 
spazio senza frontiere; che, pertanto, le amministra­
zioni nazionali dei vari Stati membri, in applicazione 
del diritto comunitario, debbono sempre più spesso 
ricorrere alla reciproca collaborazione e allo scambio 
di dati personali per poter svolgere la loro funzione o 
esercitare compiti per conto di un'amministrazione di 
un altro Stato membro; (4) considerando che il rafforzamento della cooperazione 
scientifica e tecnica e l'istituzione coordinata di nuove 
reti di telecomunicazioni nella Comunità richiedono e 
facilitano la circolazione transfrontaliera di dati 
personali ; 
(5) 
(6) 
(7) considerando che le legislazioni nazionali relative al 
trattamento dei dati personali hanno lo scopo di 
garantire il rispetto dei diritti fondamentali, in 
particolare il diritto alla vita privata, riconosciuto 
anche dall'articolo 8 della convenzione per la 
salvaguardia dei diritti dell'uomo e delle libertà 
fondamentali e dai principi generali del diritto 
comunitario ; che pertanto il ravvicinamento di dette 
legislazioni non deve avere per effetto un indebolimen­
to della protezione da esse assicurata ma deve anzi 
mirare a garantire un elevato livello di protezione nella 
Comunità ; 
(8) considerando che i principi della protezione della vita 
privata relativamente al trattamento di dati personali 
oggetto della presente direttiva potranno essere 
completati o precisati, in particolare per taluni settori, 
da norme specifiche ad essi conformi ; 
(9) considerando che i principi relativi alla protezione si 
devono applicare a tutti gli archivi quando le attività 
del responsabile dell'archivio rientrano nel campo 
d'applicazione del diritto comunitario ; che gli archivi (1) considerando che gli obiettivi della Comunità, 
enunciati nel trattato quale modificato dall'atto unico 
europeo, mirano a realizzare un'unione sempre più 
stretta tra i popoli europei, a istituire relazioni più 
strette tra gli Stati che la Comunità riunisce, ad 
assicurare mediante un'azione comune il progresso 
economico e sociale elimando le barriere che dividono 
l'Europa, a promuovere il miglioramento costante 
delle condizioni di vita, a rafforzare le difese della pace 
e della libertà e a promuovere la democrazia basandosi 
sui diritti fondamentali sanciti dalle costituzioni e 
dalle leggi degli Stati membri e dalla convenzione per 
la salvaguardia del diritti dell'uomo e delle libertà 
fondamentali ; considerando che il divario nei livelli di protezione 
della vita privata garantiti negli Stati membri 
relativamente al trattamento di dati personali può 
impedire la trasmissione dei dati stessi dal territorio di 
uno Stato membro a quello di un altro e può pertanto 
costituire un ostacolo all'esercizio di una serie di 
attività economiche su scala comunitaria, falsare la 
concorrenza e ostacolare, nell'adempimento dei loro 
compiti, le amministrazioni che intervengono nell'ap­
plicazione del diritto comunitario; che detto divario 
nei livelli di protezione deriva dalla disparità delle 
disposizioni legislative, regolamentari ed amministra­
tive nazionali; 
considerando che, per eliminare gli ostacoli alla 
circolazione dei dati personali, il livello di protezione 
della vita privata relativamente al trattamento di tali 
dati deve essere equivalente in tutti gli Stati membri ; 
che, a tal fine, è necessario un ravvicinamento delle 
legislazioni applicabili in materia; 
N. C 277/4 Gazzetta ufficiale delle Comunità europee 5. 11. 90 
del settore pubblico che non rientrano nel campo 
d'applicazione del diritto comunitario dovrebbero 
essere soggetti agli stessi principi della protezione 
figuranti nelle legislazioni nazionali, come prevede la 
risoluzione dei rappresentanti dei governi degli Stati 
membri delle Comunità europee riuniti in sede di 
Consiglio il... ; che, tuttavia, devono essere esclusi gli 
archivi riguardanti esclusivamente l'esercizio del 
diritto alla vita privata di una persona fisica, quali ad 
esempio gli archivi personali d'indirizzi; 
(10) considerando che è necessario che il trattamento di 
dati personali nella Comunità rispetti la legislazione 
dello Stato membro nel quale si trova l'archivio, onde 
evitare che una persona venga privata della protezione 
che deve esserle garantita a norma della presente 
direttiva ; che, a questo proposito, tutte le parti di un 
archivio suddiviso tra più Stati membri devono essere 
considerate come un archivio unico a tutti gli effetti ; 
che lo spostamento in un paese terzo non deve 
impedire tale protezione; 
(11) considerando che qualsivoglia trattamento di dati 
personali deve essere legittimo ; che la sua legittimità 
deve basarsi sul consenso della persona interessata, sul 
diritto comunitario o sulle legislazioni nazionali; 
(12) considerando che le legislazioni nazionali hanno la 
possibilità di precisare, nelle condizioni stabilite dalla 
direttiva, le norme relative alla legittimità del 
trattamento; che, tuttavia, tale possibilità non può 
servire a giustificare il controllo da parte di uno Stato 
membro diverso dallo Stato in cui si trova l'archivio, 
poiché l'obbligo incombente a quest'ultimo di garanti­
re, conformemente alla presente direttiva, la protezio­
ne della vita privata relativamente al trattamento di 
dati personali è sufficiente, sotto il profilo del diritto 
comunitario, per consentire la libera circolazione dei 
dati; 
(13) considerando che le procedure di notifica, per gli 
archivi del settore pubblico o privato, e d'informazio­
ne al momento della prima comunicazione, per gli 
archivi del settore privato, sono volte a garantire la 
trasparenza indispensabile all'esercizio del diritto di 
accesso di qualsiasi persona ai dati che la riguardano ; 
(14) considerando che, alla persona interessata, devono 
essere fornite, perché il suo consenso sia valido a 
quando i dati che la riguardano sono raccolti 
direttamente presso di essa, informazioni accurate e 
complete ; 
(15) considerando che la persona interessata deve godere 
del diritto d'accesso per poter verificare la legittimità 
del trattamento dei dati che la riguardao e la loro 
qualità ; (16) considerando che, ai fini di un eventuale trattamento, i 
dati devono rispondere a determinati requisiti ; che il 
trattamento di dati di per sé suscettibili di nuocere al 
diritto alla vita privata deve essere vietato salvo 
consenso esplicito della persona interessata; che 
tuttavia, per motivi importanti d'interesse pubblico, in 
particolare per le professioni mediche, possono essere 
previste deroghe in base ad una legge che fissi 
esattamente e rigorosamente le condizioni e i limiti del 
trattamento di tale tipo di dati; 
(17) considerando che la protezione della vita privata 
relativamente al trattamento di dati personali richiede 
l'adozione di misure di sicurezza adeguate a livello sia 
della progettazione che della tecnologia del trattamen­
to al fine di impedire eventuali trattamenti non 
autorizzati ; 
(18) considerando che nel settore dei media gli Stati 
membri possono derogare alle disposizioni della 
presente direttiva se ed in quanto esse siano intese a 
conciliare il diritto alla vita privata con la libertà 
d'informazione e il diritto di ricevere o di comunicare 
informazioni, quale garantito dall'articolo 10 della 
convenzione per la salvaguardia dei diritti dell'uomo e 
delle libertà fondamentali; 
(19) considerando che gli Stati membri devono incoraggia­
re l'elaborazione, da parte degli ambienti professiona­
li, di codici di deontologia o di buona condotta 
europei concernenti taluni settori particolari; che la 
Commissione appoggerà le iniziative in materia e ne 
terrà conto al momento di valutare l'opportunità di 
nuove misure specifiche per taluni settori ; 
(20) considerando che in caso di inosservanza delle 
disposizioni della presente direttiva il responsabile 
dell'archivio deve essere considerato responsabile dei 
danni provocati; che, per assicurare una protezione 
effettiva, si devono applicare sanzioni dissuasive; 
(21) considerando che è altresì necessario che il trasferi­
mento di dati personali possa aver luogo con i paesi 
terzi aventi un livello di protezione adeguato ; che, in 
assenza di tale protezione nei paesi terzi, la presente 
direttiva prevede, in particolare, l'avvio di negoziati 
con i medesimi; 
(22) considerando che i principi fissati dalla presente 
direttiva precisano ed ampliano quelli enunciati dalla 
convenzione del 28 gennaio 1981 del Consiglio 
d'Europa sulla protezione delle persone rispetto al 
trattamento automatizzato dei dati di carattere 
personale ; 
(23) considerando che l'esistenza in ciascuno Stato mem­
bro di un'autorità di controllo indipendente è un 
elemento essenziale della protezione delle persone 
5. 11. 90 Gazzetta ufficiale delle Comunità europee N. C 277/5 
riguardo al trattamento di dati personali ; che a livello 
comunitario è opportuno istituire un gruppo per la 
protezione dei dati personali che eserciti le sue 
funzioni in piena indipendenza ; che, tenuto conto di 
tale sua caratteristica specifica, esso deve consigliare la 
Commissione e contribuire all'applicazione omogenea 
delle norme nazionali adottate in applicazione della 
presente direttiva ; 
(24) considerando che l'adozione delle misure complemen­
tari per l'applicazione dei principi della presente 
direttiva impone di attribuire alla Commissione un 
potere regolamentare e di istituire un comitato 
consultivo secondo le modalità fissate nella decisione 
87/373/CEE del Consiglio (*), 
HA ADOTTATO LA PRESENTE DIRETTIVA : 
CAPO I 
DISPOSIZIONI GENERALI 
Articolo 1 
Oggetto della direttiva 
1. Gli Stati membri garantiscono, conformemente alle 
disposizioni della presente direttiva, la protezione della vita 
privata delle persone relativamente al trattamento di dati 
personali contenuti in archivi. 
2. Gli Stati membri non possono, per motivi relativi alla 
protezione garantita a norma del paragrafo 1, restringere o 
vietare la libera circolazione dei dati personali tra Stati 
membri. 
Articolo 2 
Definizioni 
Ai fini della presente direttiva si intende per: 
a) « dati personali » : qualsisiasi informazione concernente 
una persona fisica identificata o identificabile («perso­
na interessata ») ; in particolare si considera identificabi­
le la persona che può essere identificata mediante 
riferimento ad un numero d'identificazione o a 
un'informazione analoga ; 
b) « rendere anonimi i dati » : una modifica dei dati 
personali in modo che le informazioni ivi contenute non 
possano più essere associate ad una persona fisica 
determinata o determinabile, salvo mediante uno sforzo 
eccessivo in termini di personale, spese e tempo; 
e) « l'archivio di dati personali » (archivio) : qualsiasi 
insieme di dati personali, centralizzati o ripartiti in vari 
(!) GU n. L 197 del 18. 7. 1987, pag. 33. siti, sottoposti a trattamento automatizzato oppure che, 
pur non essendovi sottoposti, sono strutturati ed 
accessibili in una raccolta organizzata secondo criteri 
tali da facilitarne l'utilizzo o l'interconnessione; 
d) « trattamento » : le operazioni, effettuate con o senza 
l'aiuto di procedimenti automatizzati: memorizzazio­
ne, archiviazione, interconnessione di dati, loro modifi­
ca, utilizzo e comunicazione, in particolare la trasmis­
sione, la divulgazione, la selezione, nonché il congela­
mento e la cancellazione; 
e) «responsabile dell'archivo » : la persona fisica o 
giuridica, l'autorità pubblica, il servizio o qualsiasi altro 
organismo cui compete, secondo il diritto comunitario o 
il diritto interno di uno Stato membro, la decisione in 
materia di finalità dell'archivio, scelta delle categorie di 
dati personali da memorizzare, operazioni da effettuare, 
accesso di terzi; 
f) « autorità di controllo » : l'autorità pubblica indipen­
dente, o qualsiasi altro organismo indipendente, 
designati da ciascuno Stato membro conformemente 
all'articolo 26 della presente direttiva ; 
g) «settore pubblico»: l'insieme delle amministrazioni, 
degli organismi o enti di diritto pubblico di uno Stato 
membro, ad eccezione di quelli che svolgono un'attività 
industriale o commerciale, nonché gli organismi ed enti 
di diritto privato qualora partecipino all'esercizio 
dell'autorità pubblica ; 
h) « settore privato » : qualsiasi persona fisica o giuridica o 
associazione, ivi compresi le amministrazioni, gli 
organismi o enti del settore pubblico che esercitano 
un'attività industriale o commerciale. 
Articolo 3 
Campo d'applicazione 
1. Gli Stati membri applicano le disposizioni della 
presente direttiva agli archivi del settore privato e del 
settore pubblico, ad esclusione degli archivi del settore 
pubblico la cui attività non rientra nel campo d'applicazio­
ne del diritto comunitario. 
2. Le disposizioni della presente direttiva non si applica­
no agli archivi: 
a) detenuti da una persona fisica esclusivamente a fini 
privati e personali, o 
b) detenuti da associazioni senza scopo di lucro, in 
particolare a carattere politico, filosofico, religioso, 
culturale, sindacale, sportivo o ricreativo, nel quadro 
del loro scopo legittimo, a condizione che riguardino 
unicamente i membri e i corrispondenti dell'associazio-
N. C 277/6 Gazzetta ufficiale delle Comunità europee 5. 11. 90 
ne che hanno acconsentito a figurarvi e che non siano 
comunicati a terzi. 
Articolo 4 
Diritto applicabile 
1. Ciascuno Stato membro applica le disposizioni della 
presente direttiva : 
a) a tutti gli archivi situati sul suo territorio; 
b) al responsabile dell'archivio che risiede nel suo 
territorio e che, a partire da questo, utilizza un archivio 
situato in un paese terzo la cui legislazione non prevede 
un livello di protezione adeguato, salvo in caso di 
utilizzazione sporadica. 
2. Ciascuno Stato membro applica le disposizioni degli 
articoli 5, 6, 8, 9, 10, 17, 18 e 21 all'utente che consulti un 
archivio situato in un paese terzo a partire da un terminale 
che si trova nel territorio di uno Stato membro, salvo in 
caso di utilizzazione sporadica. 
3. Qualora un archivio sia temporaneamente trasferito 
da uno Stato membro ad un altro Stato membro, 
quest'ultimo non oppone ostacoli e non esige formalità 
addizionali rispetto alle norme applicabili nello Stato 
membro in cui si trova permanentemente l'archivio. 
CAPO II 
LEGITTIMITÀ DEL TRATTAMENTO 
NEL SETTORE PUBBLICO 
Articolo 5 
Principi 
1. Fatte salve le disposizioni dell'articolo 6, gli Stati 
membri dispongono nella loro legislazione relativa agli 
archivi del settore pubblico che : 
a) la creazione di un archivio e qualsivoglia altro 
trattamento di dati personali sono legittimi se ed in 
quanto siano necessari per lo svolgimento dei compiti 
dell'autorità pubblica responsabile dell'archivio; 
b) il trattamento di dati per una finalità diversa da quella 
per cui è stato costituito l'archivio è legittimo quando : 
— la persona interessata vi acconsente, o 
— il trattamento viene effettuato in base al diritto 
comunitario o ad una legge o a un atto giuridico 
adottato in applicazione di una legge di uno Stato 
membro conforme alla presente direttiva che lo 
autorizzi e ne fissi i limiti, o 
— a tale mutamento di finalità non si oppone un 
interesse legittimo della persona interessata, o — il trattamento è necessario per prevenire una 
minaccia imminente all'ordine pubblico oppure una 
grave violazione del diritto di terzi. 
Articolo 6 
Trattamento nel settore pubblico avente per oggetto la 
comunicazione di dati personali 
1. Gli Stati membri dispongono nella loro legislazione 
che la comunicazione di dati personali contenuti negli 
archivi di un organismo del settore pubblico è legittima 
soltanto : 
a) quando sia necessaria per lo svolgimento dei compiti 
attribuiti all'organismo del settore pubblico che 
comunica o chiede la comunicazione di detti dati, o 
b) su richiesta di una persona fisica o giuridica del settore 
privato che invochi un interesse legittimo, a condizione 
che non prevalga l'interesse della persona interessata. 
2. Fatte salve le disposizioni di cui al paragrafo 1, gli Stati 
membri possono precisare le condizioni alle quali la 
comunicazione di dati personali è legittima. 
3. Gli Stati membri dispongono nella loro legislazione 
che, nei casi contemplati dal paragrafo 1, lettera b), il 
responsabile dell'archivio informa le persone interessate in 
merito alla comunicazione dei loro dati personali. Essi 
possono disporre che tale informazione sia sostituita da 
un'autorizzazione preventiva dell'autorità di controllo. 
Articolo 7 
Obbligo di notifica all'autorità di controllo 
1. Gli Stati membri dispongono nella loro legislazione 
che la creazione di un archivio del settore pubblico 
contenente dati personali che potrebbero essere comunicati 
deve essere preventivamente notificata all'autorità di 
controllo, che l'annota in un apposito registro. Il registro 
può essere consultato da qualsiasi persona. 
2. Gli Stati membri definiscono le informazioni che 
devono essere notificate all'autorità di controllo. Esse 
comprendono almeno il nome e l'indirizzo del responsabile 
dell'archivio, la finalità dell'archivio, una descrizione dei 
tipi di dati ivi memorizzati, i terzi cui i dati possono essere 
comunicati e una descrizione delle misure adottate in 
applicazione dell'articolo 18. 
3. Gli Stati membri possono stabilire che le disposizioni 
dei paragrafi 1 e 2 si applicano ad altri archivi del settore 
pubblico e che la consultazione del registro può essere 
limitata per i motivi di cui all'articolo 15, paragrafo 1. 
5. 11. 90 Gazzetta ufficiale delle Comunità europee N. C 277/7 
CAPO III 
LEGITTIMITÀ DEL TRATTAMENTO 
NEL SETTORE PRIVATO 
Articolo 8 
Principi 
1. Gli Stati membri dispongono nella loro legislazione 
che, senza il consenso della persona interessata, la 
memorizzazione in un archivio e qualsiasi altro tipo di 
trattamento di dati personali sono legittimi soltanto nel 
rispetto delle disposizioni della presente direttiva e a 
condizione che : 
a) il trattamento abbia luogo nel quadro di un contratto, di 
un rapporto di fiducia quasi contrattuale, con la 
persona interessata e sia necessario all'esecuzione del 
medesimo, o 
b) i dati provengano da fonti generalmente accessibili al 
pubblico e il loro trattamento sia destinato unicamente 
alla corrispondenza, o 
e) il responsabile dell'archivio persegua un interesse 
legittimo, purché non prevalga l'interesse della persona 
interessata. 
2. Gli Stati membri dispongono nella loro legislazione 
che il responsabile dell'archivio deve accertarsi, che 
nessuna comunicazione sia incompatibile con la finalità 
dell'archivio e contraria all'ordine pubblico. Gli stessi 
obblighi incombono all'utente in caso di consultazione in 
linea. 
3. Fatte salve le disposizioni di cui al paragrafo 1, gli Stati 
membri possono precisare le condizioni nelle quali è 
legittimo il trattamento di dati personali. 
Artìcolo 9 
Obbligo d'informare la persona interessata 
1. Per il settore privato, gli Stati membri stabiliscono 
nella loro legislazione che, in occasione della prima 
comunicazione o dell'apertura di una possibilità di 
consultazione in linea, il responsabile ne informa la 
persona interessata ed indica inoltre la finalità dell'archi­
vio, i tipi di dati ivi contenuti, il suo nome e indirizzo. 
2. L'informazione di cui al paragrafo 1 non è obbligatoria 
nel caso contemplato dall'articolo 8, paragrafo 1, lettera b). 
L'obbligo d'informare le persone interessate non sussiste 
quando la comunicazione è prevista per legge. 
3. Qualora la persona interessata sia contraria alla 
comunicazione o a qualsiasi altro trattamento, il responsa­
bile dell'archivio è tenuto a porre termine al trattamento 
contestato a meno che non vi sia esplicitamente autorizzato 
da una disposizione giuridica. Articolo 10 
Deroghe particolari all'obbligo d'informare 
la persona interessata 
Qualora l'informazione della persona interessata, confor­
memente all'articolo 9, paragrafo 1, si riveli impossibile o 
comporti sforzi sproporzionati, oppure contrasti con 
interessi legittimi preminenti del responsabile dell'archivio 
o con un interesse analogo di un terzo, gli Stati membri 
possono stabilire nella loro legislazione che l'autorità di 
controllo può autorizzare una deroga. 
Articolo 11 
Obbligo di notifica all'autorità di controllo 
1. Gli Stati membri stabiliscono nella loro legislazione 
che il responsabile dell'archivio notifica la creazione di un 
archivio di dati personali quando i dati sono destinati ad 
essere comunicati e non provengono da fonti generalmente 
accessibili al pubblico. La notifica deve essere fatta 
all'autorità di controllo dello Stato membro in cui si trova 
l'archivio oppure, se l'archivio non è situato in uno Stato 
membro, all'autorità di controllo dello Stato membro di 
residenza del responsabile. Il responsabile dell'archivio 
notifica alle autorità nazionali competenti qualsiasi 
mutamento di finalità dell'archivio o del suo indirizzo. 
2. Gli Stati membri definiscono le informazioni che 
devono essere notificate all'autorità di controllo. Esse 
devono comprendere almeno il nome e l'indirizzo del 
responsabile dell'archivio, la finalità dell'archivio, una 
descrizione dei tipi di dati ivi contenuti, i terzi cui sono 
eventualmente comunicati i dati e una descrizione delle 
misure adottate in applicazione dell'articolo 18. 
3. Gli Stati membri possono stabilire che le disposizioni 
di cui ai paragrafi 1 e 2 si applicano ad altri archivi del 
settore privato e che le informazioni contemplate dal 
paragrafo 2 sono accessibili al pubblico. 
CAPO IV 
DIRITTI DELLA PERSONA INTERESSATA 
Articolo 12 
Informazioni ai fini del consenso 
Il consenso della persona interessata a un trattamento di 
dati personali ai sensi della presente direttiva è valido 
solfante se: 
a) la persona dispone delle seguenti informazioni: 
— le finalità dell'archivio e i tipi di dati memorizzati ; 
N. C 277/8 Gazzetta ufficiale delle Comunità europee 5. 11. 90 
— il tipo di utilizzazione e, se del caso, i destinatari dei 
dati personali contenuti nell'archivio ; 
— il nome e l'indirizzo del responsabile dell'archivio ; 
b) è specifico ed esplicito e precisa i tipi di dati, le forme di 
trattamento e gli eventuali destinatari ; 
e) può essere revocato dalla persona interessata in 
qualsiasi momento senza effetto retroattivo. 
Articolo 13 
L'informazione al momento della raccolta dei dati 
1. Gli Stati membri garantiscono alle persone presso le 
quali viene effettuata una raccolta di dati personali il diritto 
di essere almeno informate in merito : 
a) alle finalità dell'archivio cui sono destinate le informa­
zioni, 
b) alla natura obbligatoria o volontaria della loro risposta 
alle domande oggetto della raccolta, 
e) alle conseguenze nei loro confronti di un eventuale 
rifiuto di rispondere, 
d) ai destinatari delle informazioni, 
e) all'esistenza del diritto di accesso e di rettifica dei loro 
dati personali, 
f) al nome e indirizzo del responsabile dell'archivio. 
2. Le disposizioni del paragrafo 1 non si applicano alla 
raccolta delle informazioni quando l'informazione della 
persona interessata impedirebbe l'esercizio delle funzioni di 
controllo e di verifica dell'autorità pubblica o il manteni­
mento dell'ordine pubblico. 
Articolo 14 
Diritti complementari della persona interessata 
Gli Stati membri riconoscono alla persona interessata il 
diritto : 
1) di opporsi, per motivi legittimi, al trattamento di dati 
personali che la riguardano; 
2) di non essere sottoposta ad una decisione amministrati­
va o privata che implichi una valutazione del suo 
comportamento avente come unico fondamento un 
trattamento automatizzato di dati personali volto a 
definire il profilo o la personalità dell'interessato; 3) di conoscere l'esistenza di un'archivio, le sue finalità 
principali nonché l'identità e la residenza abituale, la 
sede o il domicilio del responsabile dell'archivio; 
4) di ottenere a intervalli ragionevoli e senza ritardi o spese 
eccessive, la conferma dell'esistenza o meno in un 
archivio di dati personali che la riguardano e la loro 
comunicazione in forma intelligibile. 
Gli Stati membri possono disporre che il diritto di 
accesso ai dati a carattere medico può essere esercitato 
soltanto per il tramite di un medico ; 
5) di ottenere, se del caso, la rettifica, la cancellazione o il 
congelamento di tali dati qualora il trattamento non sia 
conforme alle disposizioni della presente direttiva ; 
6) di ottenere, su richiesta, la cancellazione gratuita dei 
dati che la riguardano memorizzati in archivi contenenti 
informazioni in materia di ricerche di mercato o di 
pubblicità. 
7) di ottenere, in caso di applicazione del paragrafo 5 del 
presente articolo e qualora i dati siano stati comunicati 
a terzi, la notifica a questi ultimi della loro rettifica, 
cancellazione o congelamento ; 
8) di disporre di un mezzo di ricorso giurisdizionale in caso 
di violazione dei diritti garantiti dal presente articolo. 
Articolo 15 
Deroghe al diritto di accesso della persona interessata 
agli archivi del settore pubblico 
1. Gli Stati membri possono limitare per legge i diritti 
enunciati nei punti 3 e 4 dell'articolo 14 per motivi 
concernenti : 
a) la sicurezza dello Stato, 
b) la difesa, 
e) procedimenti penali, 
d) la pubblica sicurezza, 
e) un interesse economico e finanziario imperativo, 
debitamente giustificato, di uno Stato membro o della 
Comunità, 
f) la necessità dell'autorità pubblica di esercitare funzione 
di controllo o di ispezione, 
g) un diritto equivalente di un'altra persona o diritti e 
libertà di terzi. 
2. Nei casi di cui al paragrafo 1, l'autorità di controllo 
deve poter effettuare, su domanda della persona interessa­
ta, le necessarie verifiche dell'archivio. 
5. 11. 90 Gazzetta ufficiale delle Comunità europee N. C 277/9 
3. Gli Stati membri possono limitare il diritto di accesso 
della persona interessata ai dati temporaneamente compi­
lati al fine di ricavare informazioni statistiche. 
CAPO V 
QUALITÀ DEI DATI 
Articolo 16 
Principi 
1. Gli Stati membri dispongono che: 
a) la raccolta e il trattamento di dati personali devono 
essere effettuati in maniera leale e legittima ; 
b) i dati devono essere memorizzati per finalità ben 
determinate, esplicite e legittime ed utilizzati conforme­
mente a tali finalità; 
e) i dati devono essere adeguati, pertinenti e non eccessivi 
rispetto alle finalità per le quali sono stati memorizzati ; 
d) i dati devono essere esatti, e, se necessario, aggiornati ; i 
dati inesatti o incompleti devono essere cancellati o 
rettificati ; 
e) i dati non devono essere conservati sotto una forma che 
consenta l'identificazione delle persone interessate per 
un periodo di tempo superiore a quello necessario alle 
finalità per cui sono stati memorizzati. 
2. Il responsabile dell'archivio garantisce il rispetto delle 
disposizioni contemplate dal paragrafo 1. 
Articolo 17 
Categorie particolari di dati 
1. Gli Stati membri vietano il trattamento automatizzato, 
salvo accordo libero, esplicito e scritto dalla persona 
interessata, di dati che ne rivelino l'origine razziale ed 
etnica, le opinioni politiche, le convinzioni religiose o 
filosofiche, l'appartenenza a sindacati, nonché le informa­
zioni relative allo stato di salute e alla vita sessuale. 
2. Gli Stati membri possono, per importanti motivi 
d'interesse pubblico, stabilire deroghe alle disposizioni del 
paragrafo 1 in base ad una legge che precisi i tipi di dati 
memorizzabili, le persone aventi accesso all'archivio 
nonché le opportune garanzie contro il rischio d'utilizza­
zione abusiva e di accesso non autorizzato. 
3. I dati relativi a condanne penali possono essere 
conservati soltanto in archivi del settore pubblico. Articolo 18 
Sicurezza dei dati 
1. Gli Stati membri, nella loro legislazione, impogono al 
responsabile dell'archivio l'obbligo di adottare le misure 
tecniche ed organizzative necessarie per proteggere 
l'archivio dalla distruzione, accidentale o non autorizzata, 
dalla perdita accidentale dei dati o dalla loro alterazione, 
dall'accesso non autorizzato a dati personali o da qualsiasi 
altro trattamento non consentito. 
Tali misure devono garantire agli archivi automatizzati un 
adeguato livello di sicurezza tenuto conto, da un lato, delle 
attuali conoscenze in materia e del costo della loro 
applicazione e, d'altro lato, della natura dei dati da 
proteggere e della valutazione dei rischi potenziali. A tal 
fine, il responsabile dell'archivio deve prendere in 
considerazione le raccomandazioni in materia di sicurezza 
informatica e d'interoperatività delle reti adottate dalla 
Commissione secondo le modalità previste dall'articolo 29. 
2. Per la trasmissione di dati personali in una rete occorre 
scegliere metodi atti a fornire un adeguato livello di 
sicurezza. 
3. In caso di consultazione in linea, le installazioni 
tecniche e il software devono essere predisposti in modo 
che la consultazione avvenga entro i limiti dell'autorizza­
zione concessa dal responsabile dell'archivio. 
4. Gli obblighi di cui ai paragrafi 1, 2 e 3 incombono 
anche alle persone che, di fatto o per contratto, esercitano il 
controllo sulle operazioni relative ad un archivio. 
5. Chiunque acceda, nell'esercizio della sua attività 
professionale, a informazioni contenute in archivi, non può 
comunicarle a terzi senza l'accordo del responsabile 
dell'archivio. 
CAPO VI 
DISPOSIZIONI SPECIFICHE PER TALUNI SETTORI 
Articolo 19 
Al fine di conciliare il diritto alla vita privata con le norme 
che disciplinano la libertà d'informazione e di stampa, gli 
Stati membri possono accordare deroghe alla presente 
direttiva a favore degli organismi di stampa e audiovisivi. 
Articolo 20 
Gli Stati membri incoraggiano gli ambienti professionali a 
partecipare all'elaborazione di codici europei di deontolo-
N. C 277/10 Gazzetta ufficiale delle Comunità europee 5. 11. 90 
già o di buona condotta per determinati settori sulla base 
dei principi contenuti nella presente direttiva. 
CAPO VII 
RESPONSABILITÀ E SANZIONI 
Articolo 21 
Responsabilità 
1. Gli Stati membri stabiliscono nella loro legislazione 
che qualsiasi persona i cui dati personali siano memorizzati 
in un archivio e che subisca un danno per effetto del 
trattamento o di qualsiasi altra azione incompatibile con le 
disposizioni della presente direttiva, ha il diritto di chiedere 
al responsabile dell'archivio un adeguato risarcimento. 
2. Gli Stati membri possono disporre che i danni 
risultanti dalla perdita o dalla distruzione di dati o da un 
accesso non autorizzato non sono imputabili al responsabi­
le dell'archivio se quest'ultimo dimostra di aver adottato le 
opportune misure per conformarsi alle disposizioni degli 
articoli 18 e 22. 
Articolo 22 
Trattamento per conto del responsabile dell'archivio 
1. Gli Stati membri dispongono nella loro legislazione 
che, in caso di trattamento effettuato per conto del 
responsabile dell'archivio, quest'ultimo deve accertarsi del 
rispetto delle necessarie misure di sicurezza e di organizza­
zione e scegliere una persona o un'impresa che fornisca 
garanzie sufficienti al riguardo. 
2. Chiunque raccolga o tratti dati personali per conto del 
responsabile dell'archivio deve rispettare gli obblighi 
contemplati dagli articoli 16 e 18 della presente direttiva. 
3. Il contratto deve essere stipulato per iscritto e 
specificare, in particolare, che i dati personali non possono 
essere divulgati dal prestatario o dai suoi dipendenti senza 
l'accordo del responsabile dell'archivio. 
Articolo 23 
Sanzioni 
Gli Stati membri prevedono nelle loro legislazioni 
l'applicazione di sanzioni dissuasive al fine di garantire il 
rispetto delle disposizioni adottate in applicazione della 
presente direttiva. CAPO Vili 
TRASFERIMENTO DI DATI PERSONALI 
VERSO PAESI TERZI 
Articolo 24 
Principi 
1. Gli Stati membri dispongono nella loro legislazione 
che il trasferimento temporaneo o definitivo, verso un 
paese terzo, di dati personali che formano oggetto di un 
trattamento, oppure raccolti a tal fine, può aver luogo 
soltanto a condizione che detto paese garantisca un livello 
di protezione adeguato. 
2. Gli Stati membri comunicano alla Commissione i casi 
in cui un paese terzo importatore non garantisce un livello 
di protezione adeguato. 
3. Qualora la Commissione constati, in base alle 
informazioni degli Stati membri o in base ad altre 
informazioni, che un paese terzo non dispone di un livello 
di protezione adeguato e che la situazione che ne deriva è 
pregiudizievole per gli interessi della Comunità e dello 
Stato membro, essa può avviare negoziati al fine di porvi 
rimedio. 
4. La Commissione può decidere, in conformità della 
procedura definita dall'articolo 30, paragrafo 2, che un 
paese terzo garatisce un livello di protezione adeguato in 
considerazione dei suoi impegni internazionali o della sua 
legislazione nazionale. 
5. Le misure adottate a norma del presente articolo sono 
conformi agli obblighi incombenti alla Comunità in virtù di 
accordi internazionali, sia bilaterali che multilaterali, 
relativi alla protezione delle persone relativamente al 
trattamento automatizzato dei dati personali. 
Articolo 25 
Deroghe 
1. Uno Stato membro può derogare alle disposizioni 
dell'articolo 24, paragrafo 1, per un determinato trasferi­
mento di dati verso un paese terzo, qualora il responsabile 
dimostri che nel caso di specie esistono sufficienti garanzie 
relativamente al rispetto di un livello di protezione 
adeguato. Lo Stato membro può accordare una deroga 
soltanto dopo averne informato la Commissione e gli Stati 
membri e se nessuno Stato membro o la Commissione 
notificano la loro opposizione entro un termini di 10 giorni. 
2. In caso di opposizione, la Commissione adotta le 
misure appropriate, secondo la procedura di cui all'articolo 
30, paragrafo 2. 
5. 11. 90 Gazzetta ufficiale delle Comunità europee N. C 277/11 
CAPO IX 
AUTORITÀ DI CONTROLLO E GRUPPO PER LA 
PROTEZIONE DEI DATI PERSONALI 
Articolo 26 
L'autorità di controllo 
1. Gli Stati membri garantiscono che un'autorità indipen­
dente competente controlli la protezione dei dati personali. 
Tale autorità ha il compito di sorvegliare l'applicazione 
delle disposizioni nazionali adottate in applicazione della 
presente direttiva e di esercitare tutte le funzioni attribuitele 
dalla presente direttiva. 
2. L'autorità di controllo dispone di mezzi investigativi e 
di poteri effettivi d'intervento contro la creazione e lo 
sfruttamento di archivi non conformi alle disposizioni della 
presente direttiva. A tal fine, essa dispone in particolare del 
diritto di accesso agli archivi cui si applica la presente 
direttiva e deve poter raccogliere qualsiasi informazione 
necessaria all'asercizio della sua funzione di controllo. 
3. All'autorità di controllo può rivolgersi qualsiasi 
persona che abbia interesse a presentarle una denuncia o un 
reclamo concernenti la protezione delle persone in materia 
di dati personali. 
Articolo 27 
Gruppo per la protezione dei dati personali 
1. È istituito un gruppo per la protezione dei dati 
personali. Tale gruppo, a carattere consultivo e indipen­
dente, è composto dai rappresentanti dell'autorità di 
controllo, prevista dall'articolo 26, di tutti gli Stati membri 
ed è presieduto da un rappresentante della Commissione. 
2. Al segretariato del gruppo per la protezione dei dati 
personali provvedono i servizi della Commissione. 
3. Il gruppo per la protezione dei dati personali adotta il 
proprio regolamento interno. 
4. Il gruppo per la protezione dei dati personali esamina 
le questioni iscritte all'ordine del giorno dal suo presidente, 
di sua iniziativa o su domanda motivata di un rappresen­
tante delle autorità di controllo, concernenti l'applicazione 
delle disposizioni di diritto comunitario in materia di 
protezione dei dati personali. 
Articolo 28 
Compiti del gruppo per la protezione dei dati personali 
1. Il gruppo per la protezione dei dati personali: a) contribuisce all'interpretazione omogenea delle norme 
nazionali adottate in applicazione della presente 
direttiva ; 
b) formula un parere sul livello di protezione nella 
Comunità e nei paesi terzi ; 
e) consiglia la Commissione in merito a progetti di misure 
addizionali o specifiche da adottare ai fini della 
protezione della vita privata. 
2. Qualora il gruppo per la protezione dei dati personali 
constati tra le legislazioni o prassi degli Stati membri in 
materia di protezione di dati personali divergenze tali da 
pregiudicare l'equivalenza della protezione nella Comuni­
tà, ne informa la Commissione. 
3. Il gruppo per la protezione dei dati personali può 
formulare raccomandazioni su qualsiasi questione riguar­
dante la protezione delle persone per quanto concerne i dati 
personali nella Comunità. Le raccomandazioni vengono 
messe a verbale e possono essere trasmesse al comitato 
consultivo di cui all'articolo 30. La Commissione informa il 
gruppo per la protezione dei dati personali del seguito da 
essa dato alle raccomandazioni. 
4. Il gruppo per le protezione dei dati personali redige una 
relazione annuale sullo stato della protezione delle persone 
per quanto riguarda il trattamento dei dati personali nella 
Comunità e nei paesi terzi e la trasmette alla Commissione. 
CAPO X 
POTERE REGOLAMENTARE DELLA COMMISSIONE 
Articolo 29 
Esercizio del potere regolamentare 
La Commissione, secondo la procedura di cui all'articolo 
30, paragrafo 2, stabilisce le modalità tecniche necessarie 
per applicare la presente direttiva alle specificità di taluni 
settori, tenuto conto delle conoscenze attuali in materia e 
dei codici di buona condotta. 
Articolo 30 
Comitato consultivo 
1. La Commissione è assistita da un comitato consultivo 
composto dai rappresentanti degli Stati membri e presiedu­
to dal rappresentante della Commissione. 
2. Il rappresentante della Commissione sottopone al 
comitato un progetto delle misure da adottare. Il comitato, 
entro un termine che il presidente può fissare in funzione 
N. C 277/12 Gazzetta ufficiale delle Comunità europee 5. 11. 90 
dell'urgenza della questione in esame, formula il suo parere 
sul progetto eventualmente procedendo a votazione, il 
parere è iscritto a verbale ; inoltre, ciascuno Stato membro 
ha il diritto di chiedere che la sua posizione figuri a verbale. 
La Commissione tiene in massima considerazione il parere 
formulato dal comitato. Essa lo informa del modo in cui ha 
tenuto conto del suo parere. 
DISPOSIZIONI FINALI 
Articolo 31 
1. Gli Stati membri mettono in vigore le disposizioni 
legislative, regolamentari ed amministrative necessarie per 
conformarsi alla presente direttiva entro e non oltre il 1° 
gennaio 1993. Le disposizioni adottate in virtù del primo comma fanno 
espresso riferimento alla presente direttiva. 
2. Gli Stati membri comunicano alla Commissione il 
testo delle disposizioni di diritto interno che adottano nel 
settore disciplinato dalla presente direttiva. 
Articolo 32 
La Commissione presenta periodicamente al Consiglio e al 
Parlamento europeo una relazione sull'applicazione della 
presente direttiva, accompagnata, se del caso, dalle 
opportune proposte di modifica. 
Articolo 33 
Gli Stati membri sono destinatari della presente direttiva. 
Proposta di direttiva del Consiglio sulla protezione dei dati personali e della vita privata 
nell'ambito delle reti digitali pubbliche di telecomunicazione con particolare riferimento all'ISDN 
(rete digitale integrata nei servizi) e alle reti digitali per servizi pubblici di radiotelefonia mobile 
COM(90) 314 def. — SYN 288 
(Presentata dalla Commissione il 27 luglio 1990) 
(90/C 277/04) 
IL CONSIGLIO DELLE COMUNITÀ EUROPEE 
visto il trattato che istituisce la Comunità economica 
europea, in particolare l'articolo 100, 
vista la proposata della Commissione, 
in cooperazione con il Parlamento europeo, 
visto il parere del Comitato economico e sociale, apparecchiature di telecomunicazione entro il 
1992 (*), il Consiglio ha chiesto che siano prese misure 
a garanzia della segretezza dei dati al fine di favorire la 
creazione di un ambiente propizio al futuro sviluppo 
delle telecomunicazioni nella Comunità; che, nella 
risoluzione del 18 giugno 1989 relativa al rafforza­
mento del coordinamento per l'introduzione del-
l'ISDN nella Comunità europea entro il 1992 (2), il 
Consiglio ha ribadito l'importanza della protezione 
dei dati personali della vita privata; 
(1) considerando che la direttiva del Consiglio concernen­
te la protezione delle persone relativamente al 
trattamento dei dati personali prevede che gli Stati 
membri assicurino la tutela della vita privata ; 
(2) considerando che attualmente nella Comunità euro­
pea si stanno introducendo nuove reti telefoniche 
pubbliche digitali di tecnologia avanzata che fanno 
emergere esigenze specifiche in relazione alla protezio­
ne dei dati personali e della vita privata dell'utente ; 
(3) considerando che ciò riguarda in particolare l'introdu­
zione dell'ISDN (rete digitale integrata nei servizi) e 
delle reti digitali per servizi pubblici di radiotelefonia 
mobile; 
(4) considerando che, nella risoluzione del 30 giugno 1988 
sullo sviluppo del mercato comune dei servizi e delle (5) considerando che il Parlamento europeo ha sottolinea­
to l'importanza della protezione dei dati personali e 
della vita privata nelle reti di telecomunicazione, con 
particolare riferimento all'introduzione dell'ISDN 
(rete digitale integrata nei servizi) (3) (4) (5) ; 
(6) considerando che nella raccomandazione della Com­
missione 81/679/CEE si richiede l'adozione e la 
(!) GU n. C 257 del 4. 10. 1988, pag. 1. 
(2) GU n. C 196 dell'I. 8. 1989, pag. 4. 
(3) GU n. C 7 del 12. 1. 1987, pag. 334. 
(4) GU n. C 12 del 16.1. 1989, pag. 69. 
(5) GU n. C 12 del 16. 1. 1989, pag. 66.