Proposta di DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati /* COM/2012/010 final - 2012/0010 (COD) */





RELAZIONE 1. CONTESTO DELLA PROPOSTA La presente relazione illustra l’impostazione adottata ai fini dell’elaborazione del nuovo quadro giuridico per la protezione dei dati personali nell’Unione europea, delineata nella comunicazione COM (2012) 9 final. Il quadro giuridico consta di due proposte legislative: – una proposta di regolamento del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati); – una proposta di direttiva del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o di esecuzione di sanzioni penali, e la libera circolazione di tali dati. La presente relazione riguarda quest’ultima proposta legislativa. La direttiva 95/46/CE[1] – pietra angolare nell’impianto della vigente normativa dell’UE in materia di protezione dei dati personali – è stata adottata nel 1995 con due obiettivi: salvaguardare il diritto fondamentale alla protezione dei dati e garantire la libera circolazione dei dati personali tra gli Stati membri. La direttiva è stata integrata da diversi strumenti che prevedono disposizioni specifiche per la protezione dei dati personali nei settori della cooperazione giudiziaria e di polizia in materia penale (ex terzo pilastro)[2], compresa la decisione quadro 2008/977/GAI [3]. Il Consiglio europeo ha invitato la Commissione a valutare il funzionamento degli strumenti giuridici dell’Unione in materia di protezione dei dati e a presentare, se necessario, nuove iniziative legislative e non legislative[4]. Nella sua risoluzione sul programma di Stoccolma[5] il Parlamento europeo ha accolto con favore la proposta relativa a un quadro giuridico completo in materia di protezione dei dati nell’UE chiedendo, tra l’altro, la revisione della decisione quadro. Nel piano d’azione per l’attuazione del programma di Stoccolma[6] la Commissione ha sottolineato la necessità di assicurare l’applicazione sistematica del diritto fondamentale alla protezione dei dati personali nel contesto di tutte le politiche europee. Il piano d’azione ha sottolineato che: “[i]n una società globalizzata, caratterizzata da un rapido progresso tecnologico in cui lo scambio d’informazioni non conosce confini, è quanto mai importante garantire il rispetto della vita privata. L’Unione deve assicurare l’applicazione sistematica del diritto fondamentale alla protezione dei dati. Occorre rafforzare la posizione dell’UE in relazione alla protezione dei dati personali in tutte le politiche europee, anche nel contrastare e prevenire la criminalità e nelle relazioni internazionali.” Nella comunicazione “Un approccio globale alla protezione dei dati personali nell’Unione europea”[7], la Commissione è giunta alla conclusione che l’Unione europea ha bisogno di una politica più completa e coerente rispetto al diritto fondamentale alla protezione dei dati personali. La decisione quadro 2008/977/GAI ha un campo di applicazione limitato, in quanto si applica solo al trattamento transfrontaliero dei dati e non alle attività di trattamento effettuate dalla polizia e dalle autorità giudiziarie a livello strettamente nazionale. Ciò può creare difficoltà per le forze di polizia e le altre autorità competenti nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia per le quali può non essere agevole stabilire il carattere puramente nazionale o transfrontaliero di un trattamento di dati o prevedere se i dati “nazionali” possano essere oggetto di un successivo scambio transfrontaliero (cfr. sezione 2). Inoltre, per sua natura e contenuto, la decisione quadro lascia un ampio margine di manovra alle legislazioni nazionali degli Stati membri nell’attuazione delle sue disposizioni. Inoltre, non prevede alcun meccanismo o gruppo consultivo analogo al gruppo di lavoro “articolo 29” inteso a promuovere un’interpretazione comune delle sue disposizioni, né conferisce competenze di esecuzione alla Commissione per garantire un approccio attuativo comune. L’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea (TFUE) stabilisce il principio secondo il quale ogni persona ha diritto alla protezione dei dati di carattere personale. Inoltre, all’articolo 16, paragrafo 2, TFUE, il trattato di Lisbona introduce una base giuridica specifica per l’adozione di norme in materia di protezione dei dati personali, anche nell’ambito della cooperazione di polizia e giudiziaria in materia penale. L’articolo 8 della Carta dei diritti fondamentali dell’Unione europea annovera la protezione dei dati personali tra i diritti fondamentali. L’articolo 16 del TFUE impone al legislatore di stabilire norme relative alla tutela delle persone fisiche con riguardo al trattamento dei dati personali anche nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia, che contemplino il trattamento sia transfrontaliero sia nazionale dei dati personali. Ciò consentirà di tutelare i diritti e le libertà fondamentali delle persone fisiche e in particolare il diritto alla protezione dei dati personali, garantendo al tempo stesso lo scambio di dati personali a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e contribuendo a una più efficace cooperazione nella lotta contro la criminalità in Europa. Data la specificità dei settori della cooperazione di polizia e giudiziaria in materia penale, la dichiarazione n. 21[8] ha riconosciuto che potrebbero rivelarsi necessarie norme specifiche sulla protezione dei dati personali e sulla libera circolazione di tali dati nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia in base all’articolo 16 del TFUE. 2. Consultazione delle parti interessate e valutazione d’impatto La presente iniziativa è il risultato di estese consultazioni con tutte le principali parti in causa sul riesame del quadro giuridico esistente in materia di protezione dei dati personali, comprendenti due fasi di consultazione pubblica: – dal 9 luglio al 31 dicembre 2009, la consultazione relativa al quadro giuridico del diritto fondamentale alla protezione dei dati personali, per la quale la Commissione ha ricevuto 168 risposte, 127 provenienti da privati cittadini, organizzazioni e associazioni imprenditoriali e 12 dalle autorità pubbliche; i contributi che non rivestono carattere riservato sono consultabili sul sito web della Commissione[9]; – dal 4 novembre 2010 al 15 gennaio 2011, la consultazione sulla comunicazione della Commissione “Un approccio globale alla protezione dei dati personali nell’Unione europea”, per la quale la Commissione ha ricevuto 305 risposte, 54 da privati cittadini, 31 da autorità pubbliche e 220 da organizzazioni private, soprattutto associazioni d’imprese e organizzazioni non governative. I contributi che non rivestono carattere riservato sono consultabili sul sito web della Commissione[10]. Mentre tali consultazioni vertevano sul riesame della direttiva 95/46/CE in termini ampi, con le autorità di contrasto interessate sono state condotte consultazioni più mirate, in particolare, un seminario organizzato il 29 giugno 2010 con le autorità degli Stati membri in merito all’applicazione delle norme di protezione dei dati alle autorità pubbliche, anche nel settore della cooperazione di polizia e la cooperazione giudiziaria in materia penale. Inoltre, il 2 febbraio 2011 la Commissione ha organizzato un seminario con le autorità degli Stati membri per discutere l’attuazione della decisione quadro 2008/977/GAI e, più in generale, la protezione dei dati personali nel settore della cooperazione di polizia e della cooperazione giudiziaria in materia penale. I cittadini europei sono stati consultati attraverso un sondaggio Eurobarometro effettuato nel novembre-dicembre 2010[11], sono stati avviati diversi studi in materia[12] e il Gruppo di lavoro “Articolo 29”[13] ha dato numerosi pareri e un utile contributo alla Commissione[14]. Il garante europeo della protezione dei dati ha espresso un parere complessivo sulle questioni sollevate nella comunicazione della Commissione del mese di novembre 2010[15]. Il Parlamento europeo ha approvato, con risoluzione del 6 luglio 2011, una relazione a sostegno dell’impostazione adottata dalla Commissione per la riforma del quadro normativo in materia di protezione dei dati[16]. Le conclusioni adottate il 24 febbraio 2011 dal Consiglio dell’Unione europea esprimono un consenso generale all’intento della Commissione di riformare il quadro sulla protezione dei dati e approvano diversi elementi della strategia della Commissione. Anche il Comitato economico e sociale europeo ha commentato favorevolmente l’impulso generale dato dalla Commissione per garantire un’applicazione più coerente della normativa dell’UE in materia di protezione dei dati in tutti gli Stati membri e un’adeguata revisione della direttiva 95/46/CE[17]. In linea con l’iniziativa “Legiferare meglio”, la Commissione ha proceduto a una valutazione dell’impatto delle diverse opzioni strategiche[18]. La valutazione d’impatto è stata incentrata su tre obiettivi: migliorare la dimensione di mercato interno della protezione dei dati; rendere più efficace l’esercizio del diritto alla protezione dei dati da parte dei privati; creare un quadro completo e coerente applicabile a tutti i settori di competenza dell’Unione, compresa la cooperazione di polizia e giudiziaria in materia penale. Per quanto riguarda quest’ultimo obiettivo in particolare, sono state valutate due opzioni: una prima è sostanzialmente l’estensione del campo di applicazione delle norme sulla protezione dei dati in questo settore per far fronte alle carenze individuate e rispondere ad altre questioni sollevate dalla decisione quadro, e una seconda di più ampia portata che stabilisce disposizioni molto prescrittive e rigorose e che implicherebbe anche l’immediata modifica di tutti gli altri strumenti del “terzo pilastro”. Una terza opzione “minimalista”, basata in larga misura su comunicazioni interpretative e misure di sostegno strategico, come programmi di finanziamento e strumenti tecnici, con un minimo intervento legislativo, non è stata considerata adeguata ad affrontare le questioni individuate in questo settore in relazione alla protezione dei dati. Conformemente ad una metodologia consolidata, la Commissione, coadiuvata da un gruppo direttivo interservizi, ha valutato ciascuna opzione in funzione delle sue effettive possibilità di conseguire gli obiettivi strategici, dell’impatto economico sulle parti interessate (compreso sul bilancio delle istituzioni dell’Unione europea), delle ripercussioni sulla società e dell’effetto sui diritti fondamentali. Non sono emersi possibili impatti ambientali. L’analisi dell’impatto complessivo ha portato a individuare l’opzione prescelta, integrata nella presente proposta. Stando alla valutazione d’impatto, la sua attuazione consentirà di rafforzare ulteriormente la protezione dei dati in questo settore, in particolare includendo il trattamento dei dati nazionali, garantendo così una maggiore certezza giuridica alle autorità competenti nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia. In data 9 settembre 2011 il comitato per la valutazione d’impatto ha espresso il suo parere sul progetto di valutazione d’impatto. e conseguentemente la valutazione è stata così modificata: – sono stati chiariti gli obiettivi dell’attuale quadro normativo (in che misura siano stati o non siano stati realizzati), così come gli obiettivi della proposta riforma; – la sezione relativa alla definizione del problema è stata corredata di nuove prove e di spiegazioni/chiarimenti supplementari. La Commissione ha inoltre preparato una relazione di attuazione relativa alla decisione quadro 2008/977/GAI, basata sull’articolo 29, paragrafo 2, che dovrebbe essere adottata come componente del presente pacchetto di misure sulla protezione dei dati[19]. Anche i risultati di tale relazione, redatta sulla base dei dati forniti dagli Stati membri, ha alimentato la preparazione della valutazione d’impatto. 3. ELEMENTI GIURIDICI DELLA PROPOSTA 3.1. Base giuridica La proposta si basa sull’articolo 16, paragrafo 2, del TFUE, la nuova base giuridica specifica introdotta dal trattato di Lisbona per l’adozione di norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle istituzioni, degli organi e degli organismi dell’Unione, così come da parte degli Stati membri nell’esercizio di attività che rientrano nel campo di applicazione del diritto dell’Unione, e per l’adozione di norme relative alla libera circolazione di tali dati. La proposta è finalizzata a garantire un livello elevato e uniforme di protezione dei dati in questo settore, in modo da accrescere la fiducia reciproca tra le autorità di polizia e giudiziarie di diversi Stati membri e agevolare la libera circolazione dei dati e la cooperazione tra i servizi di polizia e le autorità giudiziarie. 3.2. Sussidiarietà e proporzionalità In virtù del principio di sussidiarietà (articolo 5, paragrafo 3, del TUE) l’Unione interviene soltanto se e in quanto gli obiettivi dell’azione prevista non possono essere conseguiti in misura sufficiente dagli Stati membri, ma possono, a motivo della portata o degli effetti dell’azione in questione, essere conseguiti meglio a livello di Unione. Alla luce dei problemi sopra esposti, l’analisi della sussidiarietà indica che è necessario intervenire a livello di Unione nei settori della cooperazione di polizia e giudiziaria in materia penale per i seguenti motivi: – il diritto alla protezione dei dati personali, sancito dall’articolo 8 della Carta dei diritti fondamentali e dall’articolo 16, paragrafo 1, del TFUE richiede il medesimo livello di protezione dei dati in tutta l’Unione di protezione dei dati scambiati e dei dati trattati a livello nazionale; – le autorità incaricate dell’applicazione della legge negli Stati membri devono trattare e scambiare dati a ritmi sempre crescenti ai fini della prevenzione e della lotta contro la criminalità e il terrorismo transnazionali. In questo contesto norme chiare e coerenti sulla protezione dei dati a livello di Unione contribuiranno a promuovere la cooperazione fra tali autorità; – inoltre, esistono difficoltà pratiche nell’attuare efficacemente la normativa in materia di protezione dei dati e occorre stabilire una cooperazione tra gli Stati membri e le autorità nazionali a livello di Unione, per garantire uniformità nell’applicazione del diritto dell’UE. L’Unione si trova inoltre nella posizione migliore per garantire in maniera efficace e coerente lo stesso livello di protezione alle persone fisiche i cui dati personali siano trasferiti verso paesi terzi; – gli Stati membri non sono in grado da soli di risolvere i problemi posti dalla situazione attuale, in particolare dalla frammentazione delle legislazioni nazionali. Conseguentemente esiste la precisa esigenza di istituire un quadro armonizzato e coerente che consenta un agevole trasferimento transfrontaliero di dati personali all’interno dell’Unione europea e che garantisca nel contempo un’effettiva tutela di tutte le persone fisiche nell’intero territorio dell’UE; – le proposte legislative dell’UE risulteranno più efficaci rispetto ad analoghi provvedimenti adottati dai singoli Stati membri, a motivo della natura e della dimensione dei problemi che non sono confinati a uno o più Stati membri. Il principio di proporzionalità prevede che qualsiasi intervento sia mirato e si limiti a quanto è necessario per conseguire gli obiettivi. Tale principio ha guidato l’intera elaborazione della proposta legislativa, dall’individuazione e valutazione delle opzioni strategiche alternative fino alla sua stesura. Una direttiva è pertanto lo strumento migliore per garantire l’armonizzazione a livello dell’UE in tale settore e per dare al tempo stesso la flessibilità necessaria agli Stati membri quando attuano i principi, le norme e le rispettive esenzioni a livello nazionale. Data la complessità delle normative nazionali in vigore per la protezione dei dati personali trattati nell’ambito della cooperazione di polizia e giudiziaria in materia penale e in vista dell’obiettivo generale di armonizzare tali norme con la presente direttiva, la Commissione dovrà chiedere agli Stati membri di fornirle documenti esplicativi sui rapporti fra gli elementi della direttiva e le corrispondenti parti degli strumenti nazionali di attuazione affinché possa adempiere ai propri compiti controllando l’attuazione della presente direttiva. 3.3. Sintesi degli aspetti inerenti ai diritti fondamentali Il diritto alla protezione dei dati personali è sancito dall’articolo 8 della Carta dei diritti fondamentali dell’Unione e dall’articolo 16 del TFUE e dall’articolo 8 della convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU). Come sottolinea la Corte di giustizia dell’Unione europea[20], il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale[21]. La protezione dei dati è strettamente legata al rispetto della vita privata e familiare tutelata dall’articolo 7 della Carta. Tale principio è riflesso nell’articolo 1, paragrafo 1, della direttiva 95/46/CE, che prevede che gli Stati membri proteggano i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla vita privata con riguardo al trattamento dei dati personali. Altri diritti fondamentali sanciti dalla Carta e potenzialmente interessati dalla presente normativa sono il divieto di qualsiasi forma di discriminazione fondata, tra l’altro, sulla razza, l’origine etnica, le caratteristiche genetiche, la religione o le convinzioni personali, le opinioni politiche o di qualsiasi altra natura, la disabilità, o l’orientamento sessuale (articolo 21); i diritti dei minori (articolo 24), e il diritto a un ricorso effettivo e a un giudice imparziale (articolo 47). 3.4. Spiegazione dettagliata della proposta 3.4.1. CAPO I - DISPOSIZIONI GENERALI L’articolo 1 definisce l’oggetto della direttiva, cioè le norme relative al trattamento dei dati di carattere personale a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e ne stabilisce il duplice obiettivo: tutelare i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali, garantendo nel contempo un elevato livello di sicurezza pubblica, e garantire lo scambio dei dati personali tra le autorità competenti all’interno dell’Unione. L’articolo 2 definisce il campo di applicazione della direttiva, che non è limitato al trattamento transfrontaliero dei dati ma si applica a tutte le attività di trattamento svolte da “autorità competenti” (ai sensi dell’articolo 3, paragrafo 14) ai fini della direttiva. La direttiva non si applica né al trattamento di dati nel corso di un’attività che non rientra nell’ambito di applicazione del diritto dell’Unione, né al trattamento di dati da parte di istituzioni, organi, uffici e agenzie dell’Unione, che sono soggetti al regolamento (CE) n. 45/2001 e ad altre norme specifiche. L’articolo 3 contiene le definizioni della terminologia utilizzata nella direttiva. Mentre alcune definizioni sono mutuate dalla decisione quadro 2008/977/GAI, altre sono modificate, integrate con elementi aggiuntivi, o introdotte ex novo. Nuove definizioni sono introdotte per “violazione di dati personali”, “dati genetici” e “dati biometrici”, “autorità competenti” (sulla base dell’articolo 87, del TFUE e dell’articolo 2, lettera h), della decisione quadro 2008/977/GAI) e “minore”, basata sulla convenzione delle Nazioni Unite sui diritti del fanciullo[22]. 3.4.2. CAPO II - PRINCIPI L’articolo 4 stabilisce i principi relativi al trattamento dei dati personali, rifacendosi all’articolo 6 della direttiva 95/46/CE e all’articolo 3 della decisione quadro 2008/977/GAI e adeguandoli al contesto specifico della presente direttiva. L’articolo 5 dispone che, nella misura del possibile, si operi una distinzione tra i dati personali di diverse categorie di interessati. Questa disposizione di nuova introduzione - non figurava infatti né nella direttiva 95/46/CE né nella decisione quadro 2008/977/GAI - era tuttavia stata proposta dalla Commissione nella sua iniziale proposta di decisione quadro[23] e trova giustificazione nella raccomandazione del Consiglio d’Europa n. R (87) 15. Regole analoghe sono già applicate a Europol[24] ed Eurojust[25]. L’articolo 6 verte sul diverso grado di esattezza e affidabilità dei dati personali e si ispira al principio 3.2 della raccomandazione del Consiglio d’Europa n. R (87) 15. Norme analoghe, anch’esse riprese nella proposta di decisione quadro della Commissione, esistono per Europol[26]. L’articolo 7 definisce i criteri di liceità del trattamento, quando è necessario per l’esecuzione di un compito di un’autorità competente in base al diritto nazionale, per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, per proteggere gli interessi vitali dell’interessato o di un terzo o per prevenire un’immediata e grave minaccia alla sicurezza pubblica. Gli altri motivi di trattamento lecito indicati all’articolo 7 della direttiva 95/46/CE non sono congrui al trattamento dei dati nel settore della polizia e della giustizia penale. L’articolo 8 pone un divieto generale al trattamento di categorie particolari di dati personali, prevedendo eccezioni alla norma generale sulla base dell’articolo 8 della direttiva 95/46/CE; tra i dati il cui trattamento è vietato la direttiva aggiunge anche i dati genetici, allineandosi così alla giurisprudenza della Corte europea dei diritti dell’uomo[27]. L’articolo 9 stabilisce un divieto delle misure basate sul trattamento automatizzato dei dati personali, salvo se autorizzate da una legge che contenga adeguate garanzie, in linea con l’articolo 7 della decisione quadro 2008/977/GAI. 3.4.3. CAPO III - DIRITTI DELL’INTERESSATO L’articolo 10 introduce l’obbligo per gli Stati membri di garantire informazioni comprensibili e facilmente accessibili, ispirandosi in particolare al principio n. 10 della risoluzione di Madrid sulle norme internazionali sulla protezione dei dati personali e della vita privata[28], così come l’obbligo per i responsabili del trattamento di fornire procedure e meccanismi per facilitare l’esercizio dei diritti dell’interessato. Ciò implica, in linea di principio, il criterio della gratuità dell’esercizio dei diritti. L’articolo 11 dispone che gli Stati membri sono tenuti a garantire che l’interessato riceva alcune informazioni. Tali obblighi richiamano gli articoli 10 e 11 della direttiva 95/46/CE, senza separare in articoli distinti i casi in cui la raccolta avviene direttamente presso l’interessato o meno, e ampliano la portata delle informazioni da fornire. Sono previste deroghe all’obbligo di informazione, quando costituiscano misure necessarie e proporzionate in una società democratica per l’adempimento dei compiti delle autorità competenti (ispirate all’articolo 13 della direttiva 95/46/CE e all’articolo 17 della decisione quadro 2008/977/GAI). L’articolo 12 prevede l’obbligo per gli Stati membri di garantire il diritto di accesso dell’interessato ai propri dati personali. Richiama l’articolo 12, lettera a), della direttiva 95/46/CE, con l’aggiunta di nuovi elementi di informazione all’interessato (il periodo di conservazione dei dati, il diritto di rettifica, cancellazione o limitazione dei dati e la possibilità di proporre reclamo). L’articolo 13 dispone che gli Stati membri possono adottare misure legislative che limitano il diritto di accesso, se ciò è reso necessario dalla specifica natura del trattamento dei dati nei settori della cooperazione di polizia e della giustizia in materia penale, prevedendo che l’interessato sia informato della limitazione all’accesso, come da articolo 17, paragrafi 2 e 3, della decisione quadro 2008/977/GAI. L’articolo 14 introduce la disposizione secondo la quale, nei casi in cui l’accesso diretto è limitato, l’interessato deve essere informato della possibilità di un accesso indiretto per il tramite dell’autorità di controllo, che dovrebbe esercitare il diritto in sua vece e comunicargli l’esito delle verifiche effettuate. L’articolo 15 relativo al diritto di rettifica segue l’articolo 12, lettera b), della direttiva 95/46/CE e l’articolo 18, paragrafo 1, della decisione quadro 2008/977/GAI con riferimento agli obblighi in caso di rifiuto. L’articolo 16 relativo al diritto di cancellazione si basa sull’articolo 12, lettera b), della direttiva 95/46/CE e sull’articolo 18, paragrafo 1, della decisione quadro 2008/977/GAI con riferimento agli obblighi in caso di rifiuto. La disposizione comprende anche il diritto di chiedere che il trattamento sia contrassegnato in alcuni casi; tale formulazione permette di sostituire l’ambiguo termine di “blocco” utilizzato dall’articolo 12, lettera b), della direttiva 95/46/CE e dall’articolo 18, paragrafo 1, della decisione quadro 2008/977/GAI. L’articolo 17 sulla rettifica, cancellazione e limitazione del trattamento nei procedimenti penali costituisce un chiarimento dell’articolo 4, paragrafo 4, della decisione quadro 2008/977/GAI. 3.4.4. CAPO IV - RESPONSABILE DEL TRATTAMENTO E INCARICATO DEL TRATTAMENTO 3.4.4.1. SEZIONE 1 - OBBLIGHI GENERALI L’articolo 18 descrive la responsabilità del responsabile del trattamento di conformarsi alla presente direttiva e di garantirne l’effettiva conformità, anche attraverso l’adozione di politiche e meccanismi adeguati a tal fine. L’articolo 19 stabilisce che gli Stati membri devono provvedere affinché il responsabile del trattamento si conformi agli obblighi derivanti dai principi di protezione dei dati fin dalla progettazione e di protezione di default. L’articolo 20 precisa le relazioni che intercorrono tra corresponsabili del trattamento. L’articolo 21 chiarisce la posizione e l’obbligo degli incaricati del trattamento, basandosi in parte sull’articolo 17, paragrafo 2, della direttiva 95/46/CE, con l’aggiunta di nuovi elementi come il fatto che un incaricato del trattamento che non si limiti a trattare i dati in base alle istruzioni del responsabile del trattamento va considerato corresponsabile del trattamento. L’articolo 22 sul trattamento sotto l’autorità del responsabile e dell’incaricato del trattamento riflette l’articolo 16 della direttiva 95/46/CE. L’articolo 23 enuncia l’obbligo per i responsabili del trattamento e gli incaricati del trattamento di conservare la documentazione di tutti i sistemi e procedure di trattamento sotto la propria responsabilità. L’articolo 24 verte sulla registrazione, conformemente all’articolo 10, paragrafo 1, della decisione quadro 2008/977, fornendo ulteriori chiarimenti. L’articolo 25 chiarisce gli obblighi del responsabile del trattamento e dell’incaricato del trattamento ai fini della cooperazione con l’autorità di controllo. L’articolo 26 riguarda i casi in cui la consultazione preventiva dell’autorità di controllo è obbligatoria, sulla base dell’articolo 23 della decisione quadro 2008/977/GAI. 3.4.4.2. Sezione 2 – Sicurezza dei dati L’articolo 27 sulla sicurezza del trattamento, basata sull’attuale articolo 17, paragrafo 1, della direttiva 95/46/CE sulla sicurezza del trattamento e sull’articolo 22 della decisione quadro 2008/977/GAI del Consiglio, estende i relativi obblighi all’incaricato del trattamento, indipendentemente dal contratto in atto con il responsabile del trattamento. Gli articoli 28 e 29 introducono l’obbligo di notificazione di una violazione di dati personali, che richiama l’analoga disposizione di cui all’articolo 4, paragrafo 3, della direttiva 2002/58/CE, precisando e operando una distinzione tra l’obbligo di notificare la violazione all’autorità di controllo (articolo 28) e l'obbligo, in determinate circostanze, di darne comunicazione all’interessato (articolo 29). L’articolo 29 prevede anche deroghe a tale obbligo, con riferimento all’articolo 11, paragrafo 4. 3.4.4.3. Sezione 3 - Responsabile della protezione dei dati L’articolo 30 fa obbligo al responsabile del trattamento di designare un responsabile della protezione dei dati incaricato dello svolgimento dei compiti di cui all’articolo 32. Se più autorità competenti agiscono sotto il controllo di un’autorità centrale, che funge da responsabile del trattamento, un responsabile della protezione dei dati deve essere designato almeno dall’autorità centrale. L’articolo 18, paragrafo 2, della direttiva 95/46/CE lascia agli Stati membri l’opzione di introdurre tale obbligo in sostituzione dell’obbligo generale di notificazione preventiva, come previsto dalla direttiva. L’articolo 31 precisa la posizione del responsabile della protezione dei dati. L’articolo 32 definisce i compiti del responsabile della protezione dei dati. 3.4.5. CAPO V - TRASFERIMENTO DI DATI PERSONALI VERSO PAESI TERZI O ORGANIZZAZIONI INTERNAZIONALI L’articolo 33 stabilisce i principi generali per il trasferimento di dati verso paesi terzi o organizzazioni internazionali nel settore della cooperazione di polizia e giudiziaria in materia penale, compresi i trasferimenti successivi. Precisa che i trasferimenti di dati verso i paesi terzi sono ammessi solo se necessari a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali. L’articolo 34 stabilisce che i trasferimenti verso un paese terzo sono ammessi solo se la Commissione ha adottato una decisione di adeguatezza, conformemente al regolamento (UE) n. …/2012, nei confronti di tale paese terzo, o se ciò avviene specificamente nell’ambito della cooperazione di polizia o giudiziaria in materia penale, o, in mancanza di tale decisione, se sono state poste in essere adeguate garanzie. Nelle more di una decisione di adeguatezza, la direttiva garantisce che i trasferimenti possano continuare sulla base di deroghe e in presenza di adeguate garanzie. Inoltre l’articolo specifica i criteri applicabili dalla Commissione per valutare se esista un adeguato livello di protezione, ricomprendendovi espressamente lo stato di diritto, il diritto a un ricorso effettivo e l’esistenza di un’autorità di controllo indipendente. L’articolo dispone anche che la Commissione può valutare il livello di protezione offerto da un territorio o da un settore di trattamento all’interno del paese terzo. Una decisione di adeguatezza adottata secondo le procedure di cui all’articolo 38 del regolamento generale sulla protezione dei dati è applicabile nei limiti della presente direttiva. In alternativa, la Commissione può adottare una decisione di adeguatezza esclusivamente ai fini della presente direttiva. L’articolo 35 definisce le adeguate garanzie che devono essere offerte ai fini di un trasferimento internazionale di dati, in assenza di una decisione di adeguatezza della Commissione. Tali garanzie possono essere poste in essere con uno strumento giuridicamente vincolante, ad esempio un accordo internazionale. In alternativa, il responsabile del trattamento può concludere che tali garanzie sussistano dopo aver valutato tutte le circostanze relative al trasferimento. L’articolo 36 definisce le deroghe per il trasferimento di dati sulla base dell’articolo 26 della direttiva 95/46/CE e dell’articolo 13 della decisione quadro 2008/977/GAI. L’articolo 37 fa obbligo agli Stati membri di provvedere a che il responsabile del trattamento informi il destinatario delle limitazioni del trattamento e adotti tutte le misure ragionevoli per assicurare che tali limitazioni siano rispettate dai destinatari dei dati personali nel paese terzo o dall’organizzazione internazionale. L’articolo 38 prevede espressamente lo sviluppo di meccanismi di cooperazione internazionale per la protezione dei dati personali tra la Commissione e le autorità di controllo di paesi terzi, in particolare quelli che si ritiene offrano un adeguato livello di protezione, tenendo conto della raccomandazione dell’Organizzazione per la cooperazione e lo sviluppo economico (OCSE) sulla cooperazione transfrontaliera nell’applicazione delle legislazioni in materia di privacy del 12 giugno 2007. 3.4.6. CAPO VI - AUTORITÀ DI CONTROLLO INDIPENDENTI 3.4.6.1. Sezione 1 – Indipendenza L’articolo 39 obbliga gli Stati membri a istituire una o più autorità di controllo, come già previsto dall’articolo 28, paragrafo 1, della direttiva 95/46/CE e dall’articolo 25 della decisione quadro 2008/977/GAI, e ad ampliarne i compiti affinché possano contribuire alla coerente applicazione della direttiva in tutta l’Unione; tale autorità può essere la stessa istituita a norma del regolamento generale sulla protezione dei dati. L’articolo 40 precisa le condizioni per l’indipendenza delle autorità di controllo, ai sensi della giurisprudenza della Corte di giustizia dell’Unione europea[29], ispirandosi anche all’articolo 44 del regolamento (CE) n. 45/2001[30]. L’articolo 41 dispone le condizioni generali per i membri dell’autorità di controllo, in applicazione della pertinente giurisprudenza[31], inspirandosi anche all’articolo 42, paragrafi da 2 a 6, del regolamento (CE) n. 45/2001. L’articolo 42 contiene disposizioni relative all’istituzione delle autorità di controllo, comprese le condizioni applicabili ai membri, che ciascuno Stato membro deve prevedere con legge. L’articolo 43, sul segreto professionale a cui sono tenuti i membri e il personale delle autorità di controllo, segue articolo 28, paragrafo 7, della direttiva 95/46/CE e l’articolo 25, paragrafo 4, della decisione quadro 2008/977/GAI. 3.4.6.2. Sezione 2 - FUNZIONI E POTERI L’articolo 44 stabilisce le competenze delle autorità di controllo sulla base dell’articolo 28, paragrafo 6, della direttiva 95/46/CE e dell’articolo 25, paragrafo 1, della decisione quadro 2008/977/GAI. Le autorità giurisdizionali, nell’esercizio della loro funzione giurisdizionale, sono esentate dal controllo esercitato dall’autorità di controllo, ma non dall’applicazione delle norme sostanziali in materia di protezione dei dati. L’articolo 45 impone agli Stati membri di stabilire le funzioni dell’autorità di controllo, compresa quella di ricevere ed esaminare i reclami o sensibilizzare il pubblico ai rischi, alla norme e misure di salvaguardia e ai diritti. Una particolare funzione dell’autorità di controllo nel contesto della presente direttiva consiste nell’esercitare il diritto di accesso per conto dell’interessato, qualora l’accesso diretto sia negato o limitato, e verificare la liceità del trattamento dei dati. L’articolo 46 stabilisce i poteri dell’autorità di controllo, sulla base dell’articolo 28, paragrafo 3, della direttiva 95/46/CE e dell’articolo 25, paragrafi 2 e 3, della decisione quadro 2008/977/GAI. L’articolo 47 impone alle autorità di controllo di elaborare relazioni annuali di attività, sulla base dell’articolo 28, paragrafo 5, della direttiva 95/46/CE. 3.4.7. Capo VII – cooperazione L’articolo 48 introduce norme sull’obbligo di assistenza reciproca, a differenza dell’articolo 28, paragrafo 6, secondo trattino, della direttiva 95/46/CE che prevedeva un mero obbligo generale di collaborazione, senza ulteriori specifiche. L’articolo 49 prevede che il comitato consultivo europeo per la protezione dei dati, istituito dal regolamento generale sulla protezione dei dati, eserciti le sue funzioni anche in relazione ai trattamenti rientranti nel campo di applicazione della presente direttiva. A integrazione dei contributi ricevuti, la Commissione chiederà il parere dei rappresentanti di autorità competenti in materia di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali degli Stati membri, nonché dei rappresentanti di Europol ed Eurojust, tramite un gruppo di esperti sulle questioni attinenti alla protezione dei dati nelle attività di polizia e giudiziarie. 3.4.8. CAPO VIII - RICORSI GIURISDIZIONALI, RESPONSABILITÀ E SANZIONI L’articolo 50 stabilisce il diritto di proporre reclamo all’autorità di controllo, ai sensi dell’articolo 28, paragrafo 4, della direttiva 95/46/CE, e riguarda qualsiasi infrazione della direttiva nei confronti del ricorrente. L’articolo specifica anche gli organismi, le organizzazioni o associazioni che possono presentare reclamo per conto dell’interessato o, in caso di violazione di dati personali, indipendentemente dal reclamo dell’interessato. L’articolo 51 riguarda il diritto di proporre ricorso giurisdizionale contro un’autorità di controllo, e, sulla base delle disposizioni generali di cui all’articolo 28, paragrafo 3, della direttiva 95/46/CE, prevede esplicitamente che l’interessato può proporre ricorso giurisdizionale per obbligare l’autorità di controllo a dare seguito a un reclamo. L’articolo 52 riguarda il diritto di proporre ricorso giurisdizionale contro un responsabile del trattamento o un incaricato del trattamento, sulla base dell’articolo 22 della direttiva 95/46/CE e dell’articolo 20 della decisione quadro 2008/977/GAI. L’articolo 53 introduce norme comuni per i procedimenti giurisdizionali, compreso il diritto degli organismi, organizzazioni o associazioni di rappresentare in giudizio un interessato e il diritto delle autorità di controllo di avviare azioni legali. L’obbligo, imposto agli Stati membri, di garantire la rapidità del procedimento si ispira all’articolo 18, paragrafo 1, della direttiva sul commercio elettronico 2000/31/CE[32]. L’articolo 54 obbliga gli Stati membri a prevedere il diritto al risarcimento, sulla base dell’articolo 23 della direttiva 95/46/CE e dell’articolo 19, paragrafo 1, della decisione quadro 2008/977/GAI, esteso ai danni causati da un incaricato del trattamento, e chiarisce la responsabilità dei corresponsabili del trattamento e dei coincaricati del trattamento. L’articolo 55 impone agli Stati membri di definire le sanzioni applicabili alle violazioni della direttiva e di garantirne l’effettiva attuazione. 3.4.9. CAPO IX - ATTI DELEGATI E ATTI DI ESECUZIONE L’articolo 56 contiene le clausole standard per l’esercizio delle deleghe a norma dell’articolo 290 del TFUE. Ciò consente al legislatore di delegare alla Commissione il potere di adottare atti non legislativi di portata generale che integrano o modificano determinati elementi non essenziali di un atto legislativo (atti quasi legislativi). L’articolo 57 dispone la procedura di comitato necessaria per il conferimento delle competenze di esecuzione alla Commissione nei casi in cui, conformemente all’articolo 291 del TFUE, sono necessarie condizioni uniformi di esecuzione degli atti giuridicamente vincolanti dell’Unione. Si applica la procedura d’esame. 3.4.10. CAPO X - DISPOSIZIONI FINALI L’articolo 58 abroga la decisione quadro 2008/977/GAI. L’articolo 59 stabilisce che rimangono impregiudicate le disposizioni specifiche per la protezione dei dati personali con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, contenute in atti dell’Unione adottati prima della data di adozione della presente direttiva. L’articolo 60 chiarisce il rapporto della presente direttiva con accordi internazionali conclusi precedentemente dagli Stati membri nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia. L’articolo 61 dispone che la Commissione deve valutare l’attuazione della direttiva e redigere apposite relazioni, al fine di valutare la necessità di allineare alla presente direttiva le specifiche disposizioni adottate precedentemente di cui all’articolo 59. L’articolo 62 stabilisce l’obbligo degli Stati membri di recepire la direttiva nel diritto nazionale e comunicare alla Commissione le disposizioni adottate in applicazione della direttiva. L’articolo 63 specifica la data di entrata in vigore della direttiva. L’articolo 64 stabilisce i destinatari della presente direttiva. 4. INCIDENZA SUL BILANCIO La scheda finanziaria legislativa che correda la proposta di regolamento generale per la protezione dei dati riporta le implicazioni di bilancio relative al regolamento e alla presente direttiva. 2012/0010 (COD) Proposta di DIRETTIVA DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA, visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16, paragrafo 2, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, sentito il garante europeo della protezione dei dati[33], deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1) La tutela delle persone fisiche con riguardo al trattamento dei dati personali è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e l’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. (2) Il trattamento dei dati personali è al servizio dell’uomo; i principi e le norme a tutela delle persone fisiche con riguardo al trattamento dei dati personali devono rispettarne i diritti e le libertà fondamentali, in particolare il diritto alla protezione dei dati personali, a prescindere dalla nazionalità o dalla residenza dell’interessato. Il trattamento dei dati personali dovrebbe contribuire alla realizzazione di uno spazio di libertà, sicurezza e giustizia. (3) La rapidità dell’evoluzione tecnologica e la globalizzazione comportano nuove sfide per la protezione dei dati personali. La portata della condivisione e della raccolta di dati è aumentata in modo vertiginoso e la tecnologia attuale consente alle competenti autorità di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attività. (4) Tale evoluzione impone di agevolare la libera circolazione dei dati tra le autorità competenti all’interno dell’Unione e il trasferimento verso paesi terzi e organizzazioni internazionali, garantendo al tempo stesso un elevato livello di protezione dei dati personali. Ciò richiede un quadro giuridico più solido e coerente in materia di protezione dei dati nell’Unione, affiancato da efficaci misure di attuazione. (5) La direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati[34], si applica a tutte le attività di trattamento di dati personali negli Stati membri nel settore pubblico e in quello privato. Non si applica invece ai trattamenti di dati personali “effettuati per l’esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario” quali le attività nei settori della cooperazione di polizia e la cooperazione giudiziaria in materia penale. (6) La decisione quadro 2008/977/GAI del Consiglio, del 27 novembre 2008, sulla protezione dei dati personali trattati nell’ambito della cooperazione giudiziaria e di polizia in materia penale[35] si applica ai settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia. Il campo di applicazione della decisione quadro si limita al trattamento dei dati personali trasmessi o resi disponibili tra Stati membri. (7) Assicurare un livello uniforme ed elevato di protezione dei dati personali delle persone fisiche e facilitare lo scambio di dati personali tra le autorità competenti degli Stati membri è essenziale al fine di garantire un’efficace cooperazione di polizia e giudiziaria in materia penale. Per questo occorre un livello di tutela equivalente in tutti gli Stati membri dei diritti e delle libertà delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o di esecuzione delle sanzioni penali. Un’efficace protezione dei dati personali in tutta l’Unione presuppone il rafforzamento dei diritti delle persone cui si riferiscono i dati e degli obblighi di coloro che trattano dati personali, ma anche poteri equivalenti per controllare e garantire il rispetto delle norme di protezione dei dati personali negli Stati membri. (8) L’articolo 16, paragrafo 2, del trattato sul funzionamento dell’Unione europea conferisce al Parlamento europeo e al Consiglio il mandato di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale e le norme relative alla libera circolazione di tali dati. (9) Su tale base, il regolamento (UE) n. …/2012 del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati) stabilisce norme generali per la tutela delle persone fisiche in relazione al trattamento dei dati personali e per la libera circolazione dei dati personali nell’Unione. (10) Nella dichiarazione n. 21, relativa alla protezione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia, allegata all’atto finale della conferenza intergovernativa che ha adottato il trattato di Lisbona, la conferenza riconosce che potrebbero rivelarsi necessarie, in considerazione della specificità dei settori in questione, norme specifiche sulla protezione dei dati personali e sulla libera circolazione di tali dati nei settori della cooperazione giudiziaria in materia penale e della cooperazione di polizia, in base all’articolo 16 del trattato sul funzionamento dell’Unione europea. (11) Occorre pertanto che una distinta direttiva, conforme alla specificità dei settori in questione, stabilisca le norme relative alla tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali. (12) Per garantire un medesimo livello di protezione alle persone fisiche attraverso diritti azionabili in tutta l’Unione e prevenire disparità che possono ostacolare la libera circolazione dei dati tra le autorità competenti, è necessario che la direttiva stabilisca norme armonizzate per la protezione e la libera circolazione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia. (13) La presente direttiva ammette, nell’applicazione delle sue disposizioni, che si tenga conto del principio del pubblico accesso ai documenti ufficiali. (14) È necessario che la protezione prevista dalla presente direttiva si applichi alle persone fisiche, a prescindere dalla nazionalità o dal luogo di residenza, in relazione al trattamento dei dati personali. (15) La protezione delle persone fisiche deve essere neutrale sotto il profilo tecnologico e non dipendere dalle tecniche impiegate; in caso contrario, si correrebbero gravi rischi di elusione. La protezione delle persone fisiche deve applicarsi sia al trattamento automatizzato che al trattamento manuale dei dati personali, se i dati sono contenuti o destinati a essere contenuti in un archivio. Non dovrebbero rientrare nel campo di applicazione della presente direttiva i fascicoli o le serie di fascicoli, e le rispettive copertine, non strutturati secondo criteri specifici. La presente direttiva non dovrebbe applicarsi né trattamento di dati personali effettuato nell’ambito di un’attività che non rientra nel campo di applicazione del diritto dell’Unione, in particolare la sicurezza nazionale, né ai dati trattati da istituzioni, organi, uffici e agenzie dell’Unione, quali Europol o Eurojust. (16) È necessario applicare i principi di protezione a tutte le informazioni relative a una persona fisica identificata o identificabile. Per stabilire l’identificabilità di una persona fisica, è opportuno considerare tutti i mezzi di cui il responsabile del trattamento o un terzo può ragionevolmente avvalersi per identificare detta persona. Non è necessario applicare i principi di protezione ai dati resi sufficientemente anonimi da impedire l’identificazione dell’interessato. (17) Nei dati personali relativi alla salute dovrebbero rientrare, in particolare, tutti i dati riguardanti lo stato di salute di un interessato, le informazioni sulle richieste di prestazione di servizi sanitari; le informazioni sui pagamenti o l’ammissibilità all’assistenza sanitaria; un numero, simbolo o elemento specifico attribuito per identificare l’interessato in modo univoco a fini sanitari; qualsiasi informazione raccolta nel corso della prestazione di servizi sanitari a detta persona; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i campioni biologici; l’identificazione di una persona come prestatore di assistenza sanitaria all’interessato; qualsiasi informazione riguardante, ad esempio, una malattia, l’invalidità, il rischio di malattie, l’anamnesi medica, i trattamenti clinici o l’effettivo stato fisiologico o biomedico dell’interessato, indipendentemente dalla fonte, ad esempio un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro. (18) Qualsiasi trattamento di dati personali deve essere lecito ed equo nei confronti dell’interessato. In particolare, dovrebbero essere esplicitati gli scopi specifici per cui i dati sono trattati. (19) Nell’interesse della prevenzione, dell’indagine e del perseguimento di reati, è necessario che le autorità competenti conservino e trattino i dati personali raccolti a fini di prevenzione, indagine, accertamento o perseguimento di specifici reati al di là di tale contesto, per sviluppare conoscenze dei fenomeni e delle tendenze criminali, raccogliere intelligence sulle reti del crimine organizzato e mettere in collegamento diversi reati. (20) I dati personali non devono essere trattati per finalità incompatibili con la finalità per la quale sono stati raccolti. I dati personali devono essere adeguati, pertinenti e non eccedere le finalità per le quali sono elaborati. Occorre adottate tutte le misure ragionevoli per garantire che i dati personali inesatti siano rettificati o cancellati. (21) Il principio dell’esattezza dei dati deve essere applicato tenendo conto della natura e della finalità del trattamento in questione. In particolare nei procedimenti giudiziari, le dichiarazioni contenenti dati personali sono basate sulla percezione soggettiva delle persone e non sempre sono verificabili. Il requisito dell’esattezza non deve pertanto riferirsi all’esattezza di una dichiarazione ma al semplice fatto che è stata rilasciata. (22) Nell’interpretare e applicare i principi generali di trattamento dei dati personali a cura delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, occorre tener conto delle specificità del settore, compresi gli obiettivi specifici perseguiti. (23) È inerente al trattamento dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia, che siano elaborati dati personali relativi a diverse categorie di interessati. Pertanto deve essere operata, per quanto possibile, una chiara distinzione tra i dati personali relativi a diverse categorie di interessati: indiziati, condannati, vittime di reato e terzi (testimoni, persone informate, persone in contatto o collegate a indiziati o condannati). (24) Per quanto possibile i dati di carattere personale vanno distinti in base al loro livello di accuratezza e affidabilità. Occorre che i fatti rimangano distinti dalle valutazioni personali, al fine di garantire la protezione delle persone così come la qualità e l’affidabilità delle informazioni trattate dalle autorità competenti. (25) Per essere lecito, il trattamento dei dati deve essere necessario per l’esecuzione di un compito di un’autorità competente in base al diritto nazionale, per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, per proteggere gli interessi vitali dell’interessato o di un terzo o per prevenire un’immediata e grave minaccia alla sicurezza pubblica. (26) Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti fondamentali o della vita privata, compresi i dati genetici. Tali dati non devono essere oggetto di trattamento, salvo che tale operazione sia espressamente autorizzata per legge, che preveda adeguate garanzie a tutela degli interessi legittimi dell’interessato, oppure quando il trattamento è necessario per salvaguardare un interesse vitale dell’interessato o di un terzo, o riguardi dati resi manifestamente pubblici dall’interessato. (27) Ogni persona ha il diritto di non essere oggetto di una misura basata unicamente su un trattamento automatizzato se ciò produce conseguenze giuridiche pregiudizievoli nei suoi confronti, salvo quando autorizzato da una legge che precisi le misure atte a salvaguardare gli interessi legittimi dell’interessato. (28) Affinché l’interessato possa esercitare i propri diritti, qualsiasi informazione a questi destinata deve essere di facile accesso e comprensione, il che presuppone l’utilizzo di un linguaggio semplice e chiaro. (29) Occorre predisporre modalità volte ad agevolare l’esercizio dei diritti di cui alla presente direttiva, compresi i meccanismi per la richiesta, gratuita, di accedere ai dati, rettificarli e cancellarli. Il responsabile del trattamento deve essere tenuto a rispondere alle richieste dell’interessato senza ingiustificato ritardo. (30) Il principio di trattamento equo implica che l’interessato sia informato in particolare dell’esistenza del trattamento e delle sue finalità, del periodo di conservazione dei dati, del diritto di accesso, rettifica o cancellazione e del diritto di proporre un reclamo. In caso di dati raccolti direttamente presso l’interessato, questi deve inoltre essere informato dell’eventuale obbligo di fornire i propri dati e delle conseguenze a cui va incontro se si rifiuta di fornirli. (31) L’interessato deve ricevere le informazioni relative al trattamento di dati personali al momento della raccolta o, se i dati non sono raccolti direttamente presso l’interessato, all’atto della registrazione o entro un termine ragionevole, in funzione delle circostanze del caso. (32) Ogni persona deve avere il diritto di accedere ai dati raccolti che la riguardano e di esercitare tale diritto facilmente, per essere consapevole del trattamento e verificarne la liceità. Occorre pertanto che ogni interessato abbia il diritto di conoscere e ottenere comunicazioni specie in relazione alla finalità del trattamento, al periodo di conservazione, ai destinatari, anche nei paesi terzi. L’interessato deve poter ricevere copia dei dati personali oggetto del trattamento. (33) Gli Stati membri devono poter adottare misure legislative intese a ritardare, limitare o escludere la comunicazione di informazioni all’interessato o l’accesso di questi ai suoi dati personali nella misura e per la durata in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei legittimi interessi dell’interessato, per non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari, per non compromettere la prevenzione, l’indagine, l’accertamento o il perseguimento di reati o l’esecuzione di sanzioni penali, per proteggere la sicurezza pubblica o la sicurezza dello Stato, o per proteggere l’interessato o i diritti e le libertà altrui. (34) Qualsiasi rifiuto o limitazione di accesso è comunicato per iscritto all’interessato indicando i motivi di fatto o di diritto sui quali si basa la decisione. (35) Nei casi in cui gli Stati membri hanno adottato disposizioni legislative volte a limitare, in tutto o in parte, il suo diritto di accesso, l’interessato deve avere il diritto di chiedere all’autorità di controllo nazionale di verificare la liceità del trattamento. È opportuno che l’interessato sia informato di tale diritto. Quando esercita il diritto di accesso per conto dell’interessato, l’autorità di controllo deve informarlo, perlomeno, di aver eseguito tutte le verifiche necessarie e comunicargli l’esito riguardo alla liceità del trattamento in questione. (36) Ogni persona deve avere il diritto di ottenere la rettifica di dati personali inesatti che la riguardano e il diritto alla cancellazione quando il trattamento di tali dati non è conforme ai principi fondamentali previsti dalla presente direttiva. Se i dati personali sono trattati nel corso di un’indagine penale e di un procedimento penale, la rettifica, i diritti di informazione, accesso, cancellazione e limitazione di trattamento possono essere esercitati in conformità delle norme nazionali sui procedimenti giudiziari. (37) Occorre stabilire una responsabilità generale del responsabile del trattamento per qualsiasi trattamento di dati personali che abbia effettuato direttamente o altri abbia effettuato per suo conto. In particolare, il responsabile del trattamento deve garantire la conformità delle attività di trattamento alle disposizioni adottate in applicazione della presente direttiva. (38) La tutela dei diritti e delle libertà dell’interessato con riguardo al trattamento dei dati personali richiede l’attuazione di adeguate misure tecniche e organizzative per garantire il rispetto delle disposizioni della presente direttiva. Al fine di garantire la conformità con le disposizioni adottate in applicazione della presente direttiva, il responsabile del trattamento deve adottare politiche e attuare misure adeguate, che soddisfino in particolare i principi della protezione fin dalla progettazione e della protezione di default. (39) La protezione dei diritti e delle libertà dell’interessato così come le responsabilità dei responsabili del trattamento e degli incaricati del trattamento, esigono una chiara attribuzione delle responsabilità ai sensi della presente direttiva, compresi i casi in cui un responsabile del trattamento stabilisca le condizioni, le finalità e i mezzi del trattamento congiuntamente con altri responsabili del trattamento o quando l’operazione viene eseguita per conto del responsabile del trattamento. (40) Le attività di trattamento devono essere documentate dal responsabile del trattamento o dall’incaricato del trattamento, al fine di monitorare il rispetto della presente direttiva. Bisognerebbe obbligare tutti i responsabili del trattamento e gli incaricati del trattamento a cooperare con l’autorità di controllo e a mettere, su richiesta, detta documentazione a sua disposizione affinché possa servire per monitorare i trattamenti. (41) Al fine di garantire un’efficace protezione dei diritti e delle libertà dell’interessato a titolo preventivo, il responsabile del trattamento o l’incaricato del trattamento deve consultare l’autorità di controllo in alcuni casi prima del trattamento. (42) Una violazione di dati personali può, se non affrontata in modo adeguato e tempestivo, provocare danni all’interessato, compreso alla sua reputazione. Pertanto, non appena viene a conoscenza di un’avvenuta violazione, il responsabile del trattamento deve notificarla all’autorità nazionale competente. È opportuno che le persone i cui dati o la cui vita privata potrebbero essere compromessi da una siffatta violazione siano informate tempestivamente affinché possano prendere le precauzioni del caso. Si considera che una violazione pregiudica i dati personali o la vita privata dell’interessato quando ad esempio comporta, in connessione con il trattamento dei dati, il furto o l’usurpazione d’identità, un danno fisico, un’umiliazione grave o attenta alla sua reputazione. (43) Nel definire modalità dettagliate relative al formato e alle procedure applicabili alla notificazione delle violazioni di dati personali, è opportuno tenere debitamente conto delle circostanze della violazione, in particolare stabilire se i dati personali fossero o meno protetti con opportuni dispositivi tecnici atti a limitare efficacemente il rischio di furto d’identità o altre forme di abuso. Inoltre, è opportuno che tali modalità e procedure tengano conto degli interessi legittimi delle competenti autorità, nei casi in cui una diffusione prematura rischi di ostacolare inutilmente l’indagine sulle circostanze della violazione. (44) Il responsabile del trattamento o l’incaricato del trattamento deve designare una persona che lo assiste nel controllare il rispetto delle disposizioni adottate in applicazione della presente direttiva. Un responsabile della protezione dei dati può essere designato congiuntamente per più enti dell’autorità competente. I responsabili della protezione dei dati devono poter adempiere alle funzioni e ai compiti loro incombenti in piena indipendenza e in modo efficace. (45) Gli Stati membri devono garantire che un trasferimento verso un paese terzo avvenga unicamente se è necessario ai fini di prevenzione, indagine, accertamento o perseguimento dei reati o di esecuzione delle sanzioni penali, e il responsabile del trattamento nel paese terzo o l’organizzazione internazionale è un’autorità competente ai sensi della presente direttiva. Il trasferimento è ammesso se la Commissione ha deciso che il paese terzo o l’organizzazione internazionale in questione garantisce un livello di protezione adeguato, o se sono state previste idonee garanzie. (46) La Commissione può decidere, con effetto nell’intera Unione europea, che taluni paesi terzi, o un territorio o settore di trattamento all’interno di un paese terzo o un’organizzazione internazionale offrono un livello adeguato di protezione dei dati, garantendo in tal modo la certezza del diritto e l’uniformità in tutta l’Unione nei confronti dei paesi terzi o delle organizzazioni internazionali che si ritiene offrano un livello di protezione adeguato. In questi casi, i trasferimenti di dati personali possono avere luogo senza ulteriori autorizzazioni. (47) In linea con i valori fondamentali su cui è fondata l’Unione, in particolare la tutela dei diritti dell’uomo, è opportuno che la Commissione tenga conto del modo in cui tale paese rispetta lo stato di diritto, l’accesso alla giustizia e le norme e gli standard internazionali in materia di diritti dell’uomo. (48) Occorre che la Commissione sia altresì in grado di riconoscere che un paese terzo o un territorio o settore di trattamento all’interno di un paese terzo o un’organizzazione internazionale non offre un adeguato livello di protezione dei dati, nel qual caso il trasferimento di dati personali verso tale paese terzo deve essere vietato, salvo se effettuato sulla base di un accordo internazionale, in presenza di adeguate garanzie o di una deroga. È opportuno prevedere procedure di consultazione tra la Commissione e detti paesi terzi o organizzazioni internazionali. Tuttavia, la decisione della Commissione non deve pregiudicare la possibilità di procedere a trasferimenti sulla base di adeguate garanzie o sulla base di una deroga prevista dalla direttiva. (49) I trasferimenti non effettuati sulla base di una decisione di adeguatezza devono essere autorizzati unicamente qualora siano offerte adeguate garanzie in uno strumento giuridicamente vincolante, atto ad assicurare la protezione dei dati personali, o qualora il responsabile del trattamento o l’interessato del trattamento abbia valutato tutte le circostanze relative a un’operazione o a un insieme di operazioni di trasferimento dei dati e, sulla base di tale valutazione, ritenga che esistano adeguate garanzie in materia di protezione dei dati personali. Qualora non esistano motivi per autorizzare un trasferimento, devono essere ammesse deroghe se necessario per salvaguardare i legittimi interessi dell’interessato, qualora lo preveda la legislazione dello Stato membro che trasferisce i dati personali o quando sia indispensabile per prevenire una minaccia grave e immediata alla sicurezza pubblica di uno Stato membro o di un paese terzo, o in singoli casi per prevenire, indagare, accertare o perseguire reati o eseguire sanzioni penali, o in singoli casi per accertare, esercitare o difendere un diritto in sede giudiziaria. (50) Con il trasferimento transfrontaliero di dati personali aumenta il rischio che l’interessato non possa esercitare il proprio diritto alla protezione dei dati per tutelarsi da usi o divulgazioni illecite di tali dati. Allo stesso tempo, le autorità di controllo possono concludere di non essere in grado di dar corso ai reclami o svolgere indagini relative ad attività condotte oltre frontiera. I loro sforzi di collaborazione nel contesto transfrontaliero possono anche scontrarsi con poteri insufficienti per prevenire e correggere e con regimi giuridici incoerenti. Pertanto vi è la necessità di promuovere una più stretta cooperazione tra le autorità di controllo della protezione dei dati affinché possano scambiare informazioni con le loro controparti all’estero. (51) La designazione di un’autorità di controllo che agisca in totale indipendenza in ciascuno Stato membro è un elemento essenziale della protezione delle persone con riguardo al trattamento di dati personali. Spetterebbe alle autorità di controllo controllare l’applicazione delle disposizioni della presente direttiva e contribuire alla sua coerente applicazione in tutta l’Unione, così da tutelare le persone fisiche in relazione al trattamento dei dati personali. A tal fine le autorità di controllo cooperano tra loro e con la Commissione. (52) Gli Stati membri possono prevedere che l’autorità di controllo già istituita negli Stati membri ai sensi del regolamento (UE) …./2012 possa assolvere anche i compiti che devono essere adempiuti dalle autorità di controllo nazionali da istituirsi a norma della presente direttiva. (53) È necessario che gli Stati membri possano istituire più di una autorità di controllo, al fine di rispecchiare la loro struttura costituzionale, organizzativa e amministrativa. Ciascuna autorità di controllo deve disporre di risorse umane e finanziarie adeguate, dei locali e delle infrastrutture necessarie per l’effettivo svolgimento dei propri compiti, compresi i compiti di assistenza reciproca e cooperazione con altre autorità di controllo in tutta l’Unione. (54) Le condizioni generali applicabili ai membri dell’autorità di controllo devono essere stabilite da ciascuno Stato membro e devono in particolare prevedere che i membri siano nominati dal parlamento o dal governo dello Stato membro e contenere disposizioni sulle qualifiche e sulle funzioni di tali membri. (55) Sebbene la presente direttiva si applichi anche alle attività dei giudici nazionali, non è opportuno che rientri nella competenza delle autorità di controllo il trattamento di dati personali effettuato dalle autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali, al fine di salvaguardarne l’indipendenza. Tuttavia, tale esenzione deve essere limitata all’attività autenticamente giurisdizionale e non applicarsi ad altre attività a cui i giudici potrebbero partecipare in forza del diritto nazionale. (56) Al fine di garantire un monitoraggio e un’applicazione coerenti della presente direttiva in tutta l’Unione, le autorità di controllo devono godere in ciascuno Stato membro degli stessi diritti e poteri effettivi, fra cui poteri di indagine e d’intervento giuridicamente vincolanti, di decisione e sanzione, segnatamente in caso di reclamo, così come di agire in giudizio. (57) È necessario che ciascuna autorità di controllo tratti i reclami proposti da qualsiasi interessato e svolga le relative indagini; che a seguito di reclamo vada condotta un’indagine, soggetta a controllo giurisdizionale, nella misura in cui ciò sia opportuno nella fattispecie; che l’autorità di controllo informi l’interessato dei progressi e dei risultati del ricorso entro un termine ragionevole. Se il caso richiede un’ulteriore indagine o il coordinamento con un’altra autorità di controllo, l’interessato deve ricevere informazioni interlocutorie. (58) Le autorità di controllo devono prestarsi reciproca assistenza nell’esercizio delle loro funzioni, in modo da garantire la coerente applicazione e attuazione delle disposizioni adottate in conformità della presente direttiva. (59) Il comitato europeo per la protezione dei dati istituito con regolamento (UE) n. …/2012 deve contribuire all’applicazione uniforme della presente direttiva in tutta l’Unione, in particolare dando consulenza alla Commissione e promuovendo la cooperazione delle autorità di controllo in tutta l’Unione. (60) Ciascun interessato deve avere il diritto di proporre reclamo a un’autorità di controllo di qualunque Stato membro e il diritto di proporre ricorso giurisdizionale qualora ritenga che siano stati violati i diritti di cui gode a norma della presente direttiva o se l’autorità di controllo non dà seguito a un reclamo o non agisce quando è necessario intervenire per proteggere i suoi diritti di interessato. (61) L’organismo, l’organizzazione o associazione che intenda tutelare i diritti e gli interessi di un interessato in relazione alla protezione dei dati personali e sia istituito o istituita a norma della legislazione di uno Stato membro deve avere il diritto di proporre reclamo o esercitare il diritto a un ricorso giurisdizionale per conto dell’interessato, su suo espresso mandato, o di proporre un proprio reclamo indipendente dall’azione dell’interessato, se ritiene che sussista violazione dei dati personali. (62) Ogni persona fisica o giuridica deve avere diritto di proporre ricorso giurisdizionale avverso la decisione dell’autorità di controllo che la riguarda. Le azioni contro l’autorità di controllo devono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l’autorità di controllo è stabilita. (63) Gli Stati membri devono assicurare che i ricorsi giurisdizionali, per essere efficaci, consentano di adottare rapidamente provvedimenti per porre fine a una violazione della presente direttiva o per prevenirla. (64) Il responsabile del trattamento o l’incaricato del trattamento deve risarcire i danni cagionati da un trattamento illecito ma può essere esonerato da tale responsabilità se prova che l’evento dannoso non gli è imputabile, segnatamente se dimostra che a causare l’errore è stato l’interessato o in caso di forza maggiore. (65) Dovrebbe essere punibile chiunque, persona di diritto pubblico o di diritto privato, non ottemperi alle disposizioni della presente direttiva. Gli Stati membri devono garantire sanzioni efficaci, proporzionate e dissuasive e adottare tutte le misure necessarie per la loro applicazione. (66) Al fine di conseguire gli obiettivi della direttiva, segnatamente tutelare i diritti fondamentali e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali, e garantire il libero scambio di tali dati nell’Unione tra autorità competenti, occorre conferire alla Commissione il potere di adottare atti a norma dell’articolo 290 del trattato sul funzionamento dell’Unione europea. In particolare, è necessario adottare atti delegati con riferimento alle notificazioni relative a violazioni di dati personali alle autorità di controllo. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti. Nel contesto della preparazione e della stesura degli atti delegati, occorre che la Commissione garantisca contemporaneamente una trasmissione corretta e tempestiva dei documenti pertinenti al Parlamento europeo e al Consiglio. (67) Occorre conferire alla Commissione competenze di esecuzione al fine di garantire condizioni uniformi di applicazione della presente direttiva per quanto riguarda la documentazione conservata dai responsabili del trattamento e incaricati del trattamento, la sicurezza del trattamento con particolare riferimento agli standard di cifratura, la notificazione di una violazione di dati personali all’autorità di controllo e l’adeguato livello di protezione offerto da un paese terzo o da un territorio o settore di trattamento nel paese terzo o un’organizzazione internazionale. Tali competenze devono essere esercitate in conformità del regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio, del 16 febbraio 2011, che stabilisce le regole e i principi generali relativi alle modalità di controllo da parte degli Stati membri dell’esercizio delle competenze di esecuzione attribuite alla Commissione[36]. (68) È opportuno applicare la procedura d’esame per l’adozione di misure concernenti la documentazione conservata dai responsabili del trattamento e incaricati del trattamento, la sicurezza del trattamento con particolare riferimento agli standard di cifratura, la notificazione di una violazione di dati personali all’autorità di controllo e l’adeguato livello di protezione offerto da un paese terzo o da un territorio o settore di trattamento nel paese terzo o un’organizzazione internazionale, data la portata generale di tali atti. (69) È opportuno che la Commissione adotti atti di esecuzione immediatamente applicabili quando, in casi debitamente giustificati relativi a un paese terzo, o a un territorio o settore di trattamento dati nel paese terzo, o un’organizzazione internazionale che non garantisce un livello di protezione adeguato, ciò sia reso necessario da imperativi motivi di urgenza. (70) Poiché gli obiettivi della presente direttiva, segnatamente tutelare i diritti fondamentali e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali, e garantire il libero scambio di tali dati nell’Unione tra autorità competenti, non possono essere conseguiti in misura sufficiente dagli Stati membri e possono dunque, a motivo della portata e degli effetti dell’azione in questione, essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea. La presente direttiva si limita a quanto è necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalità enunciato nello stesso articolo. (71) La presente direttiva dovrebbe abrogare la decisione quadro 2008/977/GAI. (72) Occorre che rimangano impregiudicate le disposizioni specifiche relative al trattamento dei dati personali a cura delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o di esecuzione delle sanzioni penali, contenute in atti dell’Unione adottati prima della data di adozione della presente direttiva e che disciplinano il trattamento dei dati personali tra Stati membri e l’accesso delle autorità nazionali designate ai sistemi di informazione istituiti ai sensi dei trattati. È necessario che la Commissione valuti la situazione sotto il profilo del rapporto tra la presente direttiva e gli atti adottati precedentemente alla data di adozione della presente direttiva che disciplinano il trattamento dei dati personali tra Stati membri e l’accesso delle autorità nazionali designate ai sistemi d’informazione istituiti ai sensi dei trattati, al fine di verificare se sia necessario allineare dette specifiche disposizioni alla presente direttiva. (73) Per garantire una sistematica e coerente protezione dei dati personali nell’Unione, gli accordi internazionali conclusi dagli Stati membri prima dell’entrata in vigore della presente direttiva devono essere modificati e resi conformi alla presente direttiva. (74) La presente direttiva non pregiudica l’applicazione delle norme relative alla lotta contro l’abuso e lo sfruttamento sessuale dei minori e la pornografia minorile stabilite dalla direttiva 2011/92/UE del Parlamento europeo e del Consiglio, del 13 dicembre 2011[37]. (75) A norma dell’articolo 6 bis del protocollo sulla posizione del Regno Unito e dell’Irlanda rispetto allo spazio di libertà, sicurezza e giustizia, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, il Regno Unito o l’Irlanda non saranno vincolati da norme stabilite nella presente direttiva laddove il Regno Unito o l’Irlanda non siano vincolati da norme dell’Unione che disciplinano forme di cooperazione giudiziaria in materia penale o di cooperazione di polizia nell’ambito delle quali devono essere rispettate le disposizioni stabilite in base all’articolo 16 del trattato sul funzionamento dell’Unione europea. (76) A norma degli articoli 2 e 2 bis del protocollo sulla posizione della Danimarca, allegato al trattato sull’Unione europea e al trattato sul funzionamento dell’Unione europea, la Danimarca non è vincolata dalla presente direttiva né è soggetta alla sua applicazione. Dato che la presente direttiva si basa sull’acquis di Schengen in applicazione della parte terza, titolo V, del trattato sul funzionamento dell’Unione europea, la Danimarca decide, ai sensi dell’articolo 4 di tale protocollo, entro un periodo di sei mesi dall’adozione della presente direttiva, se intende recepirla nel proprio diritto interno. (77) Per quanto riguarda l’Islanda e la Norvegia, la presente direttiva costituisce uno sviluppo delle disposizioni dell’acquis di Schengen ai sensi dell’accordo concluso dal Consiglio dell’Unione europea con la Repubblica d’Islanda e il Regno di Norvegia sulla loro associazione all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen[38]. (78) Per quanto riguarda la Svizzera, la presente direttiva costituisce uno sviluppo delle disposizioni dell’acquis di Schengen ai sensi dell’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione di quest’ultima all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen[39]. (79) Per quanto riguarda il Liechtenstein, la presente direttiva costituisce uno sviluppo delle disposizioni dell’acquis di Schengen, ai sensi del protocollo sottoscritto tra l’Unione europea, la Comunità europea, la Confederazione svizzera e il Principato del Liechtenstein sull’adesione del Principato del Liechtenstein all’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione della Confederazione svizzera all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen[40]. (80) La presente direttiva rispetta i diritti fondamentali e osserva i principi riconosciuti dalla Carta dei diritti fondamentali dell’Unione europea e sanciti dai trattati, in particolare il diritto al rispetto della vita privata e familiare, il diritto alla protezione dei dati personali e il diritto a un ricorso effettivo e a un giudice imparziale. Conformemente all’articolo 52, paragrafo 1, della Carta, eventuali limitazioni di tali diritti possono essere apportate solo laddove siano necessarie e rispondano effettivamente a finalità di interesse generale riconosciute dall’Unione o all’esigenza di proteggere i diritti e le libertà altrui. (81) Conformemente alla dichiarazione politica congiunta degli Stati membri e della Commissione sui documenti esplicativi del 28 settembre 2011, gli Stati membri si sono impegnati ad accompagnare, ove ciò sia giustificato, la notifica delle loro misure di recepimento con uno o più documenti intesi a chiarire il rapporto tra gli elementi di una direttiva e le parti corrispondenti degli strumenti nazionali di recepimento. Per quanto riguarda la presente direttiva, il legislatore ritiene che la trasmissione di tali documenti sia giustificata. (82) La presente direttiva non deve pregiudicare la facoltà degli Stati membri di dare attuazione all’esercizio del diritto dell’interessato di informazione, accesso, rettifica, cancellazione e limitazione dei dati personali trattati nel corso di un procedimento penale, e alle loro eventuali limitazioni nelle norme nazionali di procedura penale, HANNO ADOTTATO LA PRESENTE DIRETTIVA: CAPO I DISPOSIZIONI GENERALI Articolo 1 Oggetto e finalità 1. La presente direttiva stabilisce le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali. 2. In conformità della presente direttiva gli Stati membri: a) tutelano i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali, e b) garantiscono che lo scambio dei dati personali da parte delle autorità competenti all’interno dell’Unione non sia limitato né vietato per motivi attinenti alla tutela delle persone fisiche con riguardo al trattamento dei dati personali. Articolo 2 Campo d’applicazione 1. La presente direttiva si applica al trattamento dei dati personali da parte delle autorità competenti per le finalità di cui all’articolo 1, paragrafo 1. 2. La presente direttiva si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi. 3. Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali: a) effettuati per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione, concernenti in particolare la sicurezza nazionale; b) effettuati da istituzioni, organi e organismi dell’Unione. Articolo 3 Definizioni Ai fini della presente direttiva si intende per: (1) “interessato”: la persona fisica identificata o identificabile, direttamente o indirettamente, con mezzi che il responsabile del trattamento o altra persona fisica o giuridica ragionevolmente può utilizzare, con particolare riferimento a un numero di identificazione, a dati relativi all’ubicazione, a un identificativo on line o a uno o più elementi caratteristici della sua identità genetica, fisica, fisiologica, psichica, economica, culturale o sociale; (2) “dati personali”: qualsiasi informazione concernente l’interessato; (3) “trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la memorizzazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione; (4) “limitazione di trattamento”: contrassegno dei dati personali memorizzati con l’obiettivo di limitarne il trattamento in futuro; (5) “archivio”: qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico; (6) “responsabile del trattamento”: l’autorità pubblica competente che, singolarmente o insieme ad altri, determina le finalità, le condizioni e i mezzi del trattamento di dati personali; quando le finalità, le condizioni e i mezzi del trattamento sono determinati dal diritto dell’Unione o dal diritto di uno Stato membro, il responsabile del trattamento o i criteri specifici applicabili alla sua nomina possono essere designati dal diritto dell’Unione o dal diritto dello Stato membro; (7) “incaricato del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del responsabile del trattamento; (8) “destinatario”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati personali; (9) “violazione dei dati personali”: violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l’accesso ai dati personali trasmessi, memorizzati o comunque elaborati; (10) “dati genetici”: tutti i dati, di qualsiasi natura, riguardanti le caratteristiche di una persona fisica che siano ereditarie o acquisite in uno stadio precoce di sviluppo prenatale; (11) “dati biometrici”: i dati relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona che ne consentono l’identificazione univoca, quali l’immagine facciale o i rilievi dattiloscopici; (12) “dati relativi alla salute”: qualsiasi informazione attinente alla salute fisica o mentale di una persona o alla prestazione di servizi sanitari a detta persona; (13) “minore”: persona di età inferiore agli anni diciotto; (14) “autorità competenti”: qualsiasi autorità pubblica competente a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali; (15) “autorità di controllo”: l’autorità pubblica istituita da uno Stato membro in conformità dell’articolo 39. CAPO II PRINCIPI Articolo 4 Principi applicabili al trattamento di dati personali Gli Stati membri dispongono che i dati personali siano: a) trattati in modo lecito ed equo; b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità; c) adeguati, pertinenti e limitati al minimo necessario rispetto alle finalità perseguite; d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati; e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; f) trattati sotto la responsabilità del responsabile del trattamento, che assicura la conformità alle disposizioni adottate ai sensi della presente direttiva. Articolo 5 Distinzione tra diverse categorie di interessati 1. Gli Stati membri dispongono che, nella misura del possibile, il responsabile del trattamento operi una chiara distinzione tra i dati personali di diverse categorie di interessati, quali: a) le persone per le quali vi sono fondati motivi di ritenere che abbiano commesso o stiano per commettere un reato; b) le persone condannate per un reato; c) le vittime di reato o le persone che alcuni fatti autorizzano a considerare potenziali vittime di reato; d) i terzi coinvolti nel reato, quali le persone che potrebbero essere chiamate a testimoniare nel corso di indagini su reati o di procedimenti penali conseguenti, le persone che possono fornire informazioni su reati, o le persone in contatto o collegate alle persone di cui alle lettere a) e b), e e) le persone che non rientrano in nessuna delle precedenti categorie. Articolo 6 Diverso grado di esattezza e affidabilità dei dati personali 1. Gli Stati membri provvedono affinché, nella misura del possibile, sia effettuata una distinzione tra diverse categorie di dati personali oggetto di trattamento in base al loro grado di esattezza e affidabilità. 2. Gli Stati membri provvedono affinché, nella misura del possibile, i dati personali fondati su fatti siano differenziati da quelli fondati su valutazioni personali. Articolo 7 Liceità del trattamento Gli Stati membri dispongono che il trattamento dei dati personali sia lecito solo se e nella misura in cui è necessario: (a) per l’esecuzione di un compito di un’autorità competente, previsto per legge per le finalità di cui all’articolo 1, paragrafo 1, oppure (b) per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure (c) per la salvaguardia degli interessi vitali dell’interessato o di un terzo, oppure (d) per la prevenzione di un’immediata e grave minaccia alla sicurezza pubblica. Articolo 8 Trattamento di categorie particolari di dati personali 1. Gli Stati membri vietano il trattamento di dati personali che rivelino la razza, l’origine etnica, le opinioni politiche, la religione o le convinzioni personali, l’appartenenza sindacale, come pure il trattamento di dati genetici o dati relativi alla salute e alla vita sessuale. 2. Il paragrafo 1 non si applica quando: a) il trattamento è autorizzato da disposizioni di legge che prevedono garanzie adeguate, oppure b) il trattamento è necessario per salvaguardare un interesse vitale dell’interessato o di un terzo, oppure c) il trattamento riguarda dati resi manifestamente pubblici dall’interessato. Articolo 9 Misure basate sulla profilazione e trattamento automatizzato 1. Gli Stati membri dispongono che la misura che produca effetti giuridici negativi o significativamente incida sull’interessato e sia basata unicamente su un trattamento automatizzato di dati personali destinato a valutarne aspetti della personalità, sia vietata salvo che sia autorizzata da disposizioni di legge che precisino misure a salvaguardia dei legittimi interessi dell’interessato. 2. Il trattamento automatizzato di dati personali destinato a valutare taluni aspetti della personalità dell’interessato non può basarsi unicamente sulle categorie particolari di dati personali di cui all’articolo 8. CAPO III DIRITTI DELL’INTERESSATO Articolo 10 Modalità per l’esercizio dei diritti dell’interessato 1. Gli Stati membri dispongono che il responsabile del trattamento prenda tutte le misure ragionevoli per applicare politiche trasparenti e facilmente accessibili con riguardo al trattamento dei dati personali e ai fini dell’esercizio dei diritti dell’interessato. 2. Gli Stati membri dispongono che il responsabile del trattamento fornisca all’interessato tutte le informazioni e le comunicazioni relative al trattamento dei dati personali in forma intelligibile, con linguaggio semplice e chiaro. 3. Gli Stati membri dispongono che il responsabile del trattamento prenda tutte le misure ragionevoli per stabilire le procedure d’informazione di cui all’articolo 11 e le procedure per l’esercizio dei diritti dell’interessato di cui agli articoli da 12 a 17. 4. Gli Stati membri dispongono che il responsabile del trattamento informi l’interessato senza ingiustificato ritardo del seguito dato alle sue richieste. 5. Gli Stati membri dispongono che le informazioni e le misure prese dal responsabile del trattamento a seguito di una richiesta ai sensi dei paragrafi 3 e 4 siano gratuite. Se le richieste sono vessatorie, in particolare per il carattere ripetitivo, la lunghezza o il volume, il responsabile del trattamento può esigere un contributo spese per le informazioni o l’azione richiesta; in alternativa, può non effettuare quanto richiesto. In tale caso, incombe al responsabile del trattamento dimostrare il carattere vessatorio della richiesta. Articolo 11 Informazione dell’interessato 1. In caso di raccolta di dati personali, gli Stati membri provvedono affinché il responsabile del trattamento predisponga adeguate misure per fornire all’interessato almeno le seguenti informazioni: a) l’identità e le coordinate di contatto del responsabile del trattamento e del responsabile della protezione dei dati; b) le finalità del trattamento cui sono destinati i dati personali; c) il periodo per il quale i dati personali saranno conservati; d) l’esistenza del diritto dell’interessato di chiedere al responsabile del trattamento l’accesso ai dati e la rettifica o la cancellazione dei dati personali che lo riguardano o la limitazione di trattamento; e) il diritto di proporre reclamo all’autorità di controllo di cui all’articolo 39 e le coordinate di contatto di detta autorità; f) i destinatari o le categorie di destinatari dei dati personali, anche in paesi terzi o in seno a organizzazioni internazionali; g) ogni altra informazione necessaria per garantire un trattamento equo nei confronti dell’interessato, in considerazione delle specifiche circostanze in cui i dati personali vengono trattati. 2. Quando i dati personali sono raccolti direttamente presso l’interessato, il responsabile del trattamento lo informa, in aggiunta a quanto disposto al paragrafo 1, dell’obbligatorietà o meno della comunicazione dei dati personali e delle possibili conseguenze di una mancata comunicazione. 3. Il responsabile del trattamento fornisce le informazioni di cui al paragrafo 1: a) al momento in cui i dati personali sono ottenuti dall’interessato, oppure b) quando i dati personali non sono raccolti direttamente presso l’interessato, al momento della registrazione o entro un termine ragionevole dopo la raccolta, in considerazione delle specifiche circostanze in cui i dati vengono trattati. 4. Gli Stati membri possono adottare misure legislative volte a ritardare, limitare o omettere l’informazione dell’interessato nella misura e per la durata in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei legittimi interessi dell’interessato: (a) per non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari; (b) per non compromettere la prevenzione, l’indagine, l’accertamento o il perseguimento di reati o l’esecuzione di sanzioni penali; (c) per proteggere la sicurezza pubblica; (d) per proteggere la sicurezza dello Stato; (e) per proteggere i diritti e le libertà di terzi. 5. Gli Stati membri hanno facoltà di determinare le categorie di trattamenti di dati cui possono applicarsi, in tutto o in parte, le deroghe di cui al paragrafo 4. Articolo 12 Diritto di accesso dell’interessato 1. Gli Stati membri dispongono che l’interessato abbia il diritto di ottenere dal responsabile del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano. Se è in corso un trattamento, il responsabile del trattamento fornisce le seguenti informazioni: a) le finalità del trattamento; b) le categorie di dati personali in questione; c) i destinatari o le categorie di destinatari a cui i dati personali sono stati comunicati, in particolare se destinatari di paesi terzi; d) il periodo per il quale saranno conservati i dati personali; e) l’esistenza del diritto dell’interessato di chiedere al responsabile del trattamento la rettifica o la cancellazione dei dati personali che lo riguardano o la limitazione di trattamento; f) il diritto di proporre reclamo all’autorità di controllo e le coordinate di contatto di detta autorità; g) la comunicazione dei dati personali oggetto del trattamento e di tutte le informazioni disponibili sulla loro origine. 2. Gli Stati membri dispongono che l’interessato abbia il diritto di ottenere dal responsabile del trattamento copia dei dati personali oggetto del trattamento. Articolo 13 Limitazioni del diritto di accesso 1. Gli Stati membri possono adottare misure legislative volte a limitare, in tutto o in parte, il diritto di accesso dell’interessato nella misura in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei legittimi interessi dell’interessato: (a) per non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari; (b) per non compromettere la prevenzione, l’indagine, l’accertamento o il perseguimento di reati o l’esecuzione di sanzioni penali; (c) per proteggere la sicurezza pubblica; (d) per proteggere la sicurezza dello Stato; (e) per proteggere i diritti e le libertà di terzi. 2. Gli Stati membri hanno facoltà di determinare con legge le categorie di trattamenti di dati cui possono applicarsi, in tutto o in parte, le deroghe di cui al paragrafo 1. 3. Nei casi di cui ai paragrafi 1 e 2, gli Stati membri dispongono che il responsabile del trattamento informi per iscritto l’interessato di ogni rifiuto o limitazione dell’accesso, dei motivi del rifiuto e delle possibilità di proporre reclamo all’autorità di controllo e di proporre ricorso giurisdizionale. Le informazioni sui motivi di fatto o di diritto su cui si basa la decisione possono essere omesse qualora la loro comunicazione rischi di compromettere una delle finalità di cui al paragrafo 1. 4. Gli Stati membri provvedono affinché il responsabile del trattamento documenti i motivi per cui ha omesso di comunicare i motivi di fatto o di diritto su cui si basa la decisione. Articolo 14 Modalità per l’esercizio del diritto di accesso 1. Gli Stati membri dispongono che l’interessato abbia il diritto di chiedere, in particolare nei casi di cui all’articolo 13, che l’autorità di controllo verifichi la liceità del trattamento. 2. Gli Stati membri dispongono che il responsabile del trattamento informi l’interessato del diritto di chiedere l’intervento dell’autorità di controllo ai sensi del paragrafo 1. 3. Qualora l’interessato eserciti il diritto di cui al paragrafo 1, l’autorità di controllo lo informa quanto meno dell’avvenuto espletamento di tutte le verifiche necessarie e del loro esito riguardo alla liceità del trattamento in questione. Articolo 15 Diritto di rettifica 1. Gli Stati membri dispongono che l’interessato abbia il diritto di ottenere dal responsabile del trattamento la rettifica di dati personali inesatti. L’interessato ha il diritto di ottenere l’integrazione di dati personali incompleti, anche mediante una dichiarazione rettificativa. 2. Gli Stati membri dispongono che il responsabile del trattamento informi per iscritto l’interessato di ogni rifiuto di rettifica, dei motivi del rifiuto e delle possibilità di proporre reclamo all’autorità di controllo e di proporre ricorso giurisdizionale. Articolo 16 Diritto alla cancellazione 1. Gli Stati membri dispongono che l’interessato abbia il diritto di ottenere dal responsabile del trattamento la cancellazione di dati personali qualora il trattamento non sia conforme alle disposizioni adottate ai sensi dell’articolo 4, lettere da a) a e), dell’articolo 7 e dell’articolo 8, della presente direttiva. 2. Il responsabile del trattamento provvede senza ritardo alla cancellazione. 3. Invece di provvedere alla cancellazione, il responsabile del trattamento contrassegna i dati personali: (a) quando l’interessato ne contesta l’esattezza, per il periodo necessario ad effettuare le opportune verifiche; (b) quando i dati personali devono essere conservati a fini probatori; (c) quando l’interessato si oppone alla loro cancellazione e chiede invece che ne sia limitato l’utilizzo. 4. Gli Stati membri dispongono che il responsabile del trattamento informi per iscritto l’interessato di ogni rifiuto di cancellare o contrassegnare i dati trattati, dei motivi del rifiuto e delle possibilità di proporre reclamo all’autorità di controllo e di proporre ricorso giurisdizionale. Articolo 17 Diritti dell’interessato nel corso di indagini e procedimenti penali Gli Stati membri possono disporre che il diri