Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati) /* COM/2012/011 final - 2012/0011 (COD) */





RELAZIONE 1. CONTESTO DELLA PROPOSTA La presente relazione illustra la proposta di nuovo quadro giuridico per la protezione dei dati personali nell’Unione europea, delineata nella comunicazione COM (2012) 9 final[1]. Il nuovo quadro consta di due proposte legislative: – una proposta regolamento del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati); – una proposta di direttiva del Parlamento europeo e del Consiglio concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati[2]. La presente relazione riguarda la proposta di regolamento generale sulla protezione dei dati. La direttiva 95/46/CE[3] – pietra angolare nell’impianto della vigente normativa dell’UE in materia di protezione dei dati personali – è stata adottata nel 1995 con due obiettivi: salvaguardare il diritto fondamentale alla protezione dei dati e garantire la libera circolazione dei dati personali tra gli Stati membri. Alla direttiva è stata integrata la decisione quadro 2008/977/GAI (di seguito “decisione quadro”) che è uno strumento generale applicabile a livello di Unione per proteggere i dati personali nei settori della cooperazione giudiziaria e di polizia in materia penale[4]. Incalzanti sviluppi tecnologici hanno allontanato le frontiere della protezione dei dati personali. La portata della condivisione e della raccolta di dati è aumentata in modo vertiginoso: la tecnologia attuale consente alle imprese private quanto alle autorità pubbliche di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attività e, sempre più spesso, gli stessi privati rendono pubbliche sulla rete mondiale informazioni personali che li riguardano. Le nuove tecnologie non hanno trasformato solo l’economia ma anche le relazioni sociali. Instaurare un clima di fiducia negli ambienti on line è fondamentale per lo sviluppo economico. La mancanza di fiducia frena i consumatori dall’acquistare on line e utilizzare nuovi servizi. Tale situazione rischia di rallentare lo sviluppo di applicazioni tecnologiche innovative. Per questo motivo la protezione dei dati personali riveste un’importanza fondamentale per l’Agenda digitale europea[5] e, più in generale, per la strategia Europa 2020[6]. L’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea (TFUE) introdotto dal trattato di Lisbona, stabilisce il principio secondo il quale ogni persona ha diritto alla protezione dei dati personali che la riguardano. Inoltre, all’articolo 16, paragrafo 2, del TFUE il trattato di Lisbona ha introdotto una base giuridica specifica per l’adozione di norme in materia di protezione dei dati personali. L’articolo 8 della Carta dei diritti fondamentali dell’Unione europea annovera la protezione dei dati personali tra i diritti fondamentali. Il Consiglio europeo ha invitato la Commissione a valutare il funzionamento degli strumenti giuridici dell’Unione in materia di protezione dei dati e a presentare, se necessario, nuove iniziative legislative e non legislative[7]. Nella sua risoluzione sul programma di Stoccolma[8] il Parlamento europeo ha accolto con favore la proposta relativa ad un quadro giuridico completo in materia di protezione dei dati nell’UE chiedendo, tra l’altro, la revisione della decisione quadro. Nel piano d’azione per l’attuazione del programma di Stoccolma[9] la Commissione ha sottolineato la necessità di assicurare l’applicazione sistematica del diritto fondamentale alla protezione dei dati personali nel contesto di tutte le politiche europee. Nella comunicazione “Un approccio globale alla protezione dei dati personali nell’Unione europea”[10], la Commissione è giunta alla conclusione che l’Unione europea ha bisogno di una politica più completa e coerente rispetto al diritto fondamentale alla protezione dei dati personali. Pur rimanendo valido in termini di obiettivi e principi, il quadro giuridico attuale non ha impedito la frammentazione delle modalità di applicazione della protezione dei dati personali nel territorio dell’Unione, né ha eliminato l’incertezza giuridica e la diffusa percezione nel pubblico che le operazioni on line comportino notevoli rischi[11]. È giunto pertanto il momento di instaurare un quadro giuridico più solido e coerente in materia di protezione dei dati nell’Unione che, affiancato da efficaci misure di attuazione, consentirà lo sviluppo dell’economia digitale nel mercato interno, garantirà alle persone fisiche il controllo dei loro dati personali e rafforzerà la certezza giuridica e operativa per i soggetti economici e le autorità pubbliche. 2. Consultazione delle parti interessate e valutazione d’impatto La presente iniziativa è il risultato di estese consultazioni con tutte le principali parti interessate sul riesame dell’attuale quadro normativo in materia di protezione dei dati personali, svoltesi nell’arco di oltre due anni e comprendenti una conferenza ad alto livello nel maggio 2009[12] e due fasi di consultazione pubblica: – dal 9 luglio al 31 dicembre 2009, la consultazione relativa al quadro giuridico del diritto fondamentale alla protezione dei dati personali, per la quale la Commissione ha ricevuto 168 risposte, 127 provenienti da privati cittadini, organizzazioni e associazioni imprenditoriali e 12 dalle autorità pubbliche[13]; – dal 4 novembre 2010 al 15 gennaio 2011, la consultazione sulla comunicazione della Commissione “Un approccio globale alla protezione dei dati personali nell’Unione europea”, per la quale la Commissione ha ricevuto 305 risposte, 54 da privati cittadini, 31 da autorità pubbliche e 220 da organizzazioni private, soprattutto associazioni d’imprese e organizzazioni non governative[14]. Si sono inoltre tenute consultazioni ad hoc con i principali portatori d’interesse; sono stati organizzati specifici incontri nei mesi di giugno e luglio 2010 con le autorità degli Stati membri e le parti interessate del settore privato, con le organizzazioni attive nel settore della protezione della vita privata, della protezione dei dati e le associazioni di consumatori[15]. Nel novembre 2010 Viviane Reding, vicepresidente della Commissione europea, ha organizzato una tavola rotonda sulla riforma della protezione dei dati. Il 28 gennaio 2011 (giornata della protezione dei dati), la Commissione europea e il Consiglio d’Europa hanno co-organizzato una conferenza ad alto livello per discutere gli aspetti della riforma del quadro normativo dell’Unione così come la necessità di standard comuni per la protezione dei dati applicabili a livello mondiale[16]. La presidenza ungherese e la presidenza polacca del Consiglio hanno inoltre patrocinato, rispettivamente il 16-17 giugno 2011 e il 21 settembre 2011, due conferenze sulla protezione dei dati. Nel corso del 2011 si sono svolti workshop e seminari su questioni specifiche. In gennaio l’Agenzia ENISA[17] ha organizzato un seminario sulla notificazione delle violazioni dei dati in Europa[18]. Nel mese di febbraio, la Commissione ha organizzato un seminario con le autorità degli Stati membri al fine di discutere gli aspetti della protezione dei dati nell’ambito della cooperazione di polizia e della cooperazione giudiziaria in materia penale, nonché l’attuazione della decisione quadro, e l’Agenzia per i diritti fondamentali ha tenuto una riunione consultiva con le parti interessate in tema di “protezione dei dati e della vita privata”. Una discussione sulle tematiche centrali della riforma si è svolta il 13 luglio 2011 con le autorità nazionali di protezione dei dati. I cittadini europei sono stati consultati attraverso un sondaggio Eurobarometro effettuato nel novembre-dicembre 2010[19], sono stati avviati diversi studi in materia[20] e il Gruppo di lavoro “Articolo 29”[21] ha dato numerosi pareri e un utile contributo alla Commissione[22]. Il garante europeo della protezione dei dati ha espresso un parere complessivo sulle questioni sollevate nella comunicazione della Commissione del mese di novembre 2010[23]. Il Parlamento europeo ha approvato, con risoluzione del 6 luglio 2011, una relazione a sostegno dell’impostazione adottata dalla Commissione per la riforma del quadro normativo in materia di protezione dei dati[24]. Le conclusioni adottate il 24 febbraio 2011 dal Consiglio dell’Unione europea esprimono un consenso generale all’intento della Commissione di riformare il quadro sulla protezione dei dati e approvano diversi elementi della strategia della Commissione. Anche il Comitato economico e sociale europeo ha commentato favorevolmente l’obiettivo della Commissione di garantire un’applicazione più coerente della normativa dell’UE in materia di protezione dei dati in tutti gli Stati membri[25] e un’adeguata revisione della direttiva 95/46/CE[26]. Nel corso delle consultazioni sull’impostazione generale la grande maggioranza degli interpellati ha convenuto che i principi generali rimangono validi, ma che occorre adattare il quadro attuale affinché possa rispondere meglio alle sfide poste dalla rapida evoluzione delle nuove tecnologie (in particolare on line) e dalla crescente globalizzazione, pur mantenendo la neutralità tecnologica del quadro giuridico. Aspre critiche ha suscitato l’attuale frammentazione della protezione dei dati personali nell’Unione, in particolare degli operatori economici che hanno chiesto una maggiore certezza giuridica e l’armonizzazione delle norme sulla protezione dei dati personali, sostenendo che la complessità delle norme sui trasferimenti internazionali dei dati personali sia un notevole ostacolo alle proprie attività che spesso presuppongono il trasferimento di dati personali dall’UE verso altre parti del mondo. In linea con l’iniziativa “Legiferare meglio”, la Commissione ha proceduto a una valutazione dell’impatto delle diverse opzioni strategiche. La valutazione d’impatto è stata incentrata su tre obiettivi: migliorare la dimensione di mercato interno della protezione dei dati; rendere più efficace l’esercizio del diritto alla protezione dei dati da parte dei privati; creare un quadro completo e coerente applicabile a tutti i settori di competenza dell’Unione, compresa la cooperazione di polizia e la cooperazione giudiziaria in materia penale. Sono state prese in esame tre opzioni strategiche con diversi livelli di intervento: la prima opzione prevedeva modifiche legislative minime e l’uso di comunicazioni interpretative e misure di sostegno, quali programmi di finanziamento e strumenti tecnici; la seconda opzione comprendeva una serie di disposizioni legislative dedicate a ciascuno degli aspetti emersi dall’analisi e la terza prevedeva la centralizzazione della protezione dei dati a livello dell’UE attraverso norme precise e particolareggiate per tutti i settori e la creazione di un’agenzia dell’Unione per il controllo e l’attuazione delle disposizioni. Conformemente ad una metodologia consolidata, la Commissione, coadiuvata da un gruppo direttivo interservizi, ha valutato ciascuna opzione in funzione delle sue effettive possibilità di conseguire gli obiettivi strategici, dell’impatto economico sulle parti interessate (compreso sul bilancio delle istituzioni dell’Unione europea), delle ripercussioni sulla società e dell’effetto sui diritti fondamentali. Non sono emersi possibili impatti ambientali. L’analisi dell’impatto complessivo ha portato a individuare l’opzione prescelta, che si ispira alla seconda opzione con l’aggiunta di alcuni elementi tratti dalle altre due opzioni e inserite nella presente proposta. Stando alla valutazione d’impatto, la sua attuazione consentirà notevoli miglioramenti, tra l’altro sotto i seguenti aspetti: la certezza giuridica per i responsabili del trattamento dei dati e i cittadini, la riduzione degli oneri amministrativi, un’attuazione coerente della protezione dei dati nell’Unione, l’effettivo esercizio da parte dei privati del diritto alla protezione dei dati personali nell’Unione europea e un controllo e un’applicazione efficaci della normativa in materia di protezione dei dati. L’attuazione dell’opzione prescelta contribuirà presumibilmente anche all’obiettivo della Commissione di semplificare e ridurre i costi amministrativi e agli obiettivi dell’Agenda digitale europea, del piano d’azione di Stoccolma e della strategia Europa 2020. In data 9 settembre 2011 il comitato per la valutazione d’impatto ha espresso il suo parere sul progetto di valutazione d’impatto e conseguentemente la valutazione è stata così modificata: – sono stati chiariti gli obiettivi dell’attuale quadro normativo (in che misura siano stati o non siano stati realizzati), così come gli obiettivi della proposta riforma; – la sezione relativa alla definizione del problema è stata corredata di nuove prove e di spiegazioni/chiarimenti supplementari; – è stata aggiunta una sezione sulla proporzionalità; – tutti i calcoli e le stime relativi agli oneri amministrativi nello scenario di base e nell’opzione prescelta sono stati completamente riveduti e modificati ed è stato chiarito il rapporto tra i costi delle notifiche e i costi dovuti alla frammentazione generale (compreso l’allegato 10); – sono state meglio definite le ripercussioni sulle micro, piccole e medie imprese, in particolare riguardo all’obbligo di nominare un responsabile della protezione dei dati e di realizzare valutazioni d’impatto del trattamento sulla protezione dei dati. La relazione sulla valutazione d’impatto e una relazione esplicativa sono pubblicate assieme alle proposte. 3. ELEMENTI GIURIDICI DELLA PROPOSTA 3.1. Base giuridica La presente proposta si basa sull’articolo 16 del TFUE, la nuova base giuridica per l’adozione delle norme in materia di protezione dei dati introdotta dal trattato di Lisbona. Tale disposizione consente di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale da parte degli Stati membri nell’esercizio di attività che rientrano nel campo di applicazione del diritto dell’Unione. Tale disposizione consente inoltre l’adozione di norme relative alla libera circolazione di dati personali, inclusi i dati personali trattati dagli Stati membri o da privati. Il regolamento è considerato lo strumento più idoneo per definire il quadro giuridico per la protezione dei dati personali nell’UE. L’applicabilità diretta di un regolamento ai sensi dell’articolo 288 del TFUE ridurrà la frammentazione giuridica e offrirà maggiore certezza giuridica grazie all’introduzione di una serie di norme di base armonizzate, migliorando la tutela dei diritti fondamentali delle persone fisiche e contribuendo al corretto funzionamento del mercato interno. Il riferimento all’articolo 114, paragrafo 1, del TFUE, è necessario soltanto in relazione alle modifiche della direttiva 2002/58/CE in quanto la direttiva prevede anche la tutela dei legittimi interessi degli abbonati che sono persone giuridiche. 3.2. Sussidiarietà e proporzionalità In virtù del principio di sussidiarietà (articolo 5, paragrafo 3, del TUE) l’Unione interviene soltanto se e in quanto gli obiettivi dell’azione prevista non possono essere conseguiti in misura sufficiente dagli Stati membri, ma possono, a motivo della portata o degli effetti dell’azione in questione, essere conseguiti meglio a livello di Unione. Alla luce dei problemi sopra esposti, l’analisi della sussidiarietà indica la necessità di un’azione a livello di Unione per i seguenti motivi: – il diritto alla protezione dei dati personali, sancito dall’articolo 8 della Carta dei diritti fondamentali, richiede il medesimo livello di protezione dei dati in tutta l’Unione. In mancanza di una normativa dell’Unione si rischierebbe di instaurare livelli diversi di protezione negli Stati membri e di creare restrizioni nei flussi transfrontalieri di dati personali tra gli Stati membri dotati di norme differenti; – i dati personali sono trasferiti attraverso le frontiere nazionali, sia interne che esterne, ad un ritmo sempre crescente. Inoltre, esistono difficoltà pratiche nell’attuare efficacemente la normativa in materia di protezione dei dati e occorre stabilire una cooperazione tra gli Stati membri e le autorità nazionali a livello di Unione, per garantire uniformità nell’applicazione del diritto dell’UE. Infine, l’Unione si trova nella posizione migliore per garantire in maniera efficace e coerente lo stesso livello di protezione alle persone fisiche i cui dati personali siano trasferiti verso paesi terzi; – gli Stati membri non sono in grado da soli di risolvere i problemi posti dalla situazione attuale, in particolare dalla frammentazione delle legislazioni nazionali. Conseguentemente esiste la precisa esigenza di istituire un quadro armonizzato e coerente che consenta un agevole trasferimento transfrontaliero di dati personali all’interno dell’Unione europea e che garantisca nel contempo un’effettiva tutela di tutte le persone fisiche nell’intero territorio dell’UE; – le proposte legislative dell’UE risulteranno più efficaci rispetto ad analoghi provvedimenti adottati dai singoli Stati membri, a motivo della natura e della dimensione dei problemi che non sono confinati a uno o più Stati membri. Il principio di proporzionalità prevede che qualsiasi intervento sia mirato e si limiti a quanto è necessario per conseguire gli obiettivi. Tale principio ha guidato l’intera elaborazione della proposta legislativa, dall’individuazione e valutazione delle opzioni strategiche alternative fino alla sua stesura. 3.3. Sintesi degli aspetti inerenti ai diritti fondamentali Il diritto alla protezione dei dati personali è sancito dall’articolo 8 della Carta, dall’articolo 16 del TFUE e dall’articolo 8 della convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (CEDU). Come sottolinea la Corte di giustizia dell’Unione europea[27], il diritto alla protezione dei dati personali non è una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale[28]. La protezione dei dati è strettamente legata al rispetto della vita privata e familiare tutelato dall’articolo 7 della Carta. Tale principio è riflesso nell’articolo 1, paragrafo 1, della direttiva 95/46/CE, che prevede che gli Stati membri proteggano i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla vita privata con riguardo al trattamento dei dati personali. La Carta sancisce altri diritti fondamentali, potenzialmente interessati: libertà di espressione (articolo 11); libertà d’impresa (articolo 16); il diritto di proprietà e, in particolare, la tutela della proprietà intellettuale (articolo 17, paragrafo 2); il divieto di qualsiasi forma di discriminazione fondata, tra l’altro, sulla razza, l’origine etnica, le caratteristiche genetiche, la religione o le convinzioni personali, le opinioni politiche o di qualsiasi altra natura, la disabilità, o l’orientamento sessuale (articolo 21); i diritti del minore (articolo 24); il diritto a un elevato livello di protezione sanitaria (articolo 35); il diritto d’accesso ai documenti (articolo 42); il diritto a un ricorso effettivo e a un giudice imparziale (articolo 47). 3.4. Spiegazione dettagliata della proposta 3.4.1. CAPO I - DISPOSIZIONI GENERALI L’articolo 1 definisce l’oggetto del regolamento e, alla stregua dell’articolo 1 della direttiva 95/46/CE, definisce i due obiettivi del regolamento. L’articolo 2 delimita il campo d’applicazione materiale del regolamento. L’articolo 3 precisa l’ambito di applicazione territoriale del regolamento. L’articolo 4 contiene le definizioni della terminologia utilizzata nel regolamento. Mentre alcune definizioni sono mutuate dalla direttiva 95/46/CE, altre sono modificate, integrate con elementi aggiuntivi, o introdotte ex novo (“violazione dei dati personali” basata sull’articolo 2, lettera h), della direttiva 2002/58/CE relativa alla vita privata e alle comunicazioni elettroniche[29], quale modificata dalla direttiva 2009/136/CE[30], “dati genetici”, “dati biometrici”, “dati relativi alla salute”, “stabilimento principale”, “rappresentante”, “impresa”, “gruppo di imprese”, “norme vincolanti d’impresa”, “minore”, basata sulla convenzione delle Nazioni Unite sui diritti del fanciullo[31], e “autorità di controllo”). Nella definizione di consenso è aggiunta la qualifica di “esplicito” per evitare un fuorviante parallelismo con il consenso “inequivocabile” e al fine di disporre di una definizione unica e coerente di consenso e garantire che l’interessato sia pienamente consapevole del consenso che sta esprimendo e dei tipi di trattamento dei dati personali che sta accettando. 3.4.2. CAPO II - PRINCIPI L’articolo 5 stabilisce i principi in materia di trattamento dei dati personali, che corrispondono a quelli di cui all’articolo 6 della direttiva 95/46/CE. Tra i nuovi elementi aggiunti si trovano il principio di trasparenza, la precisazione del principio di minimizzazione dei dati e l’introduzione di una responsabilità generale del responsabile del trattamento. L’articolo 6 stabilisce, in base all’articolo 7 della direttiva 95/46/CE, i criteri di liceità del trattamento, ulteriormente specificati con riferimento alle circostanze relative all’equilibrio degli interessi, rispetto degli obblighi giuridici e interesse pubblico. L’articolo 7 chiarisce le condizioni alle quali il consenso è valido come base giuridica ai fini di un trattamento lecito. L’articolo 8 stabilisce ulteriori condizioni per la liceità del trattamento dei dati personali del minore in relazione ai servizi della società dell’informazione diretti ai minori. L’articolo 9 stabilisce il divieto generale di trattamento di categorie particolari di dati personali e le eccezioni a questa regola generale, fondata sull’articolo 8 della direttiva 95/46/CE. L’articolo 10 precisa che il responsabile del trattamento non è obbligato ad acquisire ulteriori informazioni per identificare l’interessato al solo fine di rispettare una disposizione del presente regolamento. 3.4.3. CAPO III - DIRITTI DELL’INTERESSATO 3.4.3.1. Sezione 1 - Trasparenza e modalità L’articolo 11, che si ispira in particolare alla risoluzione di Madrid sulle norme internazionali sulla protezione dei dati personali e della vita privata[32], introduce l’obbligo per i responsabili del trattamento di fornire informazioni trasparenti, comprensibili e facilmente accessibili. L’articolo 12 impone al responsabile del trattamento di predisporre le procedure e i meccanismi che permettano all’interessato di esercitare i propri diritti, compresi i mezzi per introdurre le richieste per via elettronica/telematica, l’obbligo di rispondere entro un termine determinato e di motivare un eventuale rifiuto. L’articolo 13 prevede i diritti relativi ai destinatari, in base all’articolo 12, lettera c), della direttiva 95/46/CE, e li estende a tutti i destinatari, compresi i corresponsabili e i coincaricati dei trattamenti. 3.4.3.2. Sezione 2 – Informazioni e accesso ai dati L’articolo 14 precisa gli obblighi di informazione del responsabile del trattamento nei confronti dell’interessato e, rispetto agli articoli 10 e 11 della direttiva 95/46/CE, prevede informazioni aggiuntive tra cui il periodo di conservazione, il diritto di presentare reclamo, i trasferimenti internazionali e la fonte dei dati. Sono mantenute le deroghe previste dalla direttiva 95/46/CE, per cui l’obbligo di informazione non si applica se la registrazione o la divulgazione dei dati sono espressamente previste per legge. Ciò può avvenire, ad esempio, nei procedimenti avviati dalle autorità per la concorrenza, da un’amministrazione fiscale o doganale o dai servizi di sicurezza sociale. L’articolo 15 prevede il diritto di accesso ai propri dati personali sulla base dell’articolo 12, lettera a), della direttiva 95/46/CE, con l’aggiunta di nuovi elementi come la comunicazione all’interessato del periodo di conservazione dei dati, dei diritti di rettifica e di cancellazione e del diritto di proporre reclamo. 3.4.3.3. Sezione 3 – Rettifica e cancellazione L’articolo 16 prevede il diritto di rettifica in base all’articolo 12, lettera b), della direttiva 95/46/CE. L’articolo 17 prevede il diritto all’oblio e alla cancellazione, approfondendo e precisando il diritto alla cancellazione di cui all’articolo 12, lettera b), della direttiva 95/46/CE e prevedendo le condizioni del diritto all’oblio, compreso l’obbligo del responsabile del trattamento che abbia divulgato dati personali di informare i terzi della richiesta dell’interessato di cancellare tutti i link verso tali dati, le loro copie o riproduzioni. La disposizione prevede inoltre il diritto di limitare il trattamento in determinati casi, evitando l’ambiguo termine di “blocco dei dati”. L’articolo 18 introduce il diritto dell’interessato alla portabilità dei dati, vale a dire il diritto di trasferire i propri dati da un sistema di trattamento elettronico a un altro, senza che il responsabile del trattamento possa impedirlo. Come presupposto e al fine di migliorare l’accesso dell’interessato ai dati personali che lo riguardano, è previsto il diritto di ottenere tali dati dal responsabile del trattamento in un formato elettronico strutturato e di uso comune. 3.4.3.4. Sezione 4 - Diritto di opposizione e profilazione L’articolo 19 sancisce il diritto di opposizione dell’interessato sulla base dell’articolo 14 della direttiva 95/46/CE, al quale sono state apportate alcune modifiche anche per quanto riguarda l’onere della prova e la sua applicazione al marketing diretto. L’articolo 20 sancisce il diritto di non essere sottoposto a misure basate sulla profilazione riprendendo, con modifiche e salvaguardie supplementari, l’articolo 15, paragrafo 1, della direttiva 95/46/CE relativo alle decisioni individuali automatizzate, e tenendo conto della raccomandazione del Consiglio d’Europa sulla profilazione[33]. 3.4.3.5. Sezione 5 - Limitazioni L’articolo 21 chiarisce la facoltà dell’Unione o degli Stati membri di mantenere o introdurre limitazioni dei principi stabiliti all’articolo 5 e dei diritti dell’interessato previsti agli articoli da 11 a 20 e all’articolo 32. Questa disposizione si basa sull’articolo 13 della direttiva 95/46/CE e sugli obblighi discendenti dalla Carta dei diritti fondamentali e dalla convenzione CEDU, nell’interpretazione della Corte di giustizia dell’Unione europea e della Corte europea dei diritti dell’uomo. 3.4.4. CAPO IV - RESPONSABILE DEL TRATTAMENTO E INCARICATO DEL TRATTAMENTO 3.4.4.1. Sezione 1 - Obblighi generali L’articolo 22, che tiene conto del dibattito sul “principio di rendicontazione”, descrive in modo particolareggiato l’obbligo del responsabile del trattamento di conformarsi al regolamento e di dimostrare tale conformità, anche mediante l’adozione di politiche interne e di meccanismi atti a garantire il rispetto del regolamento. L’articolo 23 enuncia gli obblighi del responsabile del trattamento derivanti dai principi di protezione fin dalla progettazione (“by design”) e di default. L’articolo 24 sui corresponsabili del trattamento ne chiarisce le responsabilità con riferimento alla relazione che intercorre tra gli stessi e nei confronti dell’interessato. L’articolo 25 obbliga, a determinate condizioni, i responsabili del trattamento non stabiliti nell’Unione a designare un rappresentante nell’Unione, nella misura in cui il regolamento si applica alla loro attività di trattamento dati. L’articolo 26 chiarisce la posizione e l’obbligo degli incaricati del trattamento, basandosi in parte sull’articolo 17, paragrafo 2, della direttiva 95/46/CE, con l’aggiunta di nuovi elementi come il fatto che un incaricato del trattamento che non si limiti a trattare i dati in base alle istruzioni del responsabile del trattamento è considerato corresponsabile del trattamento. L’articolo 27 sul trattamento sotto l’autorità del responsabile e dell’incaricato del trattamento si basa sull’articolo 16 della direttiva 95/46/CE. L’articolo 28 introduce l’obbligo per i responsabili e gli incaricati del trattamento di conservare la documentazione delle operazioni effettuate sotto la propria responsabilità, in sostituzione della notifica generale all’autorità di controllo richiesta dall’articolo 18, paragrafo 1, e dall’articolo 19 della direttiva 95/46/CE. L’articolo 29 chiarisce gli obblighi del responsabile e dell’incaricato del trattamento ai fini della cooperazione con l’autorità di controllo. 3.4.4.2. Sezione 2 – Sicurezza dei dati L’articolo 30 impone al responsabile del trattamento e all’incaricato del trattamento di mettere in atto misure adeguate per la sicurezza dei trattamenti, ai sensi dell’articolo 17, paragrafo 1, della direttiva 95/46/CE, estendendo l’obbligo agli incaricati del trattamento, indipendentemente dal contratto che hanno sottoscritto con il responsabile del trattamento. Gli articoli 31 e 32 introducono l’obbligo di notificazione e comunicazione delle violazioni di dati personali, sviluppando la notificazione prevista all’articolo 4, paragrafo 3, della direttiva 2002/58/CE. 3.4.4.3. Sezione 3 – Valutazione d’impatto sulla protezione dei dati e autorizzazione preventiva L’articolo 33 introduce l’obbligo per responsabili e incaricati del trattamento di effettuare una valutazione d’impatto in materia di protezione dei dati prima di trattamenti che presentino rischi al riguardo. L’articolo 34, che sviluppa la nozione di controllo preliminare di cui all’articolo 20 della direttiva 95/46/CE, riguarda i casi in cui il responsabile del trattamento o l’incaricato del trattamento devono ottenere l’autorizzazione preventiva dell’autorità di controllo o consultare tale autorità prima di trattare i dati. 3.4.4.4. Sezione 4 – Responsabile della protezione dei dati L’articolo 35 introduce la figura obbligatoria del responsabile della protezione dei dati per il settore pubblico e, nel settore privato, per le grandi imprese o allorquando le attività principali del responsabile del trattamento e dell’incaricato del trattamento consistono in trattamenti che richiedono il controllo regolare e sistematico degli interessati. La disposizione si basa sull’articolo 18, paragrafo 2, della direttiva 95/46/CE che ha permesso agli Stati membri di introdurre tale obbligo in sostituzione di un obbligo generale di notificazione. L’articolo 36 precisa la posizione del responsabile della protezione dei dati. L’articolo 37 stabilisce i principali compiti del responsabile della protezione dei dati. 3.4.4.5. Sezione 5 – Codici di condotta e certificazione L’articolo 38 riguarda i codici di condotta e precisa, sviluppando il concetto di cui all’articolo 27, paragrafo 1, della direttiva 95/46/CE, il contenuto di tali codici e le procedure, conferendo alla Commissione il potere di decidere sulla validità generale dei codici di condotta. L’articolo 39 introduce la possibilità di predisporre meccanismi di certificazione e sigilli e marchi di protezione dei dati. 3.4.5. CAPO V - TRASFERIMENTO DI DATI PERSONALI VERSO PAESI TERZI O ORGANIZZAZIONI INTERNAZIONALI L’articolo 40 stabilisce che, in linea di principio, la conformità alle disposizioni del capo V è obbligatoria per i trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali, compresi i trasferimenti successivi. L’articolo 41 stabilisce, sulla base dell’articolo 25 della direttiva 95/46/CE, i criteri, le condizioni e le procedure per l’adozione di una decisione di adeguatezza della Commissione. I criteri di cui deve tener conto la Commissione per valutare se il livello di protezione è o meno adeguato includono espressamente lo stato di diritto, il ricorso giudiziario e un controllo indipendente. L’articolo conferma ora esplicitamente che la Commissione può valutare il livello di protezione offerto da un territorio o settore di trattamento all’interno di un paese terzo. L’articolo 42 prevede che, in mancanza di una decisione di adeguatezza della Commissione, i trasferimenti a paesi terzi siano subordinati ad adeguate garanzie, in particolare clausole tipo di protezione dei dati, norme vincolanti d’impresa e clausole contrattuali. La possibilità di fare ricorso alle clausole tipo di protezione dei dati della Commissione discende dall’articolo 26, paragrafo 4, della direttiva 95/46/CE. La novità è che adesso le clausole standard potranno essere ora adottate anche da un’autorità di controllo ed essere dichiarate generalmente valide dalla Commissione. Il testo giuridico menziona ora espressamente anche le norme vincolanti d’impresa. L’opzione delle clausole contrattuali offre una certa flessibilità al responsabile o all’incaricato del trattamento, ma è subordinata all’autorizzazione preventiva delle autorità di controllo. L’articolo 43 descrive in modo più dettagliato le condizioni per i trasferimenti in presenza di norme vincolanti d’impresa, sulla base delle attuali pratiche e esigenze delle autorità di controllo. L’articolo 44 precisa e chiarisce le deroghe per il trasferimento di dati, partendo dalle attuali disposizioni dell’articolo 26 della direttiva 95/46/CE. Ciò vale in particolare per i trasferimenti di dati richiesti e necessari per motivi di interesse pubblico rilevante, per esempio in casi di scambi internazionali di dati tra amministrazioni fiscali o doganali oppure tra servizi competenti per la sicurezza sociale o per la gestione delle risorse alieutiche. Inoltre, una trasmissione di dati può, in circostanze limitate, essere giustificata dall’interesse legittimo del responsabile del trattamento o dell’incaricato del trattamento, ma solo dopo che siano state valutate e documentate le circostanze del trasferimento. L’articolo 45 prevede espressamente lo sviluppo di meccanismi di cooperazione internazionale per la protezione dei dati personali tra la Commissione e le autorità di controllo di paesi terzi, in particolare quelli che si ritiene offrano un adeguato livello di protezione, tenendo conto della raccomandazione dell’Organizzazione per la cooperazione e lo sviluppo economico (OCSE) sulla cooperazione transfrontaliera nell’applicazione delle legislazioni in materia di privacy del 12 giugno 2007. 3.4.6. CAPO VI - AUTORITÀ DI CONTROLLO INDIPENDENTI 3.4.6.1. Sezione 1 – Indipendenza L’articolo 46 obbliga gli Stati membri a istituire autorità di controllo, come già previsto dall’articolo 28, paragrafo 1, della direttiva 95/46/CE, e ad ampliarne i compiti includendo la cooperazione reciproca e con la Commissione. L’articolo 47 precisa le condizioni per l’indipendenza delle autorità di controllo, ai sensi della giurisprudenza della Corte di giustizia dell’Unione europea[34], ispirandosi anche all’articolo 44 del regolamento (CE) n. 45/2001[35]. L’articolo 48 dispone le condizioni generali per i membri dell’autorità di controllo, in applicazione della pertinente giurisprudenza[36], inspirandosi anche all’articolo 42, paragrafi da 2 a 6, del regolamento (CE) n. 45/2001. L’articolo 49 contiene disposizioni relative all’istituzione delle autorità di controllo, che ogni Stato membro deve prevedere per legge. L’articolo 50, basato sull’articolo 28, paragrafo 7, della direttiva 95/46/CE, obbliga al segreto professionale i membri e il personale dell’autorità di controllo. 3.4.6.2. Sezione 2 – Funzioni e poteri L’articolo 51 stabilisce le competenze delle autorità di controllo. La norma generale, prevista all’articolo 28, paragrafo 6, della direttiva 95/46/CE (competenza nel territorio del suo Stato membro), è integrata dalla nuova competenza di autorità capofila nel caso di un responsabile del trattamento o incaricato del trattamento stabilito in più Stati membri, al fine di assicurare un’attuazione uniforme (“sportello unico”). I tribunali, nell’esercizio della loro funzione giurisdizionale, sono esentati dal monitoraggio esercitato dall’autorità di controllo, ma non dall’applicazione delle norme sostanziali in materia di protezione dei dati. L’articolo 52 stabilisce le funzioni dell’autorità di controllo, compresa quella di ricevere ed esaminare i reclami o sensibilizzare il pubblico ai rischi, alla norme e misure di salvaguardia e ai diritti. L’articolo 53 stabilisce i poteri dell’autorità di controllo, in parte sulla base dell’articolo 28, paragrafo 3, della direttiva 95/46/CE e dell’articolo 47 del regolamento (CE) n. 45/2001, e inserisce alcuni nuovi elementi, tra cui il potere di sanzionare gli illeciti amministrativi. L’articolo 54 obbliga le autorità di controllo a redigere relazioni annuali di attività, com’era già previsto dall’articolo 28, paragrafo 5, della direttiva 95/46/CE. 3.4.7. CAPO VII - COOPERAZIONE E COERENZA 3.4.7.1. Sezione 1 – Cooperazione L’articolo 55 introduce, sulla base dell’articolo 28, paragrafo 6, secondo comma, della direttiva 95/46/CE, norme esplicite in materia di assistenza reciproca obbligatoria, specificando le conseguenze per la mancata esecuzione della richiesta di un’altra autorità di controllo. L’articolo 56, ispirandosi all’articolo 17 della decisione 2008/615/GAI[37], introduce norme sulle operazioni congiunte, compreso il diritto delle autorità di controllo di partecipare a tali operazioni. 3.4.7.2. Sezione 2 – Coerenza L’articolo 57 introduce un meccanismo volto ad assicurare l’uniformità di applicazione in relazione alle attività di trattamento dati che possono riguardare interessati in vari Stati membri. L’articolo 58 stabilisce le procedure e le condizioni per l’emissione di un parere del comitato europeo per la protezione dei dati. L’articolo 59 verte sui pareri della Commissione in relazione a questioni trattate nell’ambito del meccanismo di coerenza, che possono esprimere un accordo o un disaccordo rispetto al parere del comitato europeo per la protezione dei dati, e sul progetto di misura dell’autorità di controllo. Qualora il comitato europeo per la protezione dei dati sollevi una questione a norma dell’articolo 58, paragrafo 3, è presumibile che la Commissione eserciti il suo potere discrezionale ed esprima un parere ogniqualvolta necessario. L’articolo 60 riguarda le decisioni della Commissione che ingiungono all’autorità competente di sospendere l’adozione del progetto di misura qualora ciò sia necessario per garantire la corretta applicazione del presente regolamento. L’articolo 61 prevede la possibilità di adottare misure provvisorie, con procedura d’urgenza. L’articolo 62 stabilisce i requisiti per gli atti di esecuzione della Commissione nell’ambito del meccanismo di coerenza. L’articolo 63 prevede l’obbligo di dare esecuzione alle misure di un’autorità di controllo in tutti gli Stati membri interessati e dispone l’applicazione del meccanismo di coerenza come requisito indispensabile ai fini della validità giuridica e dell’esecuzione della rispettiva misura. 3.4.7.3. Sezione 3 – Comitato europeo per la protezione dei dati L’articolo 64 istituisce il comitato europeo per la protezione dei dati, composto dal responsabile delle autorità di controllo di ciascuno Stato membro e dal garante europeo della protezione dei dati. Il comitato europeo per la protezione dei dati sostituisce il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dall’articolo 29 della direttiva 95/46/CE. L’articolo precisa che la Commissione non è membro del comitato europeo per la protezione dei dati, ma ha il diritto di partecipare alle attività e designa un rappresentante. L’articolo 65 sottolinea e chiarisce l’indipendenza del comitato europeo per la protezione dei dati. L’articolo 66 descrive i compiti del comitato europeo per la protezione dei dati, sulla base dell’articolo 30, paragrafo 1, della direttiva 95/46/CE, e prevede ulteriori elementi, a motivo del più vasto ambito di attività del comitato all’interno dell’Unione e al di fuori. Per essere in grado di reagire a situazioni di emergenza, la Commissione può chiedere un parere fissando un termine entro il quale il comitato deve rispondere. L’articolo 67 obbliga il comitato europeo per la protezione dei dati a riferire annualmente sulle sue attività, in base all’articolo 30, paragrafo 6, della direttiva 95/46/CE. L’articolo 68 stabilisce le procedure decisionali del comitato europeo per la protezione dei dati, compreso l’obbligo di adottare un regolamento interno che contempli anche le modalità del proprio funzionamento. L’articolo 69 contiene disposizioni sul presidente e i vicepresidenti del comitato europeo per la protezione dei dati. L’articolo 70 definisce i compiti della presidenza. L’articolo 71 stabilisce che la segreteria del comitato europeo per la protezione dei dati è assicurata dal garante europeo della protezione dei dati e ne specifica i compiti. L’articolo 72 dispone in materia di riservatezza. 3.4.8. CAPO III - RICORSI GIURISDIZIONALI, RESPONSABILITÀ E SANZIONI L’articolo 73 riconosce a ciascuno il diritto di presentare un reclamo presso un’autorità di controllo, sulla base dell’articolo 28, paragrafo 4, della direttiva 95/46/CE. L’articolo specifica anche gli organismi, le organizzazioni o associazioni che possono presentare reclamo per conto dell’interessato o, in caso di violazione di dati personali, indipendentemente dal reclamo dell’interessato. L’articolo 74 riguarda il diritto di proporre un ricorso giurisdizionale avverso un’autorità di controllo, sulla base della disposizione generale di cui all’articolo 28, paragrafo 3, della direttiva 95/46/CE. L’articolo prevede esplicitamente che il ricorso giurisdizionale obbliga l’autorità di controllo ad agire a seguito di un reclamo, e chiarisce la competenza dei giudici dello Stato membro in cui è stabilita l’autorità di controllo. Prevede inoltre che le autorità di controllo dello Stato membro in cui risiede l’interessato possano avviare un’azione legale per suo conto in un altro Stato membro in cui sia stabilita l’autorità di controllo competente. L’articolo 75 riguarda il diritto di proporre un ricorso giurisdizionale nei confronti di un responsabile del trattamento o di un incaricato del trattamento, sulla base dell’articolo 22 della direttiva 95/46/CE, e consente la scelta tra il ricorso al giudice dello Stato membro in cui è stabilito il ricorrente e quello in cui risiede l’interessato. Se più procedimenti riguardanti la stessa misura sono in corso nell’ambito del meccanismo di coerenza, il giudice può sospendere il procedimento, salvo casi d’urgenza. L’articolo 76 stabilisce norme comuni per i procedimenti giudiziari, compresi i diritti degli organismi, delle organizzazioni o associazioni di rappresentare gli interessati in giudizio, il diritto delle autorità di controllo di avviare azioni legali e delle autorità giurisdizionali di ottenere informazioni su procedimenti paralleli in un altro Stato membro, oltre alla facoltà del giudice di sospendere il procedimento in tal caso[38]. Gli Stati membri hanno l’obbligo di garantire la rapidità dei ricorsi giurisdizionali[39]. L’articolo 77 stabilisce il diritto al risarcimento del danno e la responsabilità. Basandosi sull’articolo 23 della direttiva 95/46/CE, estende tale diritto ai danni causati dagli incaricati del trattamento e chiarisce la responsabilità dei corresponsabili e coincaricati del trattamento. L’articolo 78 impone agli Stati membri di definire le sanzioni applicabili alle violazioni del regolamento e di garantirne l’effettiva attuazione. L’articolo 79 fa obbligo a ciascuna autorità di controllo di sanzionare gli illeciti amministrativi elencati nei cataloghi di cui alla presente disposizione, di comminare ammende entro un importo massimo, tenendo debitamente conto delle circostanze di ogni singolo caso. 3.4.9. CAPO IX - DISPOSIZIONI RELATIVE A SPECIFICHE SITUAZIONI DI TRATTAMENTO DEI DATI L’articolo 80 impone agli Stati membri di adottare esenzioni e deroghe alle disposizioni specifiche del regolamento ove necessario per conciliare il diritto alla protezione dei dati personali e il diritto alla libertà d’espressione; si basa sull’articolo 9 della direttiva 95/46/CE, come interpretato dalla Corte di giustizia[40]. L’articolo 81 impone agli Stati membri, in aggiunta a quanto già prescritto per categorie particolari di dati, di garantire specifiche salvaguardie al trattamento di dati a fini sanitari. L’articolo 82 dispone che gli Stati membri hanno facoltà di adottare norme specifiche per il trattamento dei dati personali nei rapporti di lavoro. L’articolo 83 stabilisce condizioni specifiche per il trattamento di dati personali per finalità storiche, statistiche e di ricerca scientifica. L’articolo 84 autorizza gli Stati membri ad adottare norme specifiche per regolare l’accesso delle autorità di controllo ai dati personali e agli edifici, se i responsabili del trattamento sono tenuti all’obbligo di segretezza. L’articolo 85 autorizza chiese e comunità religiose, alla luce dell’articolo 17 del TFUE, a continuare ad applicare corpus completi di norme di protezione dei dati, purché conformi al presente regolamento. 3.4.10. CAPO X - ATTI DELEGATI E ATTI DI ESECUZIONE L’articolo 86 contiene le disposizioni standard per l’esercizio delle deleghe a norma dell’articolo 290 del TFUE. Ciò consente al legislatore di delegare alla Commissione il potere di adottare atti non legislativi di portata generale che integrano o modificano determinati elementi non essenziali di un atto legislativo (atti quasi legislativi). L’articolo 87 dispone la procedura di comitato necessaria per il conferimento delle competenze di esecuzione alla Commissione, nei casi in cui, conformemente all’articolo 291 del TFUE, sono necessarie condizioni uniformi di esecuzione degli atti giuridicamente vincolanti dell’Unione. Si applica la procedura d’esame. 3.4.11. CAPO XI - DISPOSIZIONI FINALI L’articolo 88 abroga la direttiva 95/46/CE. L’articolo 89 chiarisce il rapporto con la direttiva 2002/58/CE sulla vita privata e le comunicazioni elettroniche, e la modifica. L’articolo 90 impone alla Commissione di valutare l’applicazione del regolamento e presentare relazioni al riguardo. L’articolo 91 stabilisce la data di entrata in vigore del regolamento e una fase transitoria rispetto alla data di applicazione. 4. INCIDENZA SUL BILANCIO Le specifiche implicazioni di bilancio della proposta riguardano i compiti assegnati al garante europeo della protezione dei dati, come indicato nella scheda finanziaria legislativa allegata alla presente proposta. Tali implicazioni richiedono una riprogrammazione della rubrica 5 delle prospettive finanziarie. La proposta non ha ripercussioni sulle spese operative. La scheda finanziaria legislativa che accompagna la presente proposta di regolamento ricomprende le incidenze di bilancio del regolamento stesso e della direttiva sulla protezione dei dati in materia di polizia e giustizia penale. 2012/0011 (COD) Proposta di REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati) (Testo rilevante ai fini del SEE) IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL’UNIONE EUROPEA, visto il trattato sul funzionamento dell’Unione europea, in particolare l’articolo 16, paragrafo 2, e l’articolo 114, paragrafo 1, vista la proposta della Commissione europea, previa trasmissione del progetto di atto legislativo ai parlamenti nazionali, visto il parere del Comitato economico e sociale europeo[41], sentito il garante europeo della protezione dei dati[42], deliberando secondo la procedura legislativa ordinaria, considerando quanto segue: (1) La tutela delle persone fisiche con riguardo al trattamento dei dati personali è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e l’articolo 16, paragrafo 1, del trattato stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano. (2) Il trattamento dei dati personali è al servizio dell’uomo; i principi e le norme a tutela delle persone fisiche con riguardo al trattamento dei dati personali devono rispettarne i diritti e le libertà fondamentali, in particolare il diritto alla protezione dei dati personali, a prescindere dalla nazionalità o dalla residenza dell’interessato. Il trattamento dei dati personali dovrebbe contribuire alla realizzazione di uno spazio di libertà, sicurezza e giustizia e di un’unione economica, al progresso economico e sociale, al rafforzamento e alla convergenza delle economie nel mercato interno e al benessere delle persone. (3) Obiettivo della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati[43] è armonizzare la protezione dei diritti e delle libertà fondamentali delle persone fisiche rispetto alle attività di trattamento dei dati e assicurare la libera circolazione dei dati personali tra gli Stati membri. (4) L’integrazione economica e sociale conseguente al funzionamento del mercato interno ha portato a un considerevole aumento dei flussi transfrontalieri e quindi anche dei dati scambiati, in tutta l’Unione, tra gli operatori economici e sociali, pubblici e privati. Il diritto dell’Unione impone alle autorità nazionali degli Stati membri di cooperare e scambiarsi dati personali per essere in grado di svolgere le rispettive funzioni o eseguire compiti per conto di un’autorità di un altro Stato membro. (5) La rapidità dell’evoluzione tecnologica e la globalizzazione comportano anche nuove sfide per la protezione dei dati personali. La portata della condivisione e della raccolta di dati è aumentata in modo vertiginoso; la tecnologia attuale consente alle imprese private quanto alle autorità pubbliche di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attività e, sempre più spesso, gli stessi privati rendono pubbliche sulla rete mondiale informazioni personali che li riguardano. Le nuove tecnologie hanno trasformato non solo l’economia ma anche le relazioni sociali e impongono che si faciliti ancora di più la libera circolazione dei dati all’interno dell’Unione e il loro trasferimento verso paesi terzi e organizzazioni internazionali; al tempo stesso, però, occorre garantire un elevato livello di protezione dei dati personali. (6) Tale evoluzione richiede un quadro giuridico più solido e coerente in materia di protezione dei dati nell’Unione, affiancato da efficaci misure di attuazione, data l’importanza di creare il clima di fiducia che consentirà lo sviluppo dell’economia digitale in tutto il mercato interno. È necessario che le persone fisiche abbiano il controllo dei dati personali che li riguardano e che la certezza giuridica e operativa sia rafforzata tanto per i privati che per i operatori economici e le autorità pubbliche. (7) Sebbene i suoi obiettivi e principi rimangano tuttora validi, la direttiva 95/46/CE non ha impedito la frammentazione delle modalità di applicazione della protezione dei dati personali nel territorio dell’Unione, né ha eliminato l’incertezza giuridica e la percezione, largamente diffusa nel pubblico, che soprattutto le operazioni on line comportino notevoli rischi. La compresenza di diversi livelli di tutela dei diritti e delle libertà delle persone fisiche, in particolare del diritto alla protezione dei dati personali, riservata al trattamento di tali dati negli Stati membri può ostacolare la libera circolazione dei dati personali all’interno dell’Unione. Tali differenze possono pertanto costituire un freno all’esercizio delle attività economiche su scala dell’Unione, falsare la concorrenza e impedire alle autorità nazionali di adempiere agli obblighi loro derivanti dal diritto dell’Unione. Il divario creatosi nei livelli di protezione è dovuto alle divergenze nell’attuare e applicare la direttiva 95/46/CE. (8) Al fine di garantire un livello coerente ed elevato di protezione delle persone e rimuovere gli ostacoli alla circolazione dei dati personali, il livello di tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di tali dati deve essere equivalente in tutti gli Stati membri. Occorre pertanto garantire un’applicazione coerente ed omogenea delle norme a tutela delle libertà e dei diritti fondamentali delle persone fisiche con riguardo al trattamento dei dati personali su tutto il territorio dell’Unione. (9) Ai fini di un’efficace protezione dei dati personali in tutta l’Unione è necessario rafforzare e precisare i diritti degli interessati e gli obblighi di coloro che effettuano e determinano il trattamento dei dati, dotare gli Stati membri di poteri equivalenti per monitorare e garantire il rispetto delle norme di protezione dei dati personali, e prevedere sanzioni equivalenti per i trasgressori. (10) L’articolo 16, paragrafo 2, del trattato conferisce al Parlamento europeo e al Consiglio il mandato di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale e le norme relative alla libera circolazione di tali dati. (11) Per garantire un livello uniforme di protezione delle persone in tutta l’Unione e prevenire disparità che possono ostacolare la libera circolazione dei dati nel mercato interno, è necessario un regolamento che garantisca certezza del diritto e trasparenza agli operatori economici, comprese le micro, piccole e medie imprese, offra alla persona in tutti gli Stati membri il medesimo livello di diritti giuridicamente tutelati, definisca obblighi e responsabilità dei responsabili del trattamento e degli incaricati del trattamento e assicuri un monitoraggio costante del trattamento dei dati personali, sanzioni equivalenti in tutti gli Stati membri e una cooperazione efficace tra le autorità di controllo dei diversi Stati membri. Per tener conto della specifica situazione delle micro, piccole e medie imprese, il presente regolamento prevede una serie di deroghe. Inoltre, le istituzioni e gli organi dell’Unione, gli Stati membri e le loro autorità di controllo sono invitati a considerare le esigenze specifiche delle micro, piccole e medie imprese nell’applicare il presente regolamento. Il concetto di micro, piccola e media impresa deve ispirarsi alla raccomandazione 2003/361/CE della Commissione, del 6 maggio 2003, relativa alla definizione delle microimprese, piccole e medie imprese. (12) La protezione prevista dal presente regolamento si applica alle persone fisiche, a prescindere dalla nazionalità o dal luogo di residenza, in relazione al trattamento dei dati personali. La protezione offerta dal presente regolamento non potrà essere invocata per il trattamento dei dati relativi a persone giuridiche, in particolare imprese dotate di personalità giuridica, compreso il nome, la forma giuridica e i contatti. Ciò vale anche quando il nome della persona giuridica contiene il nome di una o più persone fisiche. (13) La protezione delle persone fisiche deve essere neutrale sotto il profilo tecnologico e non dipendere dalle tecniche impiegate; in caso contrario, si correrebbero gravi rischi di elusione. La protezione delle persone fisiche deve applicarsi sia al trattamento automatizzato che al trattamento manuale dei dati personali, se i dati sono contenuti o destinati ad essere contenuti in un archivio. Non dovrebbero rientrare nel campo di applicazione del presente regolamento i fascicoli o le serie di fascicoli, e le rispettive copertine, non strutturati secondo criteri specifici. (14) Il presente regolamento non si applica a questioni di tutela dei diritti e delle libertà fondamentali o di libera circolazione dei dati riferite ad attività che non rientrano nell’ambito di applicazione del diritto dell’Unione europea, né si applica al trattamento dei dati personali effettuato da istituzioni, organi, uffici e agenzie dell’Unione, che sono soggetti al regolamento (CE) n. 45/2001[44], e nemmeno al trattamento effettuato dagli Stati membri nell’esercizio di attività relative alla politica estera e di sicurezza comune dell’Unione. (15) Il presente regolamento non deve applicarsi al trattamento di dati personali effettuato da una persona fisica nell’ambito di attività esclusivamente personali o domestiche, quali la corrispondenza e gli indirizzari, e senza scopo di lucro, vale a dire senza alcuna connessione con un’attività commerciale o professionale. Tale deroga non deve valere per i responsabili del trattamento o gli incaricati del trattamento che forniscono i mezzi per trattare dati personali nell’ambito di tali attività personali o domestiche. (16) La tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati sono oggetto di uno specifico strumento giuridico a livello di Unione. Il presente regolamento non si applica pertanto ai trattamenti effettuati per queste finalità. I dati trattati dalle autorità pubbliche in forza del presente regolamento per queste finalità dovranno invece essere disciplinati dal più specifico strumento giuridico a livello di Unione (direttiva XX/YYY). (17) Il presente regolamento non deve pregiudicare l’applicazione della direttiva 2000/31/CE, in particolare le norme relative alla responsabilità dei prestatori intermediari di servizi di cui ai suoi articoli da 12 a 15. (18) Il presente regolamento ammette, nell’applicazione delle sue disposizioni, che si tenga conto del principio del pubblico accesso ai documenti ufficiali. (19) Qualsiasi trattamento di dati personali effettuato nell’ambito delle attività di uno stabilimento di un responsabile del trattamento o incaricato del trattamento nel territorio dell’Unione deve essere conforme al presente regolamento, che il trattamento avvenga all’interno dell’Unione o al di fuori. Lo stabilimento implica l’effettivo e reale svolgimento di attività nel quadro di un’organizzazione stabile. A tale riguardo non è determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalità giuridica. (20) Onde evitare che una persona venga privata della tutela cui ha diritto in base al presente regolamento, è necessario che questo disciplini anche il trattamento dei dati personali di residenti nell’Unione effettuato da un responsabile del trattamento non stabilito nell’Unione, quando le attività di trattamento sono finalizzate all’offerta di beni o servizi a dette persone o al controllo del loro comportamento. (21) Per stabilire se un’attività di trattamento sia assimilabile al “controllo del comportamento” dell’interessato, occorre verificare se le operazioni che questi esegue su Internet sono sottoposte a tecniche di trattamento dei dati volte alla “profilazione” dell’utente, in particolare per prendere decisioni che li riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali. (22) Laddove vige la legislazione nazionale di uno Stato membro in virtù del diritto internazionale pubblico, ad esempio nella rappresentanza diplomatica o consolare di uno Stato membro, il presente regolamento deve applicarsi anche a un responsabile del trattamento non stabilito nell’Unione. (23) È necessario applicare i principi di protezione a tutte le informazioni relative ad una persona identificata o identificabile. Per stabilire l’identificabilità di una persona, è opportuno considerare tutti i mezzi di cui può ragionevolmente avvalersi il responsabile del trattamento o un terzo per identificare detta persona. Non è necessario applicare i principi di protezione ai dati resi sufficientemente anonimi da impedire l’identificazione dell’interessato. (24) Navigando on line, accade che si sia associati a identificativi on line prodotti dai dispositivi, dalle applicazioni, dagli strumenti e protocolli utilizzati, quali gli indirizzi IP o i marcatori temporanei (cookies). Tali identificativi possono lasciare tracce che, combinate con altri identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili e identificare gli utenti. Ne consegue che numeri di identificazione, dati relativi all’ubicazione, identificativi on line o altri fattori specifici non debbano di per sé essere necessariamente considerati dati personali in tutte le circostanze. (25) Il consenso dovrebbe essere prestato esplicitamente con qualsiasi modalità appropriata che permetta all’interessato di manifestare una volontà libera, specifica e informata, mediante dichiarazione o azione positiva inequivocabile da cui si evinca che consapevolmente acconsente al trattamento dei suoi dati personali, anche selezionando un’apposita casella in un sito Internet o con altra dichiarazione o comportamento che indichi chiaramente in questo contesto che accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il consenso tacito o passivo. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per lo stesso o gli stessi scopi. Se il consenso dell’interessato è richiesto con modalità elettronica, la richiesta deve essere chiara, concisa e non disturbare inutilmente il servizio per il quale è espresso. (26) Nei dati personali relativi alla salute dovrebbero rientrare, in particolare, tutti i dati riguardanti lo stato di salute dell’interessato; le informazioni sulle richieste di prestazione di servizi sanitari; le informazioni sui pagamenti o l’ammissibilità all’assistenza sanitaria; un numero, simbolo o elemento specifico attribuito per identificare l’interessato in modo univoco a fini sanitari; qualsiasi informazione raccolta nel corso della prestazione di servizi sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i campioni biologici; l’identificazione di una persona come prestatore di assistenza sanitaria all’interessato; qualsiasi informazione riguardante, ad esempio, una malattia, l’invalidità, il rischio di malattie, l’anamnesi medica, i trattamenti clinici o l’effettivo stato fisiologico o biomedico dell’interessato, indipendentemente dalla fonte, ad esempio un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro. (27) È necessario che lo stabilimento principale di un responsabile del trattamento dell’Unione sia determinato in base a criteri obiettivi e implichi l’effettivo e reale svolgimento di attività di gestione finalizzate alle principali decisioni sulle finalità, le condizioni e i mezzi del trattamento nel quadro di un’organizzazione stabile. Tale criterio non deve dipendere dal fatto che i dati personali siano effettivamente trattati in quella sede; la presenza o l’uso di mezzi tecnici e tecnologie di trattamento di dati personali o di attività di trattamento non costituiscono di per sé lo stabilimento principale né sono quindi criteri determinanti della sua esistenza. Per quanto riguarda l’incaricato del trattamento, per “stabilimento principale” deve intendersi il luogo in cui ha sede la sua amministrazione centrale nell’Unione. (28) Un gruppo di imprese dovrebbe costituirsi di un’impresa controllante e delle sue controllate, là dove l’impresa controllante sarebbe quella che può esercitare un’influenza dominante sulle controllate in forza, ad esempio, della proprietà, della partecipazione finanziaria o delle norme societarie o del potere di fare applicare le norme di protezione dei dati personali. (29) I minori necessitano di una specifica protezione dei loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze, delle misure di protezione e dei loro diritti in relazione al trattamento dei dati personali. Per determinare chi è minore, è opportuno che il presente regolamento riprenda la definizione stabilita dalla convenzione delle Nazioni Unite sui diritti del fanciullo. (30) Qualsiasi trattamento di dati personali deve essere lecito, equo e trasparente nei confronti dell’interessato. In particolare, le finalità specifiche del trattamento dei dati devono essere esplicite e legittime e precisate al momento della raccolta. I dati devono essere adeguati, pertinenti e limitati al minimo necessario per le finalità del trattamento, donde l’obbligo, soprattutto, di garantire che la raccolta non sia eccessiva e che il periodo di conservazione dei dati sia limitato al minimo necessario. I dati personali dovrebbero essere trattati solo se la finalità del trattamento non è conseguibile con altri mezzi. Occorre prendere tutte le misure ragionevoli affinché i dati personali inesatti siano rettificati o cancellati. Onde garantire che i dati non siano conservati più a lungo del necessario, il responsabile del trattamento dovrebbe fissare un termine per la cancellazione o per la verifica periodica. (31) Perché sia lecito il trattamento dati deve fondarsi sul consenso dell’interessato o su altra base legittima prevista per legge, dal presente regolamento o in altro atto legislativo dell’Unione o degli Stati membri, come indicato nel presente regolamento. (32) Per i trattamenti basati sul consenso dell’interessato, dovrebbe incombere al responsabile del trattamento dimostrare che l’interessato ha acconsentito al trattamento. In particolare, nel contesto di una dichiarazione scritta relativa a un’altra materia, occorrono garanzie che assicurino che l’interessato sia consapevole di esprimere un consenso e in qual misura. (33) Perché il consenso sia libero, occorre chiarire che non costituisce una valida base giuridica qualora l’interessato non sia in grado di operare una scelta autenticamente libera e non possa, pertanto, rifiutare o ritirare il consenso senza subire pregiudizio. (34) Il consenso non costituisce una valida base giuridica per il trattamento dei dati personali quando esiste un evidente squilibrio tra l’interessato e il responsabile del trattamento. Ciò avviene, in particolare, quando l’interessato si trova in situazione di dipendenza dal responsabile del trattamento, tra l’altro quando i dati personali di un dipendente sono trattati dal suo datore di lavoro nel contesto dei rapporti di lavoro. Se il responsabile del trattamento è un’autorità pubblica, vi è squilibrio soltanto nelle specifiche operazioni di trattamento in cui l’autorità pubblica può imporre un obbligo in forza dei suoi pubblici poteri; in tal caso, il consenso non può essere considerato libero, tenuto conto degli interessi dell’interessato. (35) Il trattamento dati deve essere considerato lecito se è necessario nell’ambito di un contratto o ai fini della conclusione di un contratto. (36) È opportuno che il trattamento effettuato per adempiere un obbligo legale che incombe al responsabile del trattamento o necessario per l’esecuzione di un compito di interesse pubblico o per l’esercizio di pubblici poteri abbia una base giuridica tratta dal diritto dell’Unione o di uno Stato membro che soddisfi i requisiti della Carta dei diritti fondamentali dell’Unione europea per eventuali limitazione dei diritti e delle libertà. Spetta altresì al diritto dell’Unione o alle legislazioni nazionali stabilire se il responsabile del trattamento che esegue un compito di interesse pubblico o connesso all’esercizio di pubblici poteri debba essere una pubblica amministrazione o altra persona fisica o giuridica di diritto pubblico o privato, quale un’associazione professionale. (37) Il trattamento di dati personali deve essere parimenti considerato lecito quando è necessario per tutelare un interesse essenziale per la vita dell’interessato. (38) I legittimi interessi di un responsabile del trattamento possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato. Ciò richiede un’attenta valutazione specie se l’interessato è un minore, dato che i minori necessitano di una specifica protezione. L’interessato deve potersi opporsi al trattamento, per motivi inerenti alla sua situazione particolare, e gratuitamente. Per garantire la trasparenza, il responsabile del trattamento deve essere obbligato a informare esplicitamente l’interessato sui legittimi interessi perseguiti, che deve documentare, e sul diritto di opporsi al trattamento dei dati. Posto che spetta al legislatore prevedere la base giuridica che autorizza le autorità pubbliche a trattare i dati, questo motivo non dovrebbe valere per il trattamento dati effettuato dalle autorità pubbliche nell’esercizio delle loro funzioni. (39) Costituisce legittimo interesse del responsabile del trattamento trattare dati relativi al traffico, in misura strettamente necessaria a garantire la sicurezza delle reti e dell’informazione, vale a dire la capacità di una rete o di un sistema d’informazione di resistere, a un dato livello di sicurezza, ad eventi imprevisti o atti illeciti o dolosi che compromettano la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati conservati o trasmessi e la sicurezza dei relativi servizi offerti o resi accessibili tramite tali reti e sistemi da autorità pubbliche, organismi di intervento in caso di emergenza informatica (CERT), gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT), fornitori di reti e servizi di comunicazione elettronica e fornitori di tecnologie e servizi di sicurezza. Ciò potrebbe, ad esempio, includere misure atte a impedire l’accesso non autorizzato a reti di comunicazioni elettroniche e la diffusione di codici maligni, e a porre termine agli attacchi da blocco di servizio e ai danni ai sistemi informatici e di comunicazione elettronica. (40) Il trattamento dei dati personali per altri fini dovrebbe essere consentito solo se compatibile con le finalità per le quali i dati sono stati inizialmente raccolti, in particolare se il trattamento è necessario per finalità storiche, statistiche o di ricerca scientifica. Se l’ulteriore finalità non è compatibile con la finalità iniziale della raccolta dati, sarebbe opportuno che il responsabile del trattamento ottenga il consenso specifico dell’interessato per tale finalità o basi il trattamento dati su un altro motivo legittimo, in particolare ove previsto dal diritto dell’Unione o dello Stato membro cui è soggetto il responsabile del trattamento. In ogni caso, dovrebbe essere garantita l’applicazione dei principi stabiliti dal presente regolamento, in particolare l’obbligo di informare l’interessato di tali altre finalità. (41) Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili e vulnerabili sotto il profilo dei diritti fondamentali o della vita privata. Tali dati non devono essere oggetto di trattamento, salvo esplicito consenso dell’interessato. Tuttavia occorre prevedere espressamente deroghe a questo divieto nei casi di necessità specifiche, segnatamente laddove il trattamento viene eseguito nel corso di legittime attività di talune associazioni o fondazioni il cui scopo sia permettere l’esercizio delle libertà fondamentali. (42) La deroga al divieto di trattare dati sensibili deve essere consentita anche quando è prevista per legge, fatte salve adeguate garanzie, per proteggere i dati personali e altri diritti fondamentali, quando un interesse pubblico rilevante lo giustifichi, in particolare per finalità inerenti alla salute, compresa la pubblica sanità, la protezione sociale e la gestione dei servizi sanitari, soprattutto al fine di assicurare la qualità e l’economicità delle procedure per soddisfare le richieste di prestazioni e servizi nell’ambito del regime di assicurazione sanitaria, o per finalità storiche, statistiche e di ricerca scientifica. (43) Inoltre, è effettuato per motivi di interesse pubblico il trattamento di dati personali a cura di autorità pubbliche diretto a realizzare scopi, previsti dal diritto costituzionale o dal diritto internazionale pubblico, di associazioni religiose ufficialmente riconosciute. (44) Se, nel corso di attività elettorali, il funzionamento del sistema democratico presuppone, in alcuni Stati membri, che i partiti politici raccolgano dati sulle opinioni politiche delle persone, può esserne consentito il trattamento per motivi di interesse pubblico, purché siano predisposte congrue garanzie. (45) Se i dati che tratta non gli consentono di identificare una persona fisica, il responsabile del trattamento non deve essere obbligato ad acquisire ulteriori informazioni per identificare l’interessato al solo fine di rispettare una disposizione del presente regolamento. Quando riceve una richiesta di accesso, il responsabile del trattamento deve poter chiedere all’interessato ulteriori informazioni per poter localizzare i dati personali richiesti. (46) Il principio della trasparenza impone che le informazioni destinate al pubblico o all’interessato siano facilmente accessibili e di facile comprensione e che sia utilizzato un linguaggio semplice e chiaro. Ciò è particolarmente utile in situazioni quali la pubblicità on line, in cui la molteplicità degli operatori coinvolti e la complessità tecnologica dell’operazione fanno sì che sia difficile per l’interessato comprendere se vengono raccolti dati personali, da chi e a quale scopo. Dato che i minori necessitano di una protezione specifica, quando il trattamento dati li riguarda specificamente, qualsiasi informazione e comunicazione deve utilizzare il linguaggio semplice e chiaro che un minore possa capire facilmente. (47) Occorre prevedere modalità volte ad agevolare l’esercizio dei diritti di cui al presente regolamento, compresi i meccanismi per la richiesta, gratuita, di accedere ai dati, rettificarli e cancellarli in particolare, e per l’esercizio del diritto di opposizione. Il responsabile del trattamento deve essere tenuto a rispondere alle richieste dell’interessato entro un termine prestabilito e a motivare l’eventuale rifiuto. (48) I principi di trattamento equo e trasparente implicano che l’interessato sia informato in particolare dell’esistenza del trattamento e delle sue finalità, del periodo di conservazione dei dati, del diritto di accesso, rettifica o cancellazione e del diritto di proporre reclamo. In caso di dati raccolti direttamente presso l’interessato, questi deve inoltre essere informato dell’eventuale obbligo di fornire i propri dati e delle conseguenze a cui va incontro se si rifiuta di fornirli. (49) L’interessato deve ricevere le informazioni relative al trattamento di dati personali al momento della raccolta o, se i dati non sono raccolti direttamente presso l’interessato, entro un termine ragionevole, in funzione delle circostanze del caso. Se i dati possono essere legittimamente comunicati a un altro destinatario, l’interessato deve esserne informato al momento in cui il destinatario riceve la prima comunicazione dei dati. (50) Per contro, non è necessario imporre tale obbligo se l’interessato dispone già dell’informazione, se la registrazione o la comunicazione è prevista per legge o se informare l’interessato si rivela impossibile o richiederebbe risorse sproporzionate. Ciò potrebbe verificarsi in particolare con i trattamenti per finalità storiche, statistiche o di ricerca scientifica, nel qual caso si può tener conto del numero di interessati, dell’antichità dei dati e di eventuali misure di compensazione. (51) Ogni persona deve avere il diritto di accedere ai dati raccolti che la riguardano e di esercitare tale diritto facilmente, per essere consapevole del trattamento e verificarne la liceità. Occorre pertanto che ogni interessato abbia il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalità del trattamento, al periodo di conservazione, ai destinatari, alla logica che presiede al trattamento e alle possibili conseguenze, almeno quando i dati si basato sul profilo dell’interessato. Tale diritto non deve ledere i diritti e le libertà altrui, compreso il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d’autore che tutelano il software. Tuttavia, queste considerazioni non devono portare a negare all’interessato l’accesso a tutte le informazioni. (52) Il responsabile del trattamento deve prendere tutte le misure ragionevoli per verificare l’identità di un interessato che chieda l’accesso, in particolare nel contesto di servizi on line e di identificativi on line. Il responsabile del trattamento non deve conservare dati personali al solo scopo di poter rispondere a potenziali richieste. (53) Ogni persona deve avere il diritto di rettificare i dati personali che la riguardano e il “diritto all’oblio”, se la conservazione di tali dati non è conforme al presente regolamento. In particolare, l’interessato deve avere il diritto di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali che non siano più necessari per le finalità per le quali sono stati raccolti o altrimenti trattati, quando abbia ritirato il consenso o si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al presente regolamento. Tale diritto è particolarmente rilevante se l’interessato ha dato il consenso quando era minore, e quindi non pienamente consapevole dei rischi derivanti dal trattamento, e vuole successivamente eliminare questo tipo di dati personali, in particolare da Internet. Tuttavia, occorre consentire l’ulteriore conservazione dei dati qualora sia necessario per finalità storiche, statistiche e di ricerca scientifica, per motivi di interesse pubblico nel settore della sanità pubblica, per l’esercizio del diritto alla libertà di espressione, ove richiesto per legge o quando sia giustificata una limitazione del trattamento dei dati anziché una loro cancellazione. (54) Per rafforzare il “diritto all’oblio” nell’ambiente on line, è necessario che il diritto di cancellazione sia esteso in modo da obbligare il responsabile del trattamento che ha pubblicato dati personali a informare i terzi che stanno trattando tali dati della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali. Per garantire tale informazione, è necessario che il responsabile del trattamento prenda tutte le misure ragionevoli, anche di natura tecnica, in relazione ai dati della cui pubblicazione è responsabile. Se ha autorizzato un terzo a pubblicare dati personali, il responsabile del trattamento deve essere ritenuto responsabile di tale pubblicazione. (55) Per rafforzare ulteriormente il controllo sui propri dati e il diritto di accedervi, occorre che l’interessato abbia il diritto, se i dati personali sono trattati con mezzi elettronici e in un formato strutturato e di uso comune, di ottenere una copia dei dati che lo riguardano ugualmente in formato elettronico di uso comune. Occorre anche che l’interessato sia autorizzato a trasferire i dati che ha fornito da un’applicazione automatizzata, ad esempio un social network, ad un’altra. Tale diritto dovrebbe applicarsi quando l’interessato ha fornito i dati al sistema di trattamento automatizzato acconsentendo al trattamento o in esecuzione di un contratto. (56) Anche nei casi in cui i dati personali possano essere lecitamente trattati per proteggere interessi vitali dell’interessato, oppure per motivi di pubblico interesse, nell’esercizio di pubblici poteri o per il legittimo interesse di un responsabile del trattamento, l’interessato deve comunque avere il diritto di opporsi al trattamento dei dati che lo riguardano. È opportuno che incomba al responsabile del trattamento dimostrare che i suoi legittimi interessi possono prevalere sull’interesse o sui diritti e sulle libertà fondamentali dell’interessato. (57) Qualora i dati personali siano trattati per finalità di marketing diretto, l’interessato deve avere il diritto di opporsi a tale trattamento, gratuitamente e con una modalità facili e effettive. (58) Ogni persona deve avere il diritto di non essere sottoposta a una misura basata sulla profilazione mediante trattamento automatizzato. Tuttavia, è opportuno che tale misura sia consentita se è espressamente prevista per legge, se è applicata nel contesto della conclusione o dell’esecuzione di un contratto o se l’interessato ha espresso il proprio consenso. In ogni caso, tale trattamento deve essere subordinato a garanzie adeguate, compresa la specifica informazione dell’interessato e il diritto di ottenere l’intervento umano, e la misura non deve riguardare un minore. (59) Il diritto dell’Unione o di uno Stato membro può imporre limitazioni a specifici principi e ai diritti di informazione, accesso, rettifica e cancellazione di dati, al diritto alla portabilità dei dati, al diritto di opporsi, alle misure basate sulla profilazione, alla comunicazione di una violazione di dati personali all’interessato e ad alcuni obblighi connessi in capo ai responsabili del trattamento, ove ciò sia necessario e proporzionato in una società democratica per la salvaguardia della pubblica sicurezza, ivi comprese la protezione della vita umana, in particolare in risposta a catastrofi di origine naturale o umana, e le attività di prevenzione, indagine e perseguimento di reati o di violazioni della deontologia professionale, per la tutela di altri interessi pubblici, tra cui un interesse economico o finanziario rilevante dell’Unione o di uno Stato membro, o per la protezione dell’interessato o dei diritti e delle libertà altrui. Tali limitazioni devono essere conformi alla Carta dei diritti fondamentali dell’Unione europea e alla convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali. (60) Occorre stabilire una responsabilità generale del responsabile del trattamento per qualsiasi trattamento di dati personali che abbia effettuato direttamente o altri abbia effettuato per suo conto. In particolare, il responsabile del trattamento deve garantire ed essere tenuto a dimostrare la conformità di ogni trattamento con il presente regolamento. (61) La tutela dei diritti e delle libertà degli interessati con riguardo al trattamento dei dati personali richiede l’attuazione di adeguate misure tecniche e organizzative al momento sia della progettazione che dell’esecuzione del trattamento stesso, onde garantire il rispetto delle disposizioni del presente regolamento. Al fine di garantire e dimostrare la conformità con il presente regolamento, il responsabile del trattamento deve adottare politiche interne e attuare misure adeguate, che soddisfino in particolare i principi della protezione fin dalla progettazione e della protezione di default. (62) La protezione dei diritti e delle libertà dell’interessato così come le responsabilità del responsabile del trattamento e dell’incaricato del trattamento, anche in relazione al monitoraggio e alle misure delle autorità di controllo, esigono una chiara attribuzione delle responsabilità ai sensi del presente regolamento, compresi i casi in cui un responsabile del trattamento stabilisca le finalità, le condizioni e i mezzi del trattamento congiuntamente con altri responsabili del trattamento o quando l’operazione viene eseguita per conto del responsabile del trattamento. (63) Quando un responsabile del trattamento non stabilito nell’Unione tratta dati personali di residenti nell’Unione e la sua attività di trattamento è finalizzata all’offerta di beni o alla prestazione di servizi a tali interessati o al controllo del loro comportamento, è opportuno che tale responsabile del trattamento designi un rappresentante, salvo che non sia stabilito in un paese terzo che garantisce un livello di protezione adeguato, non sia una piccola o media impresa o un’autorità o organismo pubblico oppure non offra beni o servizi agli interessati solo occasionalmente. Il rappresentante deve agire per conto del responsabile del trattamento e può essere interpellato da qualsiasi autorità di controllo. (64) Per determinare se un responsabile del trattamento offre solo occasionalmente beni e servizi agli interessati residenti nell’Unione, occorre verificare se dalle sue attività complessive risulta che l’offerta di beni o servizi agli interessati sia solo accessoria rispetto alle attività principali. (65) Per dimostrare che si conforma al presente regolamento, il responsabile del trattamento o l’incaricato del trattamento deve documentare ciascuna operazione di trattamento. Bisognerebbe obbligare tutti i responsabili del trattamento e gli incaricati del trattamento a cooperare con l’autorità di controllo e a mettere, su richiesta, detta documentazione a sua disposizione affinché possa servire per monitorare i trattamenti. (66) Per mantenere la sicurezza e prevenire trattamenti contrari al presente regolamento, il responsabile del trattamento o l’incaricato del trattamento deve valutare i rischi inerenti al trattamento e provvedere a limitarli. Tali provvedimenti devono assicurare un adeguato livello di sicurezza, tenuto conto degli sviluppi tecnici e dei costi di attuazione rispetto ai rischi che presentano i trattamenti e alla natura dei dati da proteggere. Nel definire le norme tecniche e le misure organizzative atte a garantire la sicurezza del trattamento, la Commissione deve promuovere la neutralità tecnologica, l’interoperabilità e l’innovazione e, ove opportuno, la cooperazione con i paesi terzi. (67) Una violazione di dati personali può, se non affrontata in modo adeguato e tempestivo, provocare un grave danno economico e sociale all’interessato, tra cui l’usurpazione dell’identità. Pertanto, non appena viene a conoscenza di una violazione, il responsabile del trattamento la deve notificare all’autorità di controllo senza ritardo e, quando possibile, entro 24 ore. Oltre il termine di 24 ore, la notificazione deve essere corredata di una giustificazione motivata. È opportuno che le persone i cui dati o la cui vita privata potrebbero essere compromessi da una siffatta violazione siano informate tempestivamente affinché possano prendere le precauzioni del caso. Si considera che una violazione pregiudica i dati personali o la vita privata dell’interessato quando comporta, ad esempio, il furto o l’usurpazione d’identità, un danno fisico, un’umiliazione grave o attenta alla sua reputazione. La notifica deve descrivere la natura della violazione dei dati personali e formulare raccomandazioni per l’interessato intese ad attenuare i potenziali effetti negativi. La notifica deve essere trasmessa non appena possibile, in stretta collaborazione con l’autorità di controllo e nel rispetto degli orientamenti impartiti da questa o da altre autorità competenti (come le autorità incaricate dell’applicazione della legge). Ad esempio, affinché gli interessati possano attenuare un rischio immediato di pregiudizio è opportuno che la notifica sia tempestiva, ma la necessità di attuare misure adeguate per contrastare violazioni ripetute o analoghe potrebbe giustificare tempi più lunghi. (68) Per determinare se una violazione dei dati personali è notificata all’autorità di controllo e all’interessato senza ingiustificato ritardo, occorre verificare se il responsabile del trattamento ha predisposto e applicato un’adeguata protezione tecnologica e le misure organizzative necessarie a stabilire immediatamente se c’e stata violazione di dati personali e a informare tempestivamente l’autorità di controllo e l’interessato, prima che ne vengano pregiudicati gli interessi personali ed economici, tenendo conto in particolare della natura e della gravità della violazione e delle sue conseguenze e effetti negativi per l’interessato. (69) Nel definire modalità dettagliate relative al formato e alle procedure applicabili alla notificazione delle violazioni di dati personali, è opportuno tenere debitamente conto delle circostanze della violazione, ad esempio stabilire se i dati personali fossero o meno protetti con opportuni dispositivi tecnici atti a limitare efficacemente il rischio di furto d’identità o altre forme di abuso. Inoltre, è opportuno che tali modalità e procedure tengano conto dei legittimi interessi delle autorità giudiziarie e di polizia, nei casi in cui una divulgazione prematura possa ostacolare inutilmente l’indagine sulle circostanze di una violazione di sicurezza. (70) La direttiva 95/46/CE ha introdotto un obbligo generale di notificare alle autorità di controllo il trattamento dei dati personali. Tale obbligo comporta oneri amministrativi e finanziari senza per questo aver mai veramente contribuito a migliorare la protezione dei dati personali. È pertanto necessario abolire tale obbligo generale e indiscriminato di notificazione e sostituirlo con meccanismi e procedure efficaci che si concentrino piuttosto su quelle operazioni di trattamento che potenzialmente presentano rischi specifici per i diritti e le libertà degli interessati, per loro natura, portata o finalità. In tali casi, è opportuno che il responsabile del trattamento o l’incaricato del trattamento effettui una valutazione d’impatto sulla protezione dei dati prima del trattamento, che verta in particolare anche sulle misure, sulle garanzie e sui meccanismi previsti per assicurare la protezione dei dati personali e per comprovare il rispetto del presente regolamento. (71) Ciò deve applicarsi in particolare ai nuovi sistemi di archiviazione su larga scala, che mirano al trattamento di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati. (72) Vi sono circostanze in cui può essere ragionevole ed economico effettuare una valutazione d’impatto sulla protezione dei dati che verta su un oggetto più ampio di un unico progetto, per esempio quando autorità o enti pubblici intendono istituire un’applicazione o una piattaforma di trattamento comune o quando diversi responsabili del trattamento progettano di introdurre un’applicazione o un ambiente di trattamento comune in un settore o segmento industriale o per una attività trasversale ampiamente utilizzata. (73) È necessario che un’autorità pubblica o un ente pubblico procedano a una valutazione d’impatto sulla protezione dei dati se ciò non è già stato fatto in vista dell’adozione della legge nazionale che disciplina i compiti dell’autorità pubblica o dell’ente pubblico e lo specifico trattamento o insieme di trattamenti. (74) Se dalla valutazione d’impatto sulla protezione dei dati risulta che operazioni di trattamento o l’uso di nuove particolari tecnologie espongono i diritti e le libertà degli interessati a un grado elevato di rischi specifici, privandoli ad esempio di un diritto, l’autorità di controllo deve essere consultata prima dell’inizio delle operazioni, affinché verifichi se un trattamento rischioso sia conforme al presente regolamento e formuli proposte per ovviare a tale situazione. Siffatta consultazione deve aver luogo anche durante l’elaborazione di una proposta legislativa del parlamento nazionale o di una misura basata su quella proposta legislativa, che definisca la natura del trattamento e precisi le garanzie appropriate. (75) Per i trattamenti effettuati nel settore pubblico o per i trattamenti effettuati nel settore privato da una grande impresa o da un’impresa, a prescindere dalle sue dimensioni, le cui attività principali implicano operazioni di trattamento che richiedono un monitoraggio regolare e sistematico, il responsabile del trattamento o l’incaricato del trattamento deve essere assistito da un’altra persona nel controllo del rispetto interno del presente regolamento. Tali “responsabili della protezione dei dati”, dipendenti o meno del responsabile del trattamento, devono essere in grado di esercitare le loro funzioni e compiti in modo indipendente. (76) Le associazioni o altre organizzazioni rappresentative dei responsabili del trattamento devono essere incoraggiate ad elaborare codici di condotta, nei limiti del presente regolamento, in modo da facilitarne l’effettiva applicazione, tenendo conto delle caratteristiche specifiche delle operazioni effettuate in alcuni settori. (77) Al fine di migliorare la trasparenza e il rispetto del presente regolamento deve essere incoraggiata l’istituzione di meccanismi di certificazione, sigilli e marchi di protezione dei dati che consentano agli interessati di valutare rapidamente il livello di protezione dei dati dei relativi prodotti e servizi. (78) I flussi transfrontalieri di dati personali sono necessari per l’espansione del commercio internazionale e della cooperazione internazionale. L’aumento di tali flussi ha posto nuove sfide e problemi riguardanti la protezione dei dati personali. È importante però che quando i dati personali sono trasferiti dall’Unione a paesi terzi o a organizzazioni internazionali non sia compromesso il livello di protezione delle persone garantito nell’Unione dal presente regolamento. In ogni caso, i trasferimenti di dati verso paesi terzi possono soltanto essere effettuati nel pieno rispetto del presente regolamento. (79) Il presente regolamento lascia impregiudicate le disposizioni degli accordi internazionali conclusi tra l’Unione e i paesi terzi che disciplinano il trasferimento di dati personali, comprese adeguate garanzie per gli interessati. (80) La Commissione può decidere, con effetto nell’intera Unione europea, che taluni paesi terzi, o un territorio o settore di trattamento all’interno di un paese terzo, o un’organizzazione internazionale offrono un livello adeguato di protezione dei dati, garantendo in tal modo la certezza del diritto e l’uniformità in tutta l’Unione nei confronti dei paesi terzi o delle organizzazioni internazionali che si ritiene offrano un livello di protezione adeguato. In questi casi, i trasferimenti di dati personali possono avere luogo senza ulteriori autorizzazioni. (81) In linea con i valori fondamentali su cui è fondata l’Unione, in particolare la tutela dei diritti dell’uomo, è opportuno che la Commissione, nella sua valutazione del paese terzo, tenga conto del modo in cui tale paese rispetta lo stato di diritto, l’accesso alla giustizia e le norme e gli standard internazionali in materia di diritti dell’uomo. (82) La Commissione può anche riconoscere che un paese terzo, o un territorio o settore di trattamento all’interno del paese terzo, o un’organizzazione internazionale non offra un adeguato livello di protezione dei dati, nel qual caso il trasferimento di dati personali verso tale paese terzo deve essere vietato. È altresì opportuno prevedere consultazioni tra la Commissione e detti paesi terzi od organizzazioni internazionali. (83) In mancanza di una decisione di adeguatezza, il responsabile del trattamento o l’incaricato del trattamento deve provvedere a compensare la carenza di protezione dei dati in un paese terzo con adeguate garanzie a tutela dell’interessato. Tali adeguate garanzie possono consistere nell’applicazione di norme vincolanti d’impresa, clausole di protezione dei dati adottate dalla Commissione, clausole tipo di protezione dei dati adottate da un’autorità di controllo o clausole contrattuali autorizzate da un’autorità di controllo, o altre opportune misure proporzionate e giustificate alla luce di tutte le circostanze relative ad un trasferimento o ad un insieme di trasferimenti di dati e nei casi autorizzati da un’autorità di controllo. (84) La possibilità che il responsabile del trattamento o l’incaricato del trattamento utilizzi clausole tipo di protezione dei dati adottate dalla Commissione o da un’autorità di controllo non deve precludere ai responsabili del trattamento o agli incaricati del trattamento la possibilità di includere tali clausole tipo in un contratto più ampio né di aggiungere altre clausole, purché non contraddicano, direttamente o indirettamente, le clausole contrattuali tipo adottate dalla Commissione o da un’autorità di controllo o ledano i diritti o le libertà fondamentali degli interessati. (85) Un gruppo di imprese deve poter applicare le norme vincolanti d’impresa approvate per i trasferimenti internazionali dall’Unione agli organismi dello stesso gruppo di imprese, purché tali norme contemplino principi fondamentali e diritti azionabili in giudizio che costituiscano adeguate garanzie per i trasferimenti o categorie di trasferimenti di dati personali. (86) È opportuno prevedere la possibilità di trasferire dati in alcune circostanze se l’interessato ha acconsentito, se il trasferimento è necessario in relazione ad un contratto o un’azione legale, se sussistono motivi di rilevante interesse pubblico previsti dalla legislazione di uno Stato membro o dell’Unione o se i dati sono trasferiti da un registro stabilito per legge e destinato ad essere consultato dal pubblico o dalle persone aventi un legittimo interesse. In quest’ultimo caso, il trasferimento non deve riguardare la totalità dei dati o delle categorie di dati contenuti nel registro; inoltre, quando il registro è destinato ad essere consultato dalle persone aventi un legittimo interesse, i dati possono essere trasferiti soltanto se tali persone lo richiedono o ne sono destinatarie. (87) Tali deroghe devono in particolare valere per i trasferimenti di dati richiesti e necessari per la protezione di motivi di interesse pubblico rilevante, ad esempio nel caso di trasferimenti internazionali di dati tra autorità garanti della concorrenza, amministrazioni fiscali o doganali, autorità di controllo finanziario, tra i servizi competenti in materia di sicurezza sociale o verso autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati. (88) Potrebbero altresì essere autorizzati anche i trasferimenti non qualificabili come frequenti o massicci ai fini dei legittimi interessi del responsabile del trattamento o dell’incaricato del trattamento, dopo che questi abbia valutato tutte le circostanze relative al trasferimento. Ai fini del trattamento per finalità storiche, statistiche e di ricerca scientifica, si deve tener conto delle legittime aspettative della società nei confronti di un miglioramento delle conoscenze. (89) In ogni caso, se la Commissione non ha preso alcuna decisione circa il livello adeguato di protezione dei dati di un paese terzo, il responsabile del trattamento o l’incaricato del trattamento deve ricorrere a soluzioni che diano all’interessato la garanzia che continuerà a beneficiare dei diritti e delle garanzie fondamentali previste dall’Unione in relazione al trattamento dei dati personali, anche dopo il trasferimento. (90) Alcuni paesi terzi adottano leggi, regolamenti e altri strumenti legislativi finalizzati a disciplinare direttamente le attività di trattamento dati di persone fisiche e giuridiche poste sotto la giurisdizione degli Stati membri. L’applicazione extraterritoriale di tali leggi, regolamenti e altri strumenti legislativi potrebbe essere contraria al diritto internazionale e ostacolare il conseguimento della tutela delle persone garantita nell’Unione con il presente regolamento. I trasferimenti dovrebbero quindi essere consentiti solo se ricorrono le condizioni previste dal presente regolamento per i trasferimenti a paesi terzi. Ciò vale tra l’altro quando la divulgazione è necessaria per un motivo di interesse pubblico rilevante riconosciuto dal diritto dell’Unione o dello Stato membro cui è soggetto il responsabile del trattamento. Occorre che la Commissione