CELEX: 51990PC0314(01)
Language: it
Date: 1990-09-13
Title: PROPOSTA DI DIRETTIVA DEL CONSIGLIO CONCERNENTE LA PROTEZIONE DELLE PERSONE RELATIVAMENTE AL TRATTAMENTO DEI DATI PERSONALI

5. 11. 90                                    Gazzetta ufficiale delle Comunità europee                                  N. C 277/3
               Proposta di direttiva del Consiglio concernente la protezione delle persone relativamente al
                                                    trattamento dei dati personali
                                                   COM(90) 314 def. — SYN 287
                                        (Presentata dalla Commissione il 27 luglio 1990)
                                                            (90/C 277/03)
IL CONSIGLIO DELLE COMUNITÀ EUROPEE,                                  (4)  considerando che il rafforzamento della cooperazione
                                                                           scientifica e tecnica e l'istituzione coordinata di nuove
                                                                           reti di telecomunicazioni nella Comunità richiedono e
visto il trattato che istituisce la Comunità economica                     facilitano la circolazione transfrontaliera di dati
europea, in particolare l'articolo 100A e l'articolo 113,                  personali ;
                                                                      (5) considerando che il divario nei livelli di protezione
vista la proposta della Commissione,
                                                                          della vita privata garantiti negli Stati membri
                                                                           relativamente al trattamento di dati personali può
                                                                          impedire la trasmissione dei dati stessi dal territorio di
in cooperazione con il Parlamento europeo,                                uno Stato membro a quello di un altro e può pertanto
                                                                          costituire un ostacolo all'esercizio di una serie di
                                                                           attività economiche su scala comunitaria, falsare la
                                                                          concorrenza e ostacolare, nell'adempimento dei loro
visto il parere del Comitato economico e sociale,
                                                                          compiti, le amministrazioni che intervengono nell'ap-
                                                                          plicazione del diritto comunitario; che detto divario
                                                                          nei livelli di protezione deriva dalla disparità delle
(1)  considerando che gli obiettivi della Comunità,                       disposizioni legislative, regolamentari ed amministra-
     enunciati nel trattato quale modificato dall'atto unico              tive nazionali;
     europeo, mirano a realizzare un'unione sempre più
     stretta tra i popoli europei, a istituire relazioni più
     strette tra gli Stati che la Comunità riunisce, ad               (6) considerando che, per eliminare gli ostacoli alla
     assicurare mediante un'azione comune il progresso                    circolazione dei dati personali, il livello di protezione
     economico e sociale elimando le barriere che dividono                della vita privata relativamente al trattamento di tali
     l'Europa, a promuovere il miglioramento costante                     dati deve essere equivalente in tutti gli Stati membri ;
     delle condizioni di vita, a rafforzare le difese della pace          che, a tal fine, è necessario un ravvicinamento delle
     e della libertà e a promuovere la democrazia basandosi               legislazioni applicabili in materia;
     sui diritti fondamentali sanciti dalle costituzioni e
     dalle leggi degli Stati membri e dalla convenzione per
     la salvaguardia del diritti dell'uomo e delle libertà            (7) considerando che le legislazioni nazionali relative al
     fondamentali ;                                                       trattamento dei dati personali hanno lo scopo di
                                                                          garantire il rispetto dei diritti fondamentali, in
                                                                          particolare il diritto alla vita privata, riconosciuto
(2)  considerando che la realizzazione e il funzionamento                  anche dall'articolo 8 della convenzione per la
     del mercato interno, nel quale, conformemente                         salvaguardia dei diritti dell'uomo e delle libertà
     all'articolo 8 A del trattato CEE, è assicurata la libera             fondamentali e dai principi generali del diritto
     circolazione delle merci, delle persone, dei servizi e dei            comunitario ; che pertanto il ravvicinamento di dette
     capitali, esigono non solo che i dati personali possano               legislazioni non deve avere per effetto un indebolimen-
     circolare, qualunque sia lo Stato membro in cui sono                  to della protezione da esse assicurata ma deve anzi
     stati trattati o richiesti, ma anche che siano salvaguar-             mirare a garantire un elevato livello di protezione nella
     dati i diritti fondamentali, tenuto conto del ricorso                 Comunità ;
     sempre più frequente nella Comunità al trattamento di
     dati personali nei vari settori delle attività economiche
     e sociali ;                                                      (8) considerando che i principi della protezione della vita
                                                                          privata relativamente al trattamento di dati personali
                                                                           oggetto della presente direttiva potranno essere
(3)  considerando che il mercato interno comporta uno                      completati o precisati, in particolare per taluni settori,
     spazio senza frontiere; che, pertanto, le amministra-                da norme specifiche ad essi conformi ;
     zioni nazionali dei vari Stati membri, in applicazione
     del diritto comunitario, debbono sempre più spesso
     ricorrere alla reciproca collaborazione e allo scambio           (9)  considerando che i principi relativi alla protezione si
     di dati personali per poter svolgere la loro funzione o               devono applicare a tutti gli archivi quando le attività
     esercitare compiti per conto di un'amministrazione di                 del responsabile dell'archivio rientrano nel campo
     un altro Stato membro;                                                d'applicazione del diritto comunitario ; che gli archivi
 ---pagebreak--- N. C 277/4                                  Gazzetta ufficiale delle Comunità europee                                     5. 11. 90
     del settore pubblico che non rientrano nel campo                (16) considerando che, ai fini di un eventuale trattamento, i
     d'applicazione del diritto comunitario dovrebbero                     dati devono rispondere a determinati requisiti ; che il
     essere soggetti agli stessi principi della protezione                 trattamento di dati di per sé suscettibili di nuocere al
     figuranti nelle legislazioni nazionali, come prevede la               diritto alla vita privata deve essere vietato salvo
     risoluzione dei rappresentanti dei governi degli Stati                consenso esplicito della persona interessata; che
     membri delle Comunità europee riuniti in sede di                      tuttavia, per motivi importanti d'interesse pubblico, in
     Consiglio il... ; che, tuttavia, devono essere esclusi gli            particolare per le professioni mediche, possono essere
     archivi riguardanti esclusivamente l'esercizio del                    previste deroghe in base ad una legge che fissi
     diritto alla vita privata di una persona fisica, quali ad             esattamente e rigorosamente le condizioni e i limiti del
     esempio gli archivi personali d'indirizzi;                            trattamento di tale tipo di dati;
(10) considerando che è necessario che il trattamento di             (17) considerando che la protezione della vita privata
     dati personali nella Comunità rispetti la legislazione                relativamente al trattamento di dati personali richiede
     dello Stato membro nel quale si trova l'archivio, onde                l'adozione di misure di sicurezza adeguate a livello sia
     evitare che una persona venga privata della protezione                della progettazione che della tecnologia del trattamen-
     che deve esserle garantita a norma della presente                     to al fine di impedire eventuali trattamenti non
     direttiva ; che, a questo proposito, tutte le parti di un             autorizzati ;
     archivio suddiviso tra più Stati membri devono essere
     considerate come un archivio unico a tutti gli effetti ;
     che lo spostamento in un paese terzo non deve                   (18) considerando che nel settore dei media gli Stati
     impedire tale protezione;                                             membri possono derogare alle disposizioni della
                                                                           presente direttiva se ed in quanto esse siano intese a
                                                                           conciliare il diritto alla vita privata con la libertà
                                                                           d'informazione e il diritto di ricevere o di comunicare
(11) considerando che qualsivoglia trattamento di dati                     informazioni, quale garantito dall'articolo 10 della
     personali deve essere legittimo ; che la sua legittimità              convenzione per la salvaguardia dei diritti dell'uomo e
     deve basarsi sul consenso della persona interessata, sul              delle libertà fondamentali;
     diritto comunitario o sulle legislazioni nazionali;
                                                                     (19) considerando che gli Stati membri devono incoraggia-
(12) considerando che le legislazioni nazionali hanno la                   re l'elaborazione, da parte degli ambienti professiona-
     possibilità di precisare, nelle condizioni stabilite dalla            li, di codici di deontologia o di buona condotta
     direttiva, le norme relative alla legittimità del                     europei concernenti taluni settori particolari; che la
     trattamento; che, tuttavia, tale possibilità non può                  Commissione appoggerà le iniziative in materia e ne
     servire a giustificare il controllo da parte di uno Stato             terrà conto al momento di valutare l'opportunità di
     membro diverso dallo Stato in cui si trova l'archivio,                nuove misure specifiche per taluni settori ;
     poiché l'obbligo incombente a quest'ultimo di garanti-
     re, conformemente alla presente direttiva, la protezio-
     ne della vita privata relativamente al trattamento di           (20) considerando che in caso di inosservanza delle
     dati personali è sufficiente, sotto il profilo del diritto            disposizioni della presente direttiva il responsabile
     comunitario, per consentire la libera circolazione dei                dell'archivio deve essere considerato responsabile dei
     dati;                                                                 danni provocati; che, per assicurare una protezione
                                                                           effettiva, si devono applicare sanzioni dissuasive;
(13) considerando che le procedure di notifica, per gli
     archivi del settore pubblico o privato, e d'informazio-         (21) considerando che è altresì necessario che il trasferi-
     ne al momento della prima comunicazione, per gli                      mento di dati personali possa aver luogo con i paesi
     archivi del settore privato, sono volte a garantire la                terzi aventi un livello di protezione adeguato ; che, in
     trasparenza indispensabile all'esercizio del diritto di               assenza di tale protezione nei paesi terzi, la presente
     accesso di qualsiasi persona ai dati che la riguardano ;              direttiva prevede, in particolare, l'avvio di negoziati
                                                                           con i medesimi;
(14) considerando che, alla persona interessata, devono               (22) considerando che i principi fissati dalla presente
     essere fornite, perché il suo consenso sia valido a                   direttiva precisano ed ampliano quelli enunciati dalla
     quando i dati che la riguardano sono raccolti                         convenzione del 28 gennaio 1981 del Consiglio
     direttamente presso di essa, informazioni accurate e                  d'Europa sulla protezione delle persone rispetto al
     complete ;                                                            trattamento automatizzato dei dati di carattere
                                                                           personale ;
(15) considerando che la persona interessata deve godere
     del diritto d'accesso per poter verificare la legittimità        (23) considerando che l'esistenza in ciascuno Stato mem-
     del trattamento dei dati che la riguardao e la loro                   bro di un'autorità di controllo indipendente è un
     qualità ;                                                             elemento essenziale della protezione delle persone
 ---pagebreak--- 5. 11. 90                                      Gazzetta ufficiale delle Comunità europee                                   N. C 277/5
       riguardo al trattamento di dati personali ; che a livello            siti, sottoposti a trattamento automatizzato oppure che,
       comunitario è opportuno istituire un gruppo per la                   pur non essendovi sottoposti, sono strutturati ed
       protezione dei dati personali che eserciti le sue                    accessibili in una raccolta organizzata secondo criteri
       funzioni in piena indipendenza ; che, tenuto conto di                tali da facilitarne l'utilizzo o l'interconnessione;
       tale sua caratteristica specifica, esso deve consigliare la
       Commissione e contribuire all'applicazione omogenea
                                                                        d) « trattamento » : le operazioni, effettuate con o senza
       delle norme nazionali adottate in applicazione della
                                                                            l'aiuto di procedimenti automatizzati: memorizzazio-
       presente direttiva ;
                                                                            ne, archiviazione, interconnessione di dati, loro modifi-
                                                                            ca, utilizzo e comunicazione, in particolare la trasmis-
(24) considerando che l'adozione delle misure complemen-                    sione, la divulgazione, la selezione, nonché il congela-
       tari per l'applicazione dei principi della presente                  mento e la cancellazione;
       direttiva impone di attribuire alla Commissione un
       potere regolamentare e di istituire un comitato
       consultivo secondo le modalità fissate nella decisione           e) «responsabile dell'archivo » : la persona fisica o
       87/373/CEE del Consiglio (*),                                        giuridica, l'autorità pubblica, il servizio o qualsiasi altro
                                                                            organismo cui compete, secondo il diritto comunitario o
                                                                            il diritto interno di uno Stato membro, la decisione in
                                                                            materia di finalità dell'archivio, scelta delle categorie di
HA ADOTTATO LA PRESENTE DIRETTIVA :
                                                                            dati personali da memorizzare, operazioni da effettuare,
                                                                            accesso di terzi;
                              CAPO I                                    f) « autorità di controllo » : l'autorità pubblica indipen-
                    DISPOSIZIONI GENERALI                                   dente, o qualsiasi altro organismo indipendente,
                                                                            designati da ciascuno Stato membro conformemente
                             Articolo 1                                     all'articolo 26 della presente direttiva ;
                     Oggetto della direttiva
                                                                        g) «settore pubblico»: l'insieme delle amministrazioni,
1. Gli Stati membri garantiscono, conformemente alle                        degli organismi o enti di diritto pubblico di uno Stato
disposizioni della presente direttiva, la protezione della vita             membro, ad eccezione di quelli che svolgono un'attività
privata delle persone relativamente al trattamento di dati                  industriale o commerciale, nonché gli organismi ed enti
personali contenuti in archivi.                                             di diritto privato qualora partecipino all'esercizio
                                                                            dell'autorità pubblica ;
2. Gli Stati membri non possono, per motivi relativi alla
protezione garantita a norma del paragrafo 1, restringere o             h) « settore privato » : qualsiasi persona fisica o giuridica o
vietare la libera circolazione dei dati personali tra Stati                 associazione, ivi compresi le amministrazioni, gli
membri.                                                                     organismi o enti del settore pubblico che esercitano
                                                                            un'attività industriale o commerciale.
                             Articolo 2
                                                                                                    Articolo 3
                             Definizioni
                                                                                             Campo d'applicazione
Ai fini della presente direttiva si intende per:
a) « dati personali » : qualsisiasi informazione concernente             1. Gli Stati membri applicano le disposizioni della
     una persona fisica identificata o identificabile («perso-           presente direttiva agli archivi del settore privato e del
     na interessata ») ; in particolare si considera identificabi-       settore pubblico, ad esclusione degli archivi del settore
     le la persona che può essere identificata mediante                  pubblico la cui attività non rientra nel campo d'applicazio-
     riferimento ad un numero d'identificazione o a                      ne del diritto comunitario.
     un'informazione analoga ;
                                                                         2. Le disposizioni della presente direttiva non si applica-
b) « rendere anonimi i dati » : una modifica dei dati                    no agli archivi:
     personali in modo che le informazioni ivi contenute non
     possano più essere associate ad una persona fisica
     determinata o determinabile, salvo mediante uno sforzo              a) detenuti da una persona fisica esclusivamente a fini
     eccessivo in termini di personale, spese e tempo;                       privati e personali, o
 e) « l'archivio di dati personali » (archivio) : qualsiasi              b) detenuti da associazioni senza scopo di lucro, in
     insieme di dati personali, centralizzati o ripartiti in vari            particolare a carattere politico, filosofico, religioso,
                                                                             culturale, sindacale, sportivo o ricreativo, nel quadro
                                                                             del loro scopo legittimo, a condizione che riguardino
 (!) GU n. L 197 del 18. 7. 1987, pag. 33.                                   unicamente i membri e i corrispondenti dell'associazio-
 ---pagebreak--- N. C 277/6                                   Gazzetta ufficiale delle Comunità europee                                      5. 11. 90
    ne che hanno acconsentito a figurarvi e che non siano                 — il trattamento è necessario per prevenire una
    comunicati a terzi.                                                       minaccia imminente all'ordine pubblico oppure una
                                                                              grave violazione del diritto di terzi.
                           Articolo 4
                                                                                                 Articolo 6
                       Diritto applicabile
1. Ciascuno Stato membro applica le disposizioni della                  Trattamento nel settore pubblico avente per oggetto la
presente direttiva :                                                                 comunicazione di dati personali
a) a tutti gli archivi situati sul suo territorio;                    1. Gli Stati membri dispongono nella loro legislazione
                                                                      che la comunicazione di dati personali contenuti negli
b) al responsabile dell'archivio che risiede nel suo                  archivi di un organismo del settore pubblico è legittima
    territorio e che, a partire da questo, utilizza un archivio       soltanto :
    situato in un paese terzo la cui legislazione non prevede
    un livello di protezione adeguato, salvo in caso di
                                                                      a) quando sia necessaria per lo svolgimento dei compiti
    utilizzazione sporadica.
                                                                          attribuiti all'organismo del settore pubblico che
                                                                          comunica o chiede la comunicazione di detti dati, o
2. Ciascuno Stato membro applica le disposizioni degli
articoli 5, 6, 8, 9, 10, 17, 18 e 21 all'utente che consulti un
archivio situato in un paese terzo a partire da un terminale          b) su richiesta di una persona fisica o giuridica del settore
che si trova nel territorio di uno Stato membro, salvo in                 privato che invochi un interesse legittimo, a condizione
caso di utilizzazione sporadica.                                          che non prevalga l'interesse della persona interessata.
3. Qualora un archivio sia temporaneamente trasferito                 2. Fatte salve le disposizioni di cui al paragrafo 1, gli Stati
da uno Stato membro ad un altro Stato membro,                         membri possono precisare le condizioni alle quali la
quest'ultimo non oppone ostacoli e non esige formalità                comunicazione di dati personali è legittima.
addizionali rispetto alle norme applicabili nello Stato
membro in cui si trova permanentemente l'archivio.
                                                                      3. Gli Stati membri dispongono nella loro legislazione
                                                                      che, nei casi contemplati dal paragrafo 1, lettera b), il
                                                                      responsabile dell'archivio informa le persone interessate in
                             CAPO II                                  merito alla comunicazione dei loro dati personali. Essi
                                                                      possono disporre che tale informazione sia sostituita da
            LEGITTIMITÀ DEL TRATTAMENTO                               un'autorizzazione preventiva dell'autorità di controllo.
                   NEL SETTORE PUBBLICO
                           Articolo 5
                                                                                                Articolo 7
                             Principi
1. Fatte salve le disposizioni dell'articolo 6, gli Stati                     Obbligo di notifica all'autorità di controllo
membri dispongono nella loro legislazione relativa agli
archivi del settore pubblico che :
                                                                      1. Gli Stati membri dispongono nella loro legislazione
                                                                      che la creazione di un archivio del settore pubblico
a) la creazione di un archivio e qualsivoglia altro
                                                                      contenente dati personali che potrebbero essere comunicati
    trattamento di dati personali sono legittimi se ed in
                                                                      deve essere preventivamente notificata all'autorità di
    quanto siano necessari per lo svolgimento dei compiti
                                                                      controllo, che l'annota in un apposito registro. Il registro
    dell'autorità pubblica responsabile dell'archivio;
                                                                      può essere consultato da qualsiasi persona.
b) il trattamento di dati per una finalità diversa da quella
    per cui è stato costituito l'archivio è legittimo quando :        2. Gli Stati membri definiscono le informazioni che
                                                                      devono essere notificate all'autorità di controllo. Esse
    — la persona interessata vi acconsente, o                         comprendono almeno il nome e l'indirizzo del responsabile
                                                                      dell'archivio, la finalità dell'archivio, una descrizione dei
                                                                      tipi di dati ivi memorizzati, i terzi cui i dati possono essere
    — il trattamento viene effettuato in base al diritto
                                                                      comunicati e una descrizione delle misure adottate in
        comunitario o ad una legge o a un atto giuridico
                                                                      applicazione dell'articolo 18.
        adottato in applicazione di una legge di uno Stato
        membro conforme alla presente direttiva che lo
        autorizzi e ne fissi i limiti, o                              3. Gli Stati membri possono stabilire che le disposizioni
                                                                      dei paragrafi 1 e 2 si applicano ad altri archivi del settore
    — a tale mutamento di finalità non si oppone un                   pubblico e che la consultazione del registro può essere
        interesse legittimo della persona interessata, o              limitata per i motivi di cui all'articolo 15, paragrafo 1.
 ---pagebreak--- 5. 11. 90                                  Gazzetta ufficiale delle Comunità europee                                  N. C 277/7
                           CAPO III                                                           Articolo 10
            LEGITTIMITÀ DEL TRATTAMENTO
                   NEL SETTORE PRIVATO                                      Deroghe particolari all'obbligo d'informare
                                                                                        la persona interessata
                          Articolo 8
                            Principi                                Qualora l'informazione della persona interessata, confor-
                                                                    memente all'articolo 9, paragrafo 1, si riveli impossibile o
1. Gli Stati membri dispongono nella loro legislazione              comporti sforzi sproporzionati, oppure contrasti con
che, senza il consenso della persona interessata, la                interessi legittimi preminenti del responsabile dell'archivio
memorizzazione in un archivio e qualsiasi altro tipo di             o con un interesse analogo di un terzo, gli Stati membri
trattamento di dati personali sono legittimi soltanto nel           possono stabilire nella loro legislazione che l'autorità di
rispetto delle disposizioni della presente direttiva e a            controllo può autorizzare una deroga.
condizione che :
a) il trattamento abbia luogo nel quadro di un contratto, di                                  Articolo 11
    un rapporto di fiducia quasi contrattuale, con la
    persona interessata e sia necessario all'esecuzione del
    medesimo, o                                                             Obbligo di notifica all'autorità di controllo
b) i dati provengano da fonti generalmente accessibili al           1. Gli Stati membri stabiliscono nella loro legislazione
    pubblico e il loro trattamento sia destinato unicamente         che il responsabile dell'archivio notifica la creazione di un
    alla corrispondenza, o                                          archivio di dati personali quando i dati sono destinati ad
                                                                    essere comunicati e non provengono da fonti generalmente
                                                                    accessibili al pubblico. La notifica deve essere fatta
e) il responsabile dell'archivio persegua un interesse              all'autorità di controllo dello Stato membro in cui si trova
    legittimo, purché non prevalga l'interesse della persona        l'archivio oppure, se l'archivio non è situato in uno Stato
    interessata.                                                    membro, all'autorità di controllo dello Stato membro di
                                                                    residenza del responsabile. Il responsabile dell'archivio
2. Gli Stati membri dispongono nella loro legislazione              notifica alle autorità nazionali competenti qualsiasi
che il responsabile dell'archivio deve accertarsi, che              mutamento di finalità dell'archivio o del suo indirizzo.
nessuna comunicazione sia incompatibile con la finalità
dell'archivio e contraria all'ordine pubblico. Gli stessi
                                                                    2. Gli Stati membri definiscono le informazioni che
obblighi incombono all'utente in caso di consultazione in
                                                                    devono essere notificate all'autorità di controllo. Esse
linea.
                                                                    devono comprendere almeno il nome e l'indirizzo del
                                                                    responsabile dell'archivio, la finalità dell'archivio, una
3. Fatte salve le disposizioni di cui al paragrafo 1, gli Stati     descrizione dei tipi di dati ivi contenuti, i terzi cui sono
membri possono precisare le condizioni nelle quali è                eventualmente comunicati i dati e una descrizione delle
legittimo il trattamento di dati personali.                         misure adottate in applicazione dell'articolo 18.
                                                                    3. Gli Stati membri possono stabilire che le disposizioni
                          Artìcolo 9                                di cui ai paragrafi 1 e 2 si applicano ad altri archivi del
                                                                    settore privato e che le informazioni contemplate dal
         Obbligo d'informare la persona interessata                 paragrafo 2 sono accessibili al pubblico.
1. Per il settore privato, gli Stati membri stabiliscono
nella loro legislazione che, in occasione della prima
comunicazione o dell'apertura di una possibilità di                                            CAPO IV
consultazione in linea, il responsabile ne informa la
persona interessata ed indica inoltre la finalità dell'archi-                 DIRITTI DELLA PERSONA INTERESSATA
vio, i tipi di dati ivi contenuti, il suo nome e indirizzo.
                                                                                              Articolo 12
2. L'informazione di cui al paragrafo 1 non è obbligatoria                        Informazioni ai fini del consenso
nel caso contemplato dall'articolo 8, paragrafo 1, lettera b).
L'obbligo d'informare le persone interessate non sussiste            Il consenso della persona interessata a un trattamento di
quando la comunicazione è prevista per legge.                        dati personali ai sensi della presente direttiva è valido
                                                                     solfante se:
3. Qualora la persona interessata sia contraria alla
comunicazione o a qualsiasi altro trattamento, il responsa-          a) la persona dispone delle seguenti informazioni:
bile dell'archivio è tenuto a porre termine al trattamento
contestato a meno che non vi sia esplicitamente autorizzato
da una disposizione giuridica.                                           — le finalità dell'archivio e i tipi di dati memorizzati ;
 ---pagebreak--- N. C 277/8                                   Gazzetta ufficiale delle Comunità europee                                      5. 11. 90
    — il tipo di utilizzazione e, se del caso, i destinatari dei      3) di conoscere l'esistenza di un'archivio, le sue finalità
        dati personali contenuti nell'archivio ;                          principali nonché l'identità e la residenza abituale, la
                                                                          sede o il domicilio del responsabile dell'archivio;
    — il nome e l'indirizzo del responsabile dell'archivio ;
                                                                      4) di ottenere a intervalli ragionevoli e senza ritardi o spese
                                                                          eccessive, la conferma dell'esistenza o meno in un
b) è specifico ed esplicito e precisa i tipi di dati, le forme di
                                                                          archivio di dati personali che la riguardano e la loro
    trattamento e gli eventuali destinatari ;
                                                                          comunicazione in forma intelligibile.
e) può essere revocato dalla persona interessata in                       Gli Stati membri possono disporre che il diritto di
    qualsiasi momento senza effetto retroattivo.                          accesso ai dati a carattere medico può essere esercitato
                                                                          soltanto per il tramite di un medico ;
                          Articolo 13                                 5) di ottenere, se del caso, la rettifica, la cancellazione o il
                                                                          congelamento di tali dati qualora il trattamento non sia
    L'informazione al momento della raccolta dei dati                     conforme alle disposizioni della presente direttiva ;
 1. Gli Stati membri garantiscono alle persone presso le              6) di ottenere, su richiesta, la cancellazione gratuita dei
quali viene effettuata una raccolta di dati personali il diritto          dati che la riguardano memorizzati in archivi contenenti
di essere almeno informate in merito :                                    informazioni in materia di ricerche di mercato o di
                                                                          pubblicità.
a) alle finalità dell'archivio cui sono destinate le informa-
                                                                      7) di ottenere, in caso di applicazione del paragrafo 5 del
    zioni,
                                                                          presente articolo e qualora i dati siano stati comunicati
                                                                          a terzi, la notifica a questi ultimi della loro rettifica,
b) alla natura obbligatoria o volontaria della loro risposta              cancellazione o congelamento ;
    alle domande oggetto della raccolta,
                                                                      8) di disporre di un mezzo di ricorso giurisdizionale in caso
e) alle conseguenze nei loro confronti di un eventuale                    di violazione dei diritti garantiti dal presente articolo.
    rifiuto di rispondere,
                                                                                                Articolo 15
d) ai destinatari delle informazioni,
                                                                        Deroghe al diritto di accesso della persona interessata
e) all'esistenza del diritto di accesso e di rettifica dei loro
                                                                                     agli archivi del settore pubblico
    dati personali,
                                                                      1. Gli Stati membri possono limitare per legge i diritti
f) al nome e indirizzo del responsabile dell'archivio.                enunciati nei punti 3 e 4 dell'articolo 14 per motivi
                                                                      concernenti :
2. Le disposizioni del paragrafo 1 non si applicano alla
raccolta delle informazioni quando l'informazione della               a) la sicurezza dello Stato,
persona interessata impedirebbe l'esercizio delle funzioni di
controllo e di verifica dell'autorità pubblica o il manteni-
                                                                      b) la difesa,
mento dell'ordine pubblico.
                                                                      e) procedimenti penali,
                          Articolo 14
                                                                      d) la pubblica sicurezza,
      Diritti complementari della persona interessata                 e) un interesse economico e finanziario imperativo,
                                                                          debitamente giustificato, di uno Stato membro o della
Gli Stati membri riconoscono alla persona interessata il                  Comunità,
diritto :
                                                                      f) la necessità dell'autorità pubblica di esercitare funzione
1) di opporsi, per motivi legittimi, al trattamento di dati               di controllo o di ispezione,
    personali che la riguardano;
                                                                      g) un diritto equivalente di un'altra persona o diritti e
2) di non essere sottoposta ad una decisione amministrati-                libertà di terzi.
    va o privata che implichi una valutazione del suo
    comportamento avente come unico fondamento un                     2. Nei casi di cui al paragrafo 1, l'autorità di controllo
    trattamento automatizzato di dati personali volto a               deve poter effettuare, su domanda della persona interessa-
    definire il profilo o la personalità dell'interessato;            ta, le necessarie verifiche dell'archivio.
 ---pagebreak--- 5. 11. 90                                    Gazzetta ufficiale delle Comunità europee                                   N. C 277/9
3. Gli Stati membri possono limitare il diritto di accesso                                      Articolo 18
della persona interessata ai dati temporaneamente compi-
lati al fine di ricavare informazioni statistiche.
                                                                                            Sicurezza dei dati
                                                                      1. Gli Stati membri, nella loro legislazione, impogono al
                             CAPO V                                   responsabile dell'archivio l'obbligo di adottare le misure
                                                                      tecniche ed organizzative necessarie per proteggere
                      QUALITÀ DEI DATI                                l'archivio dalla distruzione, accidentale o non autorizzata,
                                                                      dalla perdita accidentale dei dati o dalla loro alterazione,
                           Articolo 16                                dall'accesso non autorizzato a dati personali o da qualsiasi
                             Principi                                 altro trattamento non consentito.
1.   Gli Stati membri dispongono che:                                 Tali misure devono garantire agli archivi automatizzati un
                                                                      adeguato livello di sicurezza tenuto conto, da un lato, delle
                                                                      attuali conoscenze in materia e del costo della loro
a) la raccolta e il trattamento di dati personali devono              applicazione e, d'altro lato, della natura dei dati da
    essere effettuati in maniera leale e legittima ;                  proteggere e della valutazione dei rischi potenziali. A tal
                                                                      fine, il responsabile dell'archivio deve prendere in
b) i dati devono essere memorizzati per finalità ben                  considerazione le raccomandazioni in materia di sicurezza
    determinate, esplicite e legittime ed utilizzati conforme-        informatica e d'interoperatività delle reti adottate dalla
                                                                      Commissione secondo le modalità previste dall'articolo 29.
    mente a tali finalità;
e) i dati devono essere adeguati, pertinenti e non eccessivi          2. Per la trasmissione di dati personali in una rete occorre
    rispetto alle finalità per le quali sono stati memorizzati ;      scegliere metodi atti a fornire un adeguato livello di
                                                                      sicurezza.
d) i dati devono essere esatti, e, se necessario, aggiornati ; i
    dati inesatti o incompleti devono essere cancellati o             3. In caso di consultazione in linea, le installazioni
    rettificati ;                                                     tecniche e il software devono essere predisposti in modo
                                                                      che la consultazione avvenga entro i limiti dell'autorizza-
                                                                      zione concessa dal responsabile dell'archivio.
e) i dati non devono essere conservati sotto una forma che
    consenta l'identificazione delle persone interessate per
    un periodo di tempo superiore a quello necessario alle            4. Gli obblighi di cui ai paragrafi 1, 2 e 3 incombono
    finalità per cui sono stati memorizzati.                          anche alle persone che, di fatto o per contratto, esercitano il
                                                                      controllo sulle operazioni relative ad un archivio.
2. Il responsabile dell'archivio garantisce il rispetto delle
disposizioni contemplate dal paragrafo 1.                             5. Chiunque acceda, nell'esercizio della sua attività
                                                                      professionale, a informazioni contenute in archivi, non può
                                                                      comunicarle a terzi senza l'accordo del responsabile
                                                                      dell'archivio.
                           Articolo 17
                  Categorie particolari di dati
                                                                                                  CAPO VI
1. Gli Stati membri vietano il trattamento automatizzato,
                                                                           DISPOSIZIONI SPECIFICHE PER TALUNI SETTORI
salvo accordo libero, esplicito e scritto dalla persona
interessata, di dati che ne rivelino l'origine razziale ed                                      Articolo 19
etnica, le opinioni politiche, le convinzioni religiose o
filosofiche, l'appartenenza a sindacati, nonché le informa-
zioni relative allo stato di salute e alla vita sessuale.             Al fine di conciliare il diritto alla vita privata con le norme
                                                                      che disciplinano la libertà d'informazione e di stampa, gli
                                                                      Stati membri possono accordare deroghe alla presente
2. Gli Stati membri possono, per importanti motivi                    direttiva a favore degli organismi di stampa e audiovisivi.
d'interesse pubblico, stabilire deroghe alle disposizioni del
paragrafo 1 in base ad una legge che precisi i tipi di dati
memorizzabili, le persone aventi accesso all'archivio
nonché le opportune garanzie contro il rischio d'utilizza-                                      Articolo 20
zione abusiva e di accesso non autorizzato.
3. I dati relativi a condanne penali possono essere                    Gli Stati membri incoraggiano gli ambienti professionali a
conservati soltanto in archivi del settore pubblico.                   partecipare all'elaborazione di codici europei di deontolo-
 ---pagebreak---  N. C 277/10                                 Gazzetta ufficiale delle Comunità europee                                    5. 11. 90
 già o di buona condotta per determinati settori sulla base                                     CAPO Vili
 dei principi contenuti nella presente direttiva.
                                                                                 TRASFERIMENTO DI DATI PERSONALI
                                                                                           VERSO PAESI TERZI
                                                                                               Articolo 24
                                                                                                 Principi
                           CAPO VII
                RESPONSABILITÀ E SANZIONI
                                                                       1. Gli Stati membri dispongono nella loro legislazione
                          Articolo 21                                 che il trasferimento temporaneo o definitivo, verso un
                                                                      paese terzo, di dati personali che formano oggetto di un
                        Responsabilità
                                                                      trattamento, oppure raccolti a tal fine, può aver luogo
                                                                      soltanto a condizione che detto paese garantisca un livello
 1. Gli Stati membri stabiliscono nella loro legislazione             di protezione adeguato.
 che qualsiasi persona i cui dati personali siano memorizzati
 in un archivio e che subisca un danno per effetto del
                                                                      2. Gli Stati membri comunicano alla Commissione i casi
 trattamento o di qualsiasi altra azione incompatibile con le
                                                                      in cui un paese terzo importatore non garantisce un livello
 disposizioni della presente direttiva, ha il diritto di chiedere
                                                                      di protezione adeguato.
 al responsabile dell'archivio un adeguato risarcimento.
2. Gli Stati membri possono disporre che i danni                      3. Qualora la Commissione constati, in base alle
risultanti dalla perdita o dalla distruzione di dati o da un          informazioni degli Stati membri o in base ad altre
accesso non autorizzato non sono imputabili al responsabi-            informazioni, che un paese terzo non dispone di un livello
le dell'archivio se quest'ultimo dimostra di aver adottato le         di protezione adeguato e che la situazione che ne deriva è
opportune misure per conformarsi alle disposizioni degli              pregiudizievole per gli interessi della Comunità e dello
articoli 18 e 22.                                                     Stato membro, essa può avviare negoziati al fine di porvi
                                                                      rimedio.
                          Articolo 22                                 4. La Commissione può decidere, in conformità della
                                                                      procedura definita dall'articolo 30, paragrafo 2, che un
                                                                      paese terzo garatisce un livello di protezione adeguato in
   Trattamento per conto del responsabile dell'archivio               considerazione dei suoi impegni internazionali o della sua
                                                                      legislazione nazionale.
 1. Gli Stati membri dispongono nella loro legislazione
che, in caso di trattamento effettuato per conto del                  5. Le misure adottate a norma del presente articolo sono
responsabile dell'archivio, quest'ultimo deve accertarsi del          conformi agli obblighi incombenti alla Comunità in virtù di
rispetto delle necessarie misure di sicurezza e di organizza-         accordi internazionali, sia bilaterali che multilaterali,
zione e scegliere una persona o un'impresa che fornisca               relativi alla protezione delle persone relativamente al
garanzie sufficienti al riguardo.                                     trattamento automatizzato dei dati personali.
2. Chiunque raccolga o tratti dati personali per conto del
responsabile dell'archivio deve rispettare gli obblighi                                       Articolo 25
contemplati dagli articoli 16 e 18 della presente direttiva.
                                                                                                Deroghe
3. Il contratto deve essere stipulato per iscritto e
specificare, in particolare, che i dati personali non possono
essere divulgati dal prestatario o dai suoi dipendenti senza          1. Uno Stato membro può derogare alle disposizioni
l'accordo del responsabile dell'archivio.                             dell'articolo 24, paragrafo 1, per un determinato trasferi-
                                                                      mento di dati verso un paese terzo, qualora il responsabile
                                                                      dimostri che nel caso di specie esistono sufficienti garanzie
                         Articolo 23                                  relativamente al rispetto di un livello di protezione
                                                                      adeguato. Lo Stato membro può accordare una deroga
                                                                      soltanto dopo averne informato la Commissione e gli Stati
                           Sanzioni                                   membri e se nessuno Stato membro o la Commissione
                                                                      notificano la loro opposizione entro un termini di 10 giorni.
Gli Stati membri prevedono nelle loro legislazioni
l'applicazione di sanzioni dissuasive al fine di garantire il         2. In caso di opposizione, la Commissione adotta le
rispetto delle disposizioni adottate in applicazione della            misure appropriate, secondo la procedura di cui all'articolo
presente direttiva.                                                   30, paragrafo 2.
 ---pagebreak--- 5. 11. 90                                     Gazzetta ufficiale delle Comunità europee                               N. C 277/11
                            CAPO IX                                    a) contribuisce all'interpretazione omogenea delle norme
                                                                           nazionali adottate in applicazione della presente
      AUTORITÀ DI CONTROLLO E GRUPPO PER LA
           PROTEZIONE DEI DATI PERSONALI                                   direttiva ;
                           Articolo 26                                 b) formula un parere sul livello di protezione nella
                    L'autorità di controllo                                Comunità e nei paesi terzi ;
1. Gli Stati membri garantiscono che un'autorità indipen-              e) consiglia la Commissione in merito a progetti di misure
dente competente controlli la protezione dei dati personali.               addizionali o specifiche da adottare ai fini della
Tale autorità ha il compito di sorvegliare l'applicazione                  protezione della vita privata.
delle disposizioni nazionali adottate in applicazione della
presente direttiva e di esercitare tutte le funzioni attribuitele
                                                                       2. Qualora il gruppo per la protezione dei dati personali
dalla presente direttiva.
                                                                       constati tra le legislazioni o prassi degli Stati membri in
                                                                       materia di protezione di dati personali divergenze tali da
2. L'autorità di controllo dispone di mezzi investigativi e            pregiudicare l'equivalenza della protezione nella Comuni-
di poteri effettivi d'intervento contro la creazione e lo              tà, ne informa la Commissione.
sfruttamento di archivi non conformi alle disposizioni della
presente direttiva. A tal fine, essa dispone in particolare del
                                                                       3. Il gruppo per la protezione dei dati personali può
diritto di accesso agli archivi cui si applica la presente
                                                                       formulare raccomandazioni su qualsiasi questione riguar-
direttiva e deve poter raccogliere qualsiasi informazione
                                                                       dante la protezione delle persone per quanto concerne i dati
necessaria all'asercizio della sua funzione di controllo.
                                                                       personali nella Comunità. Le raccomandazioni vengono
                                                                       messe a verbale e possono essere trasmesse al comitato
3. All'autorità di controllo può rivolgersi qualsiasi                  consultivo di cui all'articolo 30. La Commissione informa il
persona che abbia interesse a presentarle una denuncia o un            gruppo per la protezione dei dati personali del seguito da
reclamo concernenti la protezione delle persone in materia             essa dato alle raccomandazioni.
di dati personali.
                                                                       4. Il gruppo per le protezione dei dati personali redige una
                                                                       relazione annuale sullo stato della protezione delle persone
                           Articolo 27                                 per quanto riguarda il trattamento dei dati personali nella
                                                                       Comunità e nei paesi terzi e la trasmette alla Commissione.
        Gruppo per la protezione dei dati personali
1. È istituito un gruppo per la protezione dei dati
personali. Tale gruppo, a carattere consultivo e indipen-                                          CAPO X
dente, è composto dai rappresentanti dell'autorità di                      POTERE REGOLAMENTARE DELLA COMMISSIONE
controllo, prevista dall'articolo 26, di tutti gli Stati membri
ed è presieduto da un rappresentante della Commissione.                                          Articolo 29
                                                                                     Esercizio del potere regolamentare
2. Al segretariato del gruppo per la protezione dei dati
personali provvedono i servizi della Commissione.
                                                                       La Commissione, secondo la procedura di cui all'articolo
                                                                        30, paragrafo 2, stabilisce le modalità tecniche necessarie
3. Il gruppo per la protezione dei dati personali adotta il            per applicare la presente direttiva alle specificità di taluni
proprio regolamento interno.                                            settori, tenuto conto delle conoscenze attuali in materia e
                                                                       dei codici di buona condotta.
4. Il gruppo per la protezione dei dati personali esamina
le questioni iscritte all'ordine del giorno dal suo presidente,
di sua iniziativa o su domanda motivata di un rappresen-                                         Articolo 30
tante delle autorità di controllo, concernenti l'applicazione
delle disposizioni di diritto comunitario in materia di
                                                                                             Comitato consultivo
protezione dei dati personali.
                                                                        1. La Commissione è assistita da un comitato consultivo
                           Articolo 28                                  composto dai rappresentanti degli Stati membri e presiedu-
                                                                        to dal rappresentante della Commissione.
 Compiti del gruppo per la protezione dei dati personali
                                                                        2. Il rappresentante della Commissione sottopone al
                                                                        comitato un progetto delle misure da adottare. Il comitato,
 1.  Il gruppo per la protezione dei dati personali:                    entro un termine che il presidente può fissare in funzione
 ---pagebreak--- N. C 277/12                                  Gazzetta ufficiale delle Comunità europee                                           5. 11. 90
dell'urgenza della questione in esame, formula il suo parere              Le disposizioni adottate in virtù del primo comma fanno
sul progetto eventualmente procedendo a votazione, il                     espresso riferimento alla presente direttiva.
parere è iscritto a verbale ; inoltre, ciascuno Stato membro
ha il diritto di chiedere che la sua posizione figuri a verbale.          2. Gli Stati membri comunicano alla Commissione il
La Commissione tiene in massima considerazione il parere                  testo delle disposizioni di diritto interno che adottano nel
formulato dal comitato. Essa lo informa del modo in cui ha                settore disciplinato dalla presente direttiva.
tenuto conto del suo parere.
                                                                                                    Articolo 32
                                                                          La Commissione presenta periodicamente al Consiglio e al
                      DISPOSIZIONI FINALI
                                                                          Parlamento europeo una relazione sull'applicazione della
                            Articolo 31                                   presente direttiva, accompagnata, se del caso, dalle
                                                                          opportune proposte di modifica.
1. Gli Stati membri mettono in vigore le disposizioni
legislative, regolamentari ed amministrative necessarie per                                         Articolo 33
conformarsi alla presente direttiva entro e non oltre il 1°
gennaio 1993.                                                             Gli Stati membri sono destinatari della presente direttiva.
               Proposta di direttiva del Consiglio sulla protezione dei dati personali e della vita privata
               nell'ambito delle reti digitali pubbliche di telecomunicazione con particolare riferimento all'ISDN
                (rete digitale integrata nei servizi) e alle reti digitali per servizi pubblici di radiotelefonia mobile
                                                   COM(90) 314 def. — SYN 288
                                         (Presentata dalla Commissione il 27 luglio 1990)
                                                              (90/C 277/04)
IL CONSIGLIO DELLE COMUNITÀ EUROPEE                                             apparecchiature di telecomunicazione entro il
                                                                                1992 (*), il Consiglio ha chiesto che siano prese misure
visto il trattato che istituisce la Comunità economica                          a garanzia della segretezza dei dati al fine di favorire la
europea, in particolare l'articolo 100,                                         creazione di un ambiente propizio al futuro sviluppo
                                                                                delle telecomunicazioni nella Comunità; che, nella
                                                                                risoluzione del 18 giugno 1989 relativa al rafforza-
vista la proposata della Commissione,                                           mento del coordinamento per l'introduzione del-
                                                                                l'ISDN nella Comunità europea entro il 1992 (2), il
in cooperazione con il Parlamento europeo,                                      Consiglio ha ribadito l'importanza della protezione
                                                                                dei dati personali della vita privata;
visto il parere del Comitato economico e sociale,
(1)   considerando che la direttiva del Consiglio concernen-
      te la protezione delle persone relativamente al                     (5)   considerando che il Parlamento europeo ha sottolinea-
      trattamento dei dati personali prevede che gli Stati                      to l'importanza della protezione dei dati personali e
      membri assicurino la tutela della vita privata ;                          della vita privata nelle reti di telecomunicazione, con
                                                                                particolare riferimento all'introduzione dell'ISDN
                                                                                (rete digitale integrata nei servizi) (3) (4) (5) ;
(2)   considerando che attualmente nella Comunità euro-
      pea si stanno introducendo nuove reti telefoniche
      pubbliche digitali di tecnologia avanzata che fanno
      emergere esigenze specifiche in relazione alla protezio-
      ne dei dati personali e della vita privata dell'utente ;            (6)   considerando che nella raccomandazione della Com-
                                                                                missione 81/679/CEE si richiede l'adozione e la
(3)   considerando che ciò riguarda in particolare l'introdu-
      zione dell'ISDN (rete digitale integrata nei servizi) e
      delle reti digitali per servizi pubblici di radiotelefonia
      mobile;                                                              (!) G U n. C 257 del 4. 10. 1988, pag. 1.
                                                                           (2) G U n. C 196 dell'I. 8. 1989, pag. 4.
                                                                           (3) G U n. C 7 del 12. 1. 1987, pag. 334.
 (4)  considerando che, nella risoluzione del 30 giugno 1988               (4) G U n. C 12 del 16.1. 1989, pag. 69.
      sullo sviluppo del mercato comune dei servizi e delle                (5) G U n. C 12 del 16. 1. 1989, pag. 66.