CELEX: 51992PC0422
Language: it
Date: 1992-10-15
Title: 

COMMISSIONE DELLE COMUNITÀ EUROPEE
                                    COM(92) 422 def. - SYN 287
                                   Bruxelles, 15 ottobre 1992
                      Proposta modificata di
                     DIRETTIVA DEL CONSIGLIO
           relativa alla tutela delle persone fisiche
        con riguardo al trattamento dei dati personali,
          nonché alla libera circolazione di tali dati
                 (Presentata dalla Commissione
   ai sensi dell'articolo 149, paragrafo 3 del trattato CEE)
 ---pagebreak---                                        - 2 -
                                  RELAZ IONE
                                    INTRODUZIONE
II 18 luglio 1990 la Commissione ha presentato al Consiglio una serie
di proposte, tra cui due direttive e una decisione, al fine di
facilitare la libera circolazione dei dati nell'ambito della Comunità
garantendo al tempo stesso un livello elevato di protezione delle
persone relativamente al trattamento dei dati personali e rafforzando
la sicurezza del trattamento dei dati soprattutto nel contesto dello
sviluppo delle reti aperte di telecomunicazione.
Il Comitato economico e sociale ha espresso il proprio parere su tali
proposte in data 24 aprile 1991 (Gazzetta ufficiale del 17.6.1991).
Nel quadro della procedura di cooperazione il Parlamento europeo ha
studiato le proposte in maniera approfondita all'interno delle proprie
commissioni. Dopo avere discusso la relazione della commissione
giuridica e per i diritti dei cittadini (relatore sig. Hoon) il
10 febbraio 1992, in data 11 marzo 1992 il Parlamento ha adottato alla
quasi unanimità un parere favorevole sulle proposte da esso modificate
i n numéros i punt i .
11 Consiglio ha adottato la proposta di decisione nel settore della
sicurezza dei sistemi d'informazione il 31 marzo 1992 (Gazzetta
ufficiale del 5.5.1992).
La presente proposta modificata intende tener conto del parere del
Parlamento europeo.
A.   Pr i ne i paIi mod i f i che
1.   Impostazione seguita in materia di protezione
     Nella proposta modificata sono stati introdotti due cambiamenti
     importanti       rispetto alla      proposta iniziale richiesti  dal
     Parlamento. Essi riguardano:
           l'abbandono della distinzione formale tra norme applicabili al
           settore pubblico e al settore privato,
           lo sviluppo delle disposizioni relative alle procedure
           selettive di notifica presso le autorità di controllo e ai
           codici di condotta.
     Tali modifiche presentano il vantaggio di indicare chiaramente che
     la protezione deve essere uguale indipendentemente dal settore
     cons i derato.
     Esse consentono inoltre di evitare deviazioni di natura burocratica
     e contribuiscono a facilitare una maggiore convergenza ed
     equivalenza dei metodi destinati a garantire una protezione
 ---pagebreak---                                  - 3-
   efficace negli Stati membri fornendo precisazioni sulla portata
   delle procedure di notifica e sui compiti delle autorità di
   controllo indipendenti in funzione del grado di rischio presentato
   dal trattamento di dati personali nei confronti dei diritti e delle
    libertà delle persone interessate.
2. Concetti e definizioni
    In seguito alla riflessione svolta sulle modifiche del Parlamento
   destinate, da un lato, ad eliminare dalla proposta il concetto di
   archivio ritenuto ormai superato e non pertinente nel contesto
   dello      sviluppo    registrato    dall'automazione    e    dalle
   telecomunicazioni e, dall'altro, ad inserire la raccolta dei dati
   nella definizione del trattamento di dati personali, è stato
   proposto come oggetto della normativa il trattamento di dati
   persona Ii.
   Tale modifica presenta due vantaggi: i principi della protezione
   accordata dalla direttiva non dipendono da una tecnologia o da
   un'organizzazione tecnica particolare; il concetto del trattamento
   dei dati consente di sviluppare un'impostazione globale volta a
   focalizzare l'attenzione sui dati utilizzati e sull'insieme delle
   operazioni interessate nei confronti delle finalità perseguite.
   D'altronde è risultato necessario mantenere e precisare il concetto
   di archivio al fine di circoscrivere il campo d'applicazione della
   direttiva, quando i trattamenti non sono automatizzati ai soli dati
   personali contenuti o destinati ad essere contenuti negli archivi.
   Infine viene introdotta una definizione dei terzi ai quali vengono
   comunicati dati personali.
3. Campo d'applicazione e deroghe specifiche
   Per rispondere alle preoccupazioni del Parlamento vengono proposte
   le seguenti modifiche che hanno lo scopo di garantire e di
   conciliare i diritti e le libertà in questione al fine di
   consentire la libera circolazione dei dati interessati.
        Le critiche riguardanti l'inadeguatezza della disposizione
        iniziale relativa all'esclusione, ad alcune condizioni, dal
        campo di applicazione della direttiva dei trattamenti
        effettuati dalle associazioni senza scopo di lucro hanno
        portato, sulla base di alcuni emendamenti del Parlamento
        relativi al trattamento dei dati di natura riservata, a
        proporre che tali trattamenti rientrino nel campo di
       applicazione della direttiva pur prevedendo una deroga
       specifica all'obbligo di notifica, necessaria per garantire la
        Iibertà di opinione.
       Per quanto riguarda i trattamenti effettuati a fini di
       giornalismo si propone di sostituire la facoltà con l'obbligo
       per gli Stati membri di procedere alle deroghe necessarie per
       conciliare la protezione della vita privata delle persone
        interessate con la libertà di espressione.
 ---pagebreak---                                   -4-
         Per quanto riguarda i trattamenti che non presentano rischi
         particolari, effettuati al fine di rispondere soprattutto ad
         obblighi legali, si propone una deroga all'obbligo di notifica.
4. Paesi terzi
     La disposizione destinata a prevenire il rischio di inosservanza
     delle norme comunitarie in occasione di trasferimenti di dati verso
     paesi terzi, che prevede il divieto di tali trasferimenti verso
     paesi che non garantiscono un livello adeguato di protezione, è
    stata precisata in modo da eliminare ogni dubbio sull'obiettivo
    perseguito. A tal fine sono stati aggiunti criteri di valutazione
     in materia di adeguatezza; inoltre sono state previste eccezioni al
    principio in un numero limitato di casi onde tener conto di
    circostanze particolari debitamente motivate.
B. Struttura e contenuto della proposta modificata
    La proposta è stata ristrutturata per tener conto, come già citato,
    della eliminazione della distinzione formale tra settore pubblico
    e settore privato e dello sviluppo delle disposizioni relative alla
    notifica presso le autorità di controllo. La nuova struttura ha
     inoltre l'obiettivo di mettere in maggiore risalto i vari elementi
    del meccanismo di protezione e prende in considerazione, inoltre,
     le critiche formulate sulle ripetizioni contenute nel testo
     iniziale. La     ristrutturazione della    proposta   riguarda   le
    disposizioni dei capi da II a VI della proposta iniziale
    raggruppate essenzialmente in un nuovo capo II che riprende
     l'insieme delle condizioni generali relative alla liceità dei
    trattamenti di dati personali ma le riporta sulla base di una nuova
    seguenza. La struttura dei capi I, VII e seguenti della proposta
     iniziale non è stata modificata.
     Il capo II della proposta modificata è suddisivo in sezioni che
    precisano successivamente i principi informatori dell'impostazione
    e dell'attuazione dei trattamenti di dati personali (sezioni 1, 2
    e 3), i diritti d'informazione, d'accesso e di opposizione delle
    persone interessate (sezioni 4, 5 e 6), gli obblighi in materia di
    sicurezza (sezione 7) e le procedure di notifica presso le autorità
    di controllo (sezione 8).
    La sezione I riguarda i principi comuni a tutte le legislazioni
    degli Stati membri derivanti dalle disposizioni della Convenzione
    108 del Consiglio d'Europa relative alla qualità dei dati che sono
    oggetto di trattamento. Corrisponde all'articolo 16 della proposta
    iniziale. L'inserimento, su richiesta del Parlamento, della
    raccolta di dati nella nozione di trattamento ha reso necessarie
    alcune modifiche di tipo redazionale. Inoltre si è tenuto conto
    della richiesta del Parlamento relativa all'archiviazione dei dati
    destinati alla ricerca scientifica.
    Tra i principi enumerati alla sezione 1 quello della finalità
    legittima dei trattamenti di dati personali viene precisato nella
   sezione 2 relativa ai fondamenti del trattamento. Tale sezione
    riprende e chiarisce, pur conservando un carattere generale,
 ---pagebreak---                                   -5-
  l'elenco limitativo incluso negli iniziali capi II e III delle
 circostanze alternative nelle quali possono essere effettuati i
 trattamenti. Tale elenco prevede che tali circostanze sono costituite
 in particolare dal consenso della persona interessata o dall'esecuzione
 di un contratto concluso con la persona interessata o dall'esecuzione
 di un obbligo legale ecc. o infine dalla necessità di conciliare vari
 interessi esistenti. Tale "conciliazione degli interessi" che può
 riguardare trattamenti oltremodo diversi come quelli destinati alla
 ricerca commerciale o riguardanti dati resi pubblici deve essere
 effettuata dagli Stati membri secondo le procedure che essi
 determineranno tenendo conto in particolare dei principi generali
 ricordati alla sezione 1 e dei diritti delle persone interessate.
 La sezione 3 riguarda le norme specifiche che disciplinano i
 trattamenti connessi con le libertà fondamentali. Tale sezione riguarda
 le norme che, con riferimento alla convenzione citata e al parere del
Parlamento ripreso in parte su tale punto, prevedono la protezione
 rafforzata nei confronti del trattamento di dati di natura delicata,
 vale a dire di dati relativi in particolare alla libertà d'opinione.
Queste disposizioni corrispondono all'articolo 17 della proposta
 iniziale e tengono conto delle richieste formulate dal Parlamento in
relazione soprattutto ai trattamenti effettuati dalle associazioni a
carattere politico o sindacale. Detti trattamenti rientrano pertanto,
sulla base della proposta modificata, nel campo di applicazione della
direttiva al fine di garantire i diritti delle persone nei loro
confronti e di consentire la libera circolazione dei dati in questione.
La sezione 3 comprende inoltre le norme già menzionate relative ai
 trattamenti a fini di giornalismo, destinate a garantire la
conciliazione tra le due libertà fondamentali relative alla vita
privata e alla libertà di espressione.
La sezione 4 riguarda gli obblighi del responsabile del trattamento in
materia di informazione della persona interessata sui trattamenti
effettuati. Tali obblighi sono destinati a garantire la trasparenza dei
trattamenti e quindi a contribuire all'applicazione dei principi del
trattamento leale dei dati previsto nella convenzione 108 del Consiglio
d'Europa e richiamato nella sezione 1. La sezione 4 corrisponde alle
disposizioni inserite negli iniziali capi II, III e IV e ristrutturate
nella proposta modificata in modo da eliminare in particolare i rischi
di     interpretazioni differenti    dovute a una massa eccessiva
d'informaz ioni.
La sezione 5 si riferisce al diritto di accesso e di rettifica delle
persone nei confronti dei dati che le riguardano. Corrisponde alle
disposizioni contenute nel capo IV della proposta iniziale e riprende
gli emendamenti del Parlamento al fine di rafforzare in linea di
massima la portata di tale diritto (in particolare il diritto della
persona interessata di conoscere l'origine dei dati trattati e la
logica seguita nei trattamenti automatizzati dei quali vengono
presentati i risultati). Le disposizioni modificate tengono conto
altresì della richiesta del Parlamento che estende al settore privato
la possibilità di limitare l'esercizio del diritto di accesso alle
stesse condizioni riservate inizialmente al settore pubblico.
 ---pagebreak---                                    -6 -
 La sezione 6 riguarda il diritto di opposizione per motivi legittimi
 della persona interessata. Corrisponde alle disposizioni contenute nei
capi III e IV della proposta iniziale. In tale sezione viene precisato
 l'obbligo di offrire alle persone interessate la possibilità di
opporsi, prima di procedere alla comunicazione di dati a terzi
 destinati, ad indagini effettuate per iscritto.
 La sezione 7 riprende con qualche modifica di natura redazionale le
 diposizioni sulla sicurezza previste al capo V della proposta iniziale.
La sezione 8 sviluppa le disposizioni iniziali relative alla notifica.
 Il sistema selettivo proposto, ampiamente ripreso dagli emendamenti del
Parlamento, ha lo scopo di garantire la trasparenza dei trattamenti, e
 in particolare la determinazione delle loro finalità, pur orientando
 l'intervento delle autorità di controllo sui trattamenti che richiedono
un'attenzione particolare in quanto comportano rischi. Esso parte dal
presupposto     che   ogni   trattamento interamente    o   parzialmente
automatizzato, deve essere notificato all'autorità di controllo; si
 precisa inoltre che la notifica può riguardare un insieme di
 trattamenti le cui finalità sono correlate dal punto di vista del
 responsabile di detti trattamenti e nei confronti delle persone
 interessate. Si propone altresì che in funzione della loro esperienza
gli Stati membri prendano misure opportune per esonerare dal l'obbligo
di notifica i trattamenti la cui realizzazione non presenti rischi nei
confronti dei diritti e delle libertà delle persone interessate o per
semplificare tale obbligo. Le misure adottate precisano i trattamenti
 interessati e le condizioni eventuali di attuazione. Si propone infine
di concedere alle autorità di controllo il potere di esaminare i
trattamenti notificati anteriormente alla loro esecuzione.
 II capo I II raggruppa le disposizioni dei capi IV e VII della proposta
 iniziale relative ai ricorsi della persona           interessata, alla
responsabilità e alle sanzioni. Tali disposizioni sono modificate per
tener conto del parere del Parlamento.
 I I capo IV riguarda i trasferimenti di dati personali verso i paesi
terzi. Corrisponde all'originario capo Vili e risulta modificato come
 indicato in precedenza; riprende le disposizioni destinate a consentire
alla Comunità di sviluppare una politica comune in materia.
 I I capo V si ii feri sco ai codici di condotta e corrisponde alle
disposizioni contenute nel capo VI della proposta iniziale. Riprende
 l'opinione del Parlamento sulla procedura relativa alla            loro
elaborazione che coinvolge le autorità indipendenti di controllo.
Prevede inoltre la possibilità per gli Stati membri di associare gli
organismi professionali in sede di attuazione della legislazione sulla
base dell'elaborazione di codici nazionali di condotta.
II capo VI riguarda le autorità nazionali di controllo e il gruppo per
la protezione dei dati incaricato di contribuire all'interpretazione
omogenea delle norme nazionali adottate in applicazione della direttiva
e di     consigliare    la Commissione. Vengono precisati       i  mezzi
investigativi delle autorità nazionali secondo quanto auspicato dal
 ---pagebreak---                                  -7-
Parlamento. La composizione iniziale del gruppo in questione è
mantenuta al fine di garantirne l'indipendenza. A tale proposito è
previsto inoltre che il gruppo elegga il proprio presidente. Sono
precisate le circostanze relative alla sua consultazione da parte della
Commissione.
II capo VI I riguarda le competenze di esecuzione che il Consiglio
dovrebbe conferire alla Commissione. A tale scopo la Commissione
mantiene la propria proposta iniziale contrariamente al parere del
Parlamento. La Commissione ritiene infatti che sarà necessaria
l'adozione di modalità tecniche di applicazione a causa dell'estensione
e del carattere tecnico del settore del trattamento di dati personali.
Disposizioni f inaii: per rispondere al desiderio espresso dal
Parlamento è previsto un termine di tre anni a decorrere dalla data di
entrata in vigore della direttiva per l'applicazione delle nuove
disposizioni nazionali alle situazioni esistenti.
 ---pagebreak---                             TITOLO E CONSIDERANDO
TITOLO
Nel titolo sono state introdotte due precisazioni:
    è stata aggiunta l'espressione "ed alla libera circolazione di tali
    dati" al fine di sottolineare che la proposta si riferisce
    all'instaurazione ed al funzionamento del mercato interno sulla
    base di un'armonizzazione volta a garantire la protezione delle
    persone ;
    al fine di eliminare qualsiasi ambiguità in merito al campo di
    applicazione della proposta si precisa che le persone interessate
    dalla protezione sono esclusivamente le persone fisiche.
CONSIDERANDO
La Commissione ha modificato i considerando al fine di tener conto dei
cambiamenti apportati alle disposizioni della proposta. Inoltre possono
essere fatte le seguenti osservazioni specifiche:
    il considerando n. 2 riprende il parere del Parlamento (emendamento
    n. 9) che intende sottolineare i vantaggi presentati dai sistemi di
    trattamento automatizzato dei dati qualora essi rispettino i
    diritti delle persone e le libertà individuali;
    è sembrato preferibile inserire il considerando n. 10 relativo alla
    convenzione del 28 gennaio 1981 del Consiglio d'Europa tra i
    considerando destinati a descrivere la problematica di una politica
    comunitaria in materia poiché la direttiva concretizza i principi
    contenuti nella convenzione. Nella proposta iniziale tale
    considerando (n. 22), il cui testo non è stato modificato, era
    inserito tra le disposizioni relative ai trasferimenti di dati
    verso i paes i terz i ;
    viene inserito un nuovo considerando (n. 14) destinato a riassumere
    in maniera succinta i principi della protezione espressi nei
    considerando seguenti;
    le modifiche ai considerando 4 (nuovo) e 5 intendono rafforzare la
    descrizione dei fatti che devono portare ad una iniziativa
    comunitaria la cui necessità è sottolineata dai considerando 7 e 8.
 ---pagebreak---                                       -9-
                           ESAME DELLE DISPOSIZIONI
                                     CAPO I
                             DISPOSIZIONI GENERALI
                                   Art ico lo 1
                            Oggetto della direttiva
 Il primo articolo è dedicato all'oggetto della direttiva che consiste
nel garantire la libera circolazione dei dati personali tra gli Stati
membri attraverso un'armonizzazione delle legislazioni nazionali:
      in virtù del paragrafo 1 gli Stati membri hanno l'obbligo di
      garantire la protezione dei diritti e delle libertà delle persone
      fisiche, in particolare del diritto alla vita privata relativamente
      al trattamento dei dati personali (tale terminologia è analoga a
      quella adottata dall'articolo 1 della Convenzione 108 del Consiglio
      Europa);
      poiché a norma della direttiva la protezione è garantita secondo
     gli stessi principi in tutti gli Stati membri e risulta pertanto
     equivalente in tutto il territorio comunitario, gli Stati membri,
      in virtù del paragrafo 2, non possono più restringere, per i
      settori interessati dalla direttiva, la circolazione dei dati per
      motivi relativi alla protezione della persona interessata.
La proposta consente quindi, secondo l'auspicio del Parlamento
(emendamento n. 10, seconda parte), di conciliare gli imperativi della
realizzazione del mercato interno con quelli della protezione delle
persone.
 Inoltre l'emendamento 10 (prima parte) è ripreso dalla proposta
codificata in quanto la nozione di trattamento, definita all'articolo
2, lettera a) comprende la raccolta.
                                   Art ico lo 2
                                  Def in i z ion i
Questo articolo ha lo scopo di definire i principali concetti
ut iIi zzat i ne II a direttiva. Le definizioni riprendono quelle della
Convenzione 108 del Consiglio d'Europa apportandovi tuttavia gli
adattamenti e le precisazioni necessari per garantire una protezione
equivalente di livello elevato nella Comunità.
a) "Dati personali". La proposta modificata rispecchia l'obiettivo del
     Parlamento volto ad adottare la definizione più ampia possibile
     della nozione di "dati personali" al fine di comprendere tutte le
     informazioni che possono essere col legate ad una persona fisica
     (emendamento 12). Infatti una persona può essere identificata, sia
     direttamente attraverso un nome, sia indirettamente attraverso un
     numero telefonico, una targa di immatricolazione, un numero di
 ---pagebreak---                                  - 10 -
    previdenza sociale, di passaporto oppure un insieme di criteri
   significativi che consentano di riconoscerla all'interno di un
    piccolo gruppo (per esempio età, funzione occupata, indirizzo,
    ecc.). La definizione permette altresì di comprendere dati quali
    l'immagine e la voce, le impronte digitali, le caratteristiche
   genet iche.
    Non viene fornita una definizione di dato anonimo in quanto questo
    termine non è utilizzato nella direttiva. Pertanto l'anonimato di
   un'informazione    non    dipende    più  dal   costo    di  rinvio
   all'informazione d'origine (emendamento 13). Tuttavia nel caso
   specifico in cui i dati vengano rilevati in forma statistica è
    parso opportuno precisare che essi non possono essere considerati
   tali da rivestire carattere personale in quanto le persone
    interessate non sono più ragionevolmente identificabili.
b) "Trattamento di dati personali" (trattamento). La definizione
   adottata va anch'essa nel senso di un campo di applicazione più
   ampio che consente di garantire la protezione degli individui
   (emendamento 15) in quanto comprende tutte le operazioni, dalla
   raccolta di dati fino alla loro cancellazione passando attraverso
    l'organizzazione, l'impiego, la consultazione, la comunicazione
   definita come trasmissione, diffusione o qualsiasi altra forma di
   messa a disposizione (emendamento 16), l'interconnessione e il
   congé I amento.
c) "Archivio di dati personali" (archivio). Viene meglio precisata
    tale definizione che comprende sia gli archivi automatizzati che
   quelli non automatizzati. Consente, per quanto riguarda            i
    trattamenti di dati non automatizzati, di circoscrivere il campo
   d'applicazione della direttiva ai dati strutturati in modo da
   facilitare l'accesso e la ricerca di quelli relativi alle persone
   fisiche. Di conseguenza sono esclusi i dati personali che non
   vengono strutturati al fine di essere impiegati in relazione alle
   persone interessate. In pratica, infatti, questi ultimi dati non
   presentano gli stessi rischi nei confronti delle persone ed è
   pertanto più realistico non gravarli degli stessi obblighi.
   Per garantire la protezione delle persone si precisa che i criteri
   di accesso devono avere "per oggetto o per effetto" di facilitare
    l'impiego o il ravvicinamento dei dati al fine di non obbligare la
   persona interessata a provarne l'intenzione in quanto tale elemento
   renderebbe delicata l'applicazione delle legislazioni nazionali.
   Infine viene preferita la nozione di "ravvicinamento" a quella di
   "interconnessione" per poterla applicare sia ai trattamenti
   automatizzati sia agli archivi su supporto cartaceo.
d) "Responsabile del trattamento". Questa definizione è ripresa dalla
   nozione di "capo dell'archivio" della convenzione 108 del Consiglio
   d'Europa.
   Tuttavia poiché la direttiva intende essenzialmente disciplinare
   l'impiego dei dati nei confronti delle finalità perseguite è
   preferibile riferirsi alla nozione di responsabile del trattamento.
 ---pagebreak---                                  - 11 -
    Si tratta della persona responsabile in ultima analisi delle scelte
    che sono alla base della definizione e dell'esecuzione dei
    trattamenti (più spesso il responsabile d'impresa) e non delle
    persone che procedono ad operazioni di trattamento conformemente
    alle istruzioni del responsabile. È il motivo per il quale si
    precisa che il responsabile definisce "gli obiettivi" del
    trattamento. L'emendamento 17 è stato ripreso su tale punto. Il
    responsabile del trattamento può elaborare direttamente i dati o
    farli elaborare dai suoi dipendenti o da un incaricato del
    trattamento, persona giuridicamente distinta dal responsabile ma
   che agisce per conto di quest'ultimo.
e) "Incaricato del trattamento": si tratta di una definizione utile
    proposta dal Parlamento (emendamento 18).
f) "Terzi". Tale definizione deriva da un emendamento del Parlamento
   (n. 134); è stata rimaneggiata nella proposta modificata al fine di
    indicare chiaramente che non sono considerati terzi: la persona
    interessata, il responsabile del trattamento nonché le persone
   abilitate all'elaborazione dei dati che agiscono sotto la sua
   autorità diretta o per suo conto, come nel caso dell'incaricato del
    trattamento.
   Le persone che lavorano in un'altra impresa anche se quest'ultima
   fa parte di uno stesso gruppo o holding dovrebbero in linea di
   massima essere considerate come terzi.
   Per contro le succursali di una banca che eseguono trattamenti
   relativi alla gestione della clientela posta sotto l'autorità
   diretta della sede non dovrebbero essere considerate come terzi.
   Ciò dovrebbe valere anche per gli agenti delle assicurazioni;
    invece per quanto riguarda per esempio gli intermediari di
   assicurazioni la situazione potrebbe essere diversa a seconda dei
   cas i .
g) "Consenso della persona interessata": nella proposta iniziale la
   definizione di consenso della persona ad un trattamento di dati ad
   essa relativo era contenuta all'articolo 12 inserito nel capo
   dedicato ai diritti della persona.
   Tale situazione ha creato confusion i, in quanto alcuni ambienti
   professionali     ne  hanno dedotto che qualsiasi        trattamento
   presupponesse il consenso preventivo della persona interessata; si
   tratta invece esclusivamente di uno dei fondamenti della liceità
   del trattamento.
   Di conseguenza risulta più logico inserire all'articolo 2 della
   direttiva le disposizioni relative al consenso apportandovi alcune
   modifiche di tipo redazionale al fine di dar loro la forma di
   def i n i z ione.
   Il riferimento al carattere esplicito del consenso è stato
   eliminato al fine di evitare che ciò possa essere interpretato come
   l'esigenza di una nota scritta (procedura riservata ai dati di
   natura delicata di cui all'articolo 8 della proposta modificata).
 ---pagebreak---                                   - 12 -
    È stato sostituito dalla nozione di "manifestazione esplicita di
    volontà" che può essere scritta o orale.
    Nella proposta modificata si precisa che il consenso deve essere
    "libero" nell'ipotesi in cui possano essere esercitate pressioni
    sulla persona interessata (per esempio nel caso del dipendente nei
    confronti del datore di lavoro).
    Per consentire alla persona interessata di valutare i rischi e i
    vantaggi connessi con il trattamento di dati che la riguardano e di
    esercitare i suoi diritti a norma dell'articolo 13 della proposta
    di direttiva (rettifica, cancellazione, congelamento), il consenso
    presuppone un'informazione di base. Per tale motivo il responsabile
    del    trattamento deve fornire alla persona        interessata  le
    informazioni necessarie come il nome e l'indirizzo del responsabile
    od eventualmente del suo rappresentante (cfr. articolo 4, paragrafo
    2), l'oggetto del trattamento, i dati registrati ecc.
     Il consenso della persona interessata deve essere specifico, deve
    cioè riferirsi ad un trattamento particolare di dati relativi alla
    persona interessata da parte di un responsabile determinato e per
    finalità determinate.
    La persona interessata ha il diritto di revocare in qualsiasi
    momento il suo consenso. La revoca non ha tuttavia effetto
    retroattivo poiché, se cosi fosse, un trattamento di dati personali
    inizialmente lecito potrebbe successivamente diventare illecito.
    Sono state eliminate tre definizioni che figuravano nella proposta
    or iginar ia:
         la definizione di autorità di controllo in quanto già fornita
         all'articolo 32 della proposta modificata;
         le definizioni di settore pubblico e settore privato a causa
         della fusione delle disposizioni relative a tali settori (cfr.
         capo II della proposta modificata).
                                Art i co lo 3
                           Campo d'applicazione
Il primo paragrafo della proposta modificata concilia i punti di vista
di quanti auspicano far riferimento in materia di informatica
esclusivamente alla nozione "di trattamento automatizzato" (in quanto
un trattamento automatizzato non implica necessariamente l'esistenza di
un archivio) e di quanti temono che la direttiva sia applicata a tutti
i dati anche non strutturati riportati su supporto cartaceo.
Di conseguenza la proposta modificata adotta criteri distinti per
definire il campo di applicazione della direttiva a seconda del fatto
che i dati siano oggetto o meno di un trattamento automatizzato: la
direttiva può essere applicata al trattamento non automatizzato di dati
soltanto se tali dati sono contenuti in un archivio; per contro, in
materia di informatica, la definizione va al di là della nozione di
 ---pagebreak---                                     - 13 -
archivio e la direttiva si applica a qualsiasi trattamento
automatizzato di dati anche se tali dati non sono contenuti in un
archivio.
Sono quindi interessati i dati personali strutturati sia attraverso la
loro impostazione in un archivio manuale sia per mezzo di un
trattamento informatico.
Viene fatto riferimento a trattamenti "interamente o parzialmente"
automatizzati al fine di indicare che un trattamento rappresenta un
insieme anche se una sola parte (per esempio l'indice) è
i nformat i zzata.
Il paragrafo 2 prevede due eccezioni:
      la prima riguarda i trattamenti effettuati per l'esercizio di
     attività che non rientrano nel campo di applicazione del diritto
     comunitario (come i servizi segreti). Il campo di applicazione
     della direttiva è definito in relazione al campo di applicazione
     del diritto comunitario per consentire un'evoluzione parallela;
     la seconda eccezione riguarda l'impiego di dati per fini
     assolutamente privati come per esempio l'agenda elettronica
     (emendamento 22);
     non sono previste altre eccezioni in quanto in caso di esonero da
     qualsiasi obbligo di tutta una serie di organismi non sarebbero più
     garantiti i diritti dei cittadini: se è legittimo alleviare il
     regime applicabile ad alcuni trattamenti di dati personali (cfr.
     sezione Vili del capo II relativo alla notifica ed alle possibilità
     di esonero o di semplificazione delle formalità) non si deve
     trattare comunque di un esonero globale.
Il problema specifico delle associazioni è trattato all'articolo che
prevede deroghe per la raccolta di dati di natura delicata (articolo 8
della proposta modificata).
                                  Art i co lo 4
                        Diritto nazionale applicabile
Tale articolo fissa i criteri di collegamento che consentono di
determinare la legislazione nazionale applicabile ai trattamenti che
rientrano nel campo di applicazione della direttiva al fine di evitare:
     da un lato che la persona interessata sia priva di qualsiasi
     protezione in particolare a causa di un'eventuale esclusione della
     Ieg i s Iaz ione ;
     dall'altro che lo stesso trattamento sia soggetto all'applicazione
     di più legislazioni nazionali.
Secondo la proposta originaria il luogo di localizzazione dell'archivio
determinava la competenza territoriale; tale criterio non è stato
ripreso nella proposta modificata in quanto la localizzazione di un
archivio o di un trattamento è spesso impossibile da determinare in
quanto questi ultimi possono essere mu 11i loca I izzati o suddivisi tra
 ---pagebreak---                                    - 14 -
più Stati membri soprattutto nel caso di basi di dati e di           reti,
fenomeni in costante espansione.
Di conseguenza secondo la proposta modificata il diritto applicabile è
definito in riferimento al luogo in cui risiede il responsabile del
trattamento.
Qualora il responsabile del trattamento non risieda nel territorio
della Comunità ma ricorra ai fini del trattamento a strumenti, siano
essi automatizzati o no (terminali, questionari, ecc.), situati nel
territorio di uno Stato membro, il diritto applicabile è quello dello
Stato sul cui territorio siano localizzati tali strumenti. Inoltre il
responsabile del trattamento deve designare un rappresentante stabilito
 in tale territorio che assume in via surrogatoria i suoi diritti ed
obbIi gh i.
 In questo caso a tale rappresentante incombe l'obbligo di notifica
(cfr. sezione Vili del capo II); analogamente qualsiasi informazione
delle persone interessate sul responsabile del trattamento, prevista
dalla proposta di direttiva, deve essere completata da un'informazione
sul rappresentante di quest'ultimo.
 È stato ripreso l'emendamento 24 in quanto viene eliminato il
riferimento ad un'utilizzazione sporadica, termine di natura molto vaga
che avrebbe potuto dare luogo a varie interpretazioni.
 Inoltre, essendo stato scelto il criterio del luogo di stabilimento del
responsabile del trattamento, lo spostamento temporaneo di un archivio
non modificherebbe il diritto applicabile. Di conseguenza non è stato
ripreso l'articolo 4 paragrafo 3 della proposta iniziale.
                                   CAPO II
      CONDIZIONI GENERALI DI LICEITÀ DEI TRATTAMENTI DI DATI PERSONALI
La struttura della proposta modificata differisce da quella della
proposta iniziale: infatti il nuovo capo II raggruppa l'insieme dei
principi, diritti e obblighi che determinano la liceità dei trattamenti
effettuati. Conformemente al parere del Parlamento sono state
conglobate le disposizioni relative al settore pubblico e al settore
pr i vato.
                                 Art i co lo 5
Questo articolo riprende l'articolo 6, paragrafo 2 e l'articolo 8,
paragrafi 1 e 2 della proposta iniziale.
Sulla base di tale articolo gli Stati membri dispongono che i
trattamenti di dati personali sono leciti soltanto se effettuati in
conformità dell'insieme delle disposizioni del capo II che forma un
tutto indi vis ibi le.
Si pone altresì in risalto che gli Stati membri hanno la facoltà di
precisare nella loro legislazione le condizioni di liceità dei
trattamenti entro i limiti delle disposizioni enunciate dal capo II.
 ---pagebreak---                                   - 15 -
Tali precisazioni possono consistere per esempio nella definizione, a
seconda del settore considerato, dei casi in cui prevale l'interesse
della persona in questione (articolo 7 lettera f), delle modalità
secondo le quali viene effattuata l'informazione delle persone
interessate (sezione IV), oppure delle condizioni di esercizio del
diritto di opposizione (sezione VI). Tali precisazioni non possono
rimettere in causa il principio della libera circolazione dei dati
all'interno della Comunità.
                                SEZIONE I
                 PRINCIPI RELATIVI ALLA QUALITÀ DEI DATI
                                Art i co lo 6
Questo articolo riprende i principi essenziali contenuti nell'articolo
5 della Convenzione 108 del Consiglio d'Europa.
Trattandosi di disposizioni relative ai diritti fondamentali delle
persone nei confronti del trattamento dell'informazione figurano
all'inizio del capo dedicato alla liceità dei trattamenti. È necessario
farvi riferimento per interpretare gli articoli successivi di tale
capo.
Le disposizioni dell'articolo 6 riprendono quelle della Convenzione 108
del Consiglio d'Europa con alcune modifiche destinate ad adeguarle alle
definizioni adottate all'articolo 2 (in particolare alla definizione di
trattamento) e al       campo d'applicazione della direttiva che,
contrariamente alla Convenzione 108, comprende sia i trattamenti
automatizzati che i trattamenti non automatizzati di dati contenuti in
archivi.
L'articolo 6 lettera a) prevede che il trattamento di dati personali
deve essere informato a principi di lealtà e liceità. Tale disposizione
riguarda il trattamento definito all'articolo 2 lettera e) e comprende
pertanto anche la raccolta.
La norma enunciata all'articolo 6 lettera a) esclude l'impiego di
apparecchi nascosti destinati ad ottenere dati surrettiziamente e
all'insaputa della persona interessata, in particolare attraverso
 l'intercettazione delle telefonate ed altri         metodi ecc. Tale
disposizione impedisce altresì ai responsabili del trattamento di
costituire e di impiegare trattamenti clandestini riguardanti i dati
persona li.
L'articolo 6 lettera b) enuncia il principio della determinazione in
materia di finalità della raccolta dei dati (realizzata in via
automatizzata o non automatizzata). Sulla base di tale principio i dati
personali possono essere conservati esclusivamente per finalità
determinate, esplicite e legittime.
Deve essere determinato l'oggetto della raccolta di dati personali,
vale a dire lo scopo della raccolta e dell'impiego dei dati dev'essere
definito nella maniera più accurata possibile. Una definizione o
 ---pagebreak---                                  - 16 -
descrizione generica oppure vaga dell'oggetto di un trattamento ("a
scopi commerciali", per esempio) non risulta conforme al principio
della definizione della finalità di cui all'articolo 6 lettera b).
è necessario specificare la finalità prima di procedere alla raccolta
dei dati. Qualora i dati vengano raccolti direttamente presso la
persona interessata l'articolo 11 dispone che la finalità debba già
essere determinata al momento in cui avviene la raccolta dei dati.
Successive variazioni apportate alla finalità di un trattamento sono
 legittime soltanto se compatibili con la finalità iniziale.
L'articolo 6 lettera b) obbliga inoltre il responsabile del trattamento
a determinare la finalità della conservazione e della registrazione dei
dat i .
Poiché la finalità della conservazione e dell'utilizzazione di dati
personali deve essere legittima, tale elemento contribuisce a limitare
 le finalità potenziali di un trattamento. Tale trattamento può essere
 istituito ed impiegato unicamente per fini compatibili con le
disposizioni della direttiva e con le legislazioni nazionali degli
Stati membr i.
L'articolo 6 lettera c) stabilisce che i dati devono essere adeguati,
pertinenti e non eccessivi rispetto alle finalità per le quali vengono
trattati. Tale principio implica che la natura dei dati debba essere
conforme alla finalità perseguita.
Le disposizioni dell'articolo 6 lettera d) si riconnettono strettamente
a quelle dell'articolo 6 paragrafo 1 lettere b) e c). I dati devono
essere esatti, e se necessario, aggiornati. Qualora essi siano inesatti
o incompleti rispetto alla finalità dell'archivio l'articolo 6 lettera
d) prevede che essi debbano essere cancellati o rettificati.
L'articolo 6 lettera e) si riferisce al periodo massimo di
conservazione dei dati personali. Secondo tale disposizione la
conservazione di dati in forma tale da consentire l'identificazione
delle persone interessate è autorizzata soltanto per il periodo di
tempo necessario al conseguimento delle finalità per cui i dati sono
stat i reg i strat i .
Tuttavia in alcuni casi se un trattamento ha perso, dopo un certo
periodo, la sua finalità di gestione può essere necessario conservarlo
soprattutto per motivi storici o di ricerca. L'articolo 6 lettera e)
precisa quindi, conformemente al parere del Parlamento (emendamento n.
60) che possono essere previste dagli Stati membri garanzie adeguate
nei confronti dei dati archiviati per motivi storici, statistici o
scientifici al fine di conciliare da un lato il principio rigoroso di
finalità e il diritto a cadere nell'oblio e dall'altro le esigenze
de II a ri cerca.
L'articolo 6 paragrafo 2 fa obbligo al responsabile del trattamento di
garantire il rispetto delle disposizioni relative alla qualità dei dati
contemplate all'articolo 6 paragrafo 1.
 ---pagebreak---                                     - 17 -
                                  SEZIONE II
                  PRINCIPI RELATIVI AL TRATTAMENTO DEI DATI
                                  Art i co lo 7
L'articolo 7 riunisce, in una nuova presentazione semplificata, le
condizioni in materia di liceità del trattamento di dati personali che
figuravano nella proposta iniziale agli articoli 5, 6 e 8.
È stata adottata l'eliminazione della distinzione tra settore pubblico
e settore privato che era stata proposta dagli emendamenti del
Parlamento nn. 27, 28 e 29.
 Il testo non fa alcun riferimento specifico al trattamento di dati per
una finalità diversa da quella per la quale esso è stato inizialmente
effettuato (articolo 5, paragrafo 1, lettera b) della proposta
 iniziale) né a criteri di legittimità della comunicazione di dati
personali (articolo 6 e articolo 8, paragrafo 2 della proposta
 iniziale). Il principio generale della compatibilità degli obiettivi
(articolo 6, paragrafo 1, lettera b) modificato) e le condizioni
enunciate all'articolo 7 modificato sono ritenuti criteri sufficienti.
Tuttavia le condizioni particolari proposte dagli emendanti 30 e 32
sono state accolte solo parzialmente in forma modificata.
 Il consenso non è più considerato come il criterio principale
accompagnato da deroghe ma come una delle varie condizioni (articolo 7,
 lettera a) modificato).
 Invece di far riferimento ad un "rapporto di fiducia quasi
contrattuale" nozione che molte fonti ritengono vaga e compresa nella
nozione di "rapporto contrattuale" o in quella di "interesse legittimo"
(punto f) dell'articolo 7 modificato), è stata introdotta la nozione di
"misura precontrattuale presa in risposta alla richiesta della persona
 interessata" per comprendere le condizioni che precedono la creazione
di un rapporto contrattuale (articolo 7 lettera b) modificato).
È stato mantenuto il trattamento derivante da un obbligo imposto dal
diritto nazionale o comunitario (articolo 7, lettera c) modificato).
La stessa osservazione vale per il punto e) e in parte per il punto f)
dell'articolo 7 modificato.
È stato aggiunto il punto d) per disciplinare i casi in cui la persona
 interessata abbia un interese vitale al trattamento dei propri dati
personali ma non sia in grado di manifestare il consenso (esempio:
ma Iatt i a grave).
 Il punto f) - che rispecchia in parte l'emendamento del Parlamento n.
32 - rappresenta uno sviluppo dell'articolo 8, paragrafo 1, punto c)
della proposta iniziale tenuto conto del fatto che può essere
necessario prendere in considerazione importanti interessi legittimi
diversi da quelli del responsabile del trattamento e della persona
 interessata. Il punto b) dell'articolo 8, paragrafo 1 del testo
 ---pagebreak---                                    - 18 -
 iniziale è stato eliminato in quanto la Commissione ha constatato che
 in alcuni casi fonti generalmente accessibili al pubblico possono
comprendere dati personali di natura delicata. Inoltre nella maggior
parte dei casi i dati sono stati trattati per fini specifici e non
dovrebbero pertanto essere utilizzati per finalità diverse senza che
vengano prese in considerazione le altre disposizioni della direttiva.
                                SEZIONE III
                   CATEGORIA PARTICOLARE DI TRATTAMENTI
                                 Art i co lo 8
Questo articolo corrisponde all'articolo 17 della proposta iniziale.
È opinione diffusa che il diritto alla vita privata può essere
compromesso non tanto dal contenuto dei dati personali quanto dal
contesto in cui si inserisce il trattamento di tali dati. Tuttavia
negli Stati membri esiste un ampio consenso sul fatto che alcune
categorie di dati, semplicemente per il loro contenuto, presentano un
rischio di violazione del diritto alla vita privata della persona
interessata. L'articolo 8 della direttiva proposta stabilisce pertanto
limiti rigorosi al trattamento e all'impiego delle seguenti categorie
di dati di natura delicata: origine razziale (ivi comprese le
informazioni sul colore della pelle); opinioni politiche, convinzioni
religiose, filosofiche e morali, compresa l'assenza di un credo
religioso (tali categorie comprendono informazioni sulle attività della
persona interessata in campo politico, religioso o filosofico);
l'appartenenza a sindacati; lo stato di salute della persona
interessata (ive comprese le informazioni sulle condizioni fisiche e
mentali passate, presenti e future e le informazioni sull'abuso di
droghe e di alcol); la vita sessuale. Convinzioni diverse da quelle
religiose o filosofiche possono costituire dati di natura delicata. Per
tale motivo è stata aggiunta la nozione di "convinzioni morali".
L'articolo 17 della proposta            iniziale è stato modificato e
ristrutturato in modo da tener conto di alcune osservazioni formulate
dal Parlamento (emendamenti 63, 149, 65).
In linea di massima il paragrafo 1 prevede il divieto in materia di
trattamento (informatizzato o manuale come richiesto dal Parlamento
nell'emendamento 63) di dati di natura delicata.
Il paragrafo 2 prevede un certo numero di eccezioni a questa regola
generale:
     invece di subordinare il trattamento di tali dati alla condizione
     generale di un "accordo libero, esplicito e scritto" per la quale
     possono essere previste deroghe, è stato ritenuto più opportuno
     inserire tale accordo tra le varie deroghe concesse al divieto
     generale di trattamento di tali dati;
     il trattamento di tali dati viene effettuato da fondazioni o
     associazioni a carattere politico, filosofico, religioso o
     sindacale nel quadro del loro scopo legittimo e a condizione che
 ---pagebreak---                                   - 19 -
     riguardi unicamente i membri e i corrispondenti della fondazione o
     dell'associazione che hanno accettato di partecipare e che i dati
     non vengano comunicati a terzi. Si tratta in questo caso di una
     funzione ritenuta necessaria all'interno di regimi democratici.
     Tali trattamenti sono inoltre esonerati da II'obbligo di notifica
     di cui al capo Vili della proposta modificata conformemente alta
     richiesta del Parlamento (emendamento 149);
     il trattamento è effettuato in circostanze che non presentano
     manifestamente alcun rischio per la vita privata e le libertà della
     persona interessata. Si può citare a titolo di esempio i dati di
     natura politica su una personalità pubblica, la raccolta per un
     breve periodo e in presenza di rigorose condizioni di sicurezza dei
     nomi di persone oggetto di sondaggi.
 Il paragrafo 3 riprende l'articolo 17, paragrafo 2 della proposta
 iniziale che prevedeva deroghe per "importanti motivi di interesse
pubblico". Tali deroghe dovrebbero essere concesse in particolare ad
organizzazioni internazionali per i diritti dell'uomo i cui lavori
richiedono tali dati a condizione che le organizzazioni in questione
forniscano garanzie sufficienti.
 Il parere del Parlamento (emendamento 65) in base al quale i dati
relativi a condanne penali possono essere conservati soltanto dalle
autorità giudiziarie è stato ripreso in parte nel paragrafo 4 di tale
articolo. Si è ritenuto che, oltre alle autorità giudiziarie, detti
dati potessero essere conservati anche dalle persone direttamente
 interessate dalle decisioni giudiziarie in questione o dai loro
rappresentanti. Data la natura particolarmente delicata dei dati si è
considerato opportuno concedere tali deroghe esclusivamente in forza di
disposizioni legislative volte a precisare le opportune garanzie
(articolo 8 paragrafo 4 modificato).
 li proposto paragrafo 3 a) (parere del Parlamento, emendamento n. 65
seconda parte), che invitava gli Stati membri a determinare nella loro
legislazione le condizioni alle quali può essere utilizzato un numero
nazionale di identificazione, qualora esista, o qualsiasi altro
identificativo di portata generale, è stato adottato e introdotto al
paragrafo 5.
                                Articolo 9
                   Trattamenti effettuati dalla stampa
Tale articolo corrisponde all'articolo 19 della proposta iniziale. Gli
Stati membri sono invitati a prevedere deroghe alle disposizioni della
presente direttiva per gli organismi di stampa e del settore
audiovisivo qualora risultino necessarie per conciliare i diritti
fondamentali dell'individuo, in particolare il diritto alla vita
privata, con la libertà di espressione. Esiste infatti un rischio di
conflitto tra queste due categorie di            diritti   fondamentali.
L'impostazione seguita pone l'accento sul l'obbligo di valutare gli
interessi in gioco: tale valutazione può tener conto in particolare
della possibilità o meno per la persona interessata di ottenere
 ---pagebreak---                                     - 20 -
 sanzioni o di esercitare un diritto di ricorso, dell'esistenza di un
 codice di deontologia professionale, dei             limiti fissati dalla
 Convenzione europea dei diritti dell'uomo e dei principi generali del
 dir itto.
 Tenuto conto del testo iniziale e per motivi di armonizzazione, le
 deroghe a favore degli organismi di stampa e del settore audiovisivo
 nonché dei giornalisti (la cui menzione è aggiunta al testo iniziale)
 sono obbligatorie per gli Stati membri. Viene precisato che tali
 deroghe riguardano esclusivamente i trattamenti effettuati a fini di
 giornalismo. Il termine giornalista comprende i cronisti-fotografi
 nonché gli autori, quali i biografi.
                                  SEZIONE IV
                   INFORMAZIONE DELLA PERSONA INTERESSATA
La sezione IV raggruppa tutte le disposizioni relative all'informazione
della persona interessata che nella proposta iniziale erano disperse in
 vari capi (articoli 9, 13, 14 paragrafo 3).
                                 Art ico lo 10
               Informazione sull'esistenza di un trattamento
Questo articolo corrisponde all'articolo 14 paragrafo 3 della proposta
 iniziale che garantiva il diritto della persona interessata "di
conoscere l'esistenza di un archivio, le sue finalità principali nonché
 l'identità e la residenza abituale, la sede o il domicilio del
responsabile dell'archivio".
Sono state apportate le seguenti modifiche al testo iniziale.
 Il diritto di essere informato può essere esercitato su richiesta. É
stata sostituita la frase "la residenza abituale, la sede o il
domicilio del responsabile dell'archivio" con "il nome e l'indirizzo
del     responsabile   del   trattamento        ed eventualmente  del  suo
rappresentante", informazioni ritenute sufficienti per l'esercizio dei
diritti della persona interessata. Si è ritenuto inoltre che fossero
 importanti i terzi a cui vengono comunicati i dati e le categorie di
dati oggetto di trattamento e sono stati pertanto aggiunti alle
informazioni che la persona interessata ha il diritto di ottenere.
Gli Stati membri possono accordare deroghe a tale diritto di
informazione per i motivi e alle condizioni indicati all'articolo 14
paragrafo 1 (sicurezza nazionale, difesa, ordine pubblico, ecc.).
                                 Art i co lo 11
                 Informazione in caso di raccolta dei dati
                       presso la persona interessata
Questo articolo che garantisce alle persone presso le quali vengono
raccolti dati personali        il diritto ad informazioni specifiche
corrisponde all'articolo 13 della proposta iniziale.
 ---pagebreak---                                     - 21 -
 La raccolta legittima e leale di dati personali presuppone che la
 persona interessata possa decidere se divulgare o meno i dati che la
 riguardano sulla base di informazioni attendibili per quanto riguarda
 la finalità del        trattamento, l'identità del     responsabile del
 trattamento, la natura vincolante o meno dell'obbligo di divulgare i
 dati in questione e tutte le conseguenze derivanti da un eventuale
 rifiuto di rispondere. Per poter far valere i propri diritti e
 controllare efficacemente l'impiego dei dati che la riguardano la
 persona interessata deve altresì essere informata in merito al suo
 diritto di accesso ai dati che la riguardano ed ai destinatari di tali
dat i .
Sono state appportate le seguenti modifiche al testo iniziale:
      nel titolo è precisato che l'articolo si applica         in caso di
      raccolta dei dati presso la persona interessata;
      ciò è confermato al paragrafo 1 in cui si chiarisce che il fatto di
      ottenere l'informazione non è soltanto un diritto della persona
      interessata (esercitato su richiesta) ma un obbligo del
      responsabile del trattamento quando i dati vengono raccolti presso
      le persone interessate. L'applicazione di tale articolo dipenderà
      dalle circostanze specifiche della raccolta;
     come nella proposta iniziale (articolo 13 paragrafo 2) l'articolo
      11 paragrafo 2 autorizza gli Stati membri a limitare l'obbligo di
      informare   la persona interessata per motivi di           interessi
      preminenti. Secondo tale disposizione l'obbligo di fornire le
      informazioni di cui all'articolo 11 paragrafo 1 non sussiste quando
      l'informazione della persona interessata impedirebbe l'esercizio
     delle funzioni di controllo e di verifica di un'autorità pubblica o
      il mantenimento dell'ordine pubblico.
                                 Art i co lo 12
              Informazione in caso di comunicazione a un terzo
Tale articolo corrisponde all'articolo 9 del testo iniziale. Per
consentire alla persona interessata di esercitare i suoi diritti il
paragrafo 1 impone al responsabile del trattamento l'obbligo di
accertare che la persona interessata sia informata della comunicazione
che la riguarda. La persona interessata può in tal modo esercitare il
suo diritto di accesso e opporsi alla continuazione del trattamento in
quest ione.
L'emendamento 35 è stato ripreso in parte per quanto si riferisce alle
disposizioni contenute nell'emendamento 32 che sono state inserite
nella direttiva. Pertanto il precedente articolo 8, paragrafo 2,
lettera a) che figurava nell'emendamento n. 35 corrisponde al nuovo
articolo 7, lettera c) nonché all'articolo 13 modificato; l'articolo 8,
paragrafo 2, lettera e) corrisponde all'articolo 7, lettera b);
l'articolo 8, paragrafo 2, lettera g) corrisponde in parte all'articolo
7, lettera f).
 ---pagebreak---                                    - 22 -
 Il diritto della persona interessata di opporsi al trattamento (nonché
alla comunicazione) è disciplinato dalla sezione VI ed in particolare
dagli articoli 15 e 16 del testo modificato. Lo spirito del paragrafo 3
dell'emendamento n. 35 è stato ripreso nell'articolo 15 modificato
(senza tuttavia far riferimento alla nozione di "incaricato" che
risulta inutile e rischia di generare confusione).
 Il testo modificato non fa distinzione tra settore pubblico e settore
privato (l'obbligo di informazione in caso di comunicazione si
applicava nel testo iniziale essenzialmente al settore privato).
 Il testo non indica la "consultazione in linea" poiché è compresa nella
nozione di comunicazione. L'obbligo di informazione non si applica
quando:
-     la comunicazione è necessaria alla salvaguardia dell'interesse
      vitale della persona interessata (in tal caso l'informazione può
      essere impossibile o contraria agli interessi della persona
      interessata);
      la comunicazione o la possibilità di comunicazione sono già state
      portate a conoscenza della persona interessata;
      la comunicazione è imposta da una legge che prevede una deroga
      all'obbligo di informazione della persona interessata;
      la comunicazione è giustificata da uno dei motivi elencati
      all'articolo 14 paragrafo 1 (sicurezza nazionale, difesa, ordine
      pubbI i co ecc.).
Oltre alla finalità del trattamento, alle categorie di dati
 interessati, al nome e all'indirizzo del responsabile del trattamento
(o del suo rappresentante) si è ritenuto necessario informare la
persona interessata anche del destinatario o delle categorie di
destinatari e dell'esistenza del diritto di accesso, di rettifica e di
oppos i z ione.
 Il paragrafo 3 dell'articolo 12 modificato corrisponde all'articolo 10
del testo iniziale che riguardava le deroghe all'obbligo di informare
 la persona        interessata (qualora   l'informazione della persona
 interessata si riveli impossibile o comporti sforzi sproporzionati
oppure contrasti coninteressi legittimi preminenti del responsabile del
trattamento o con un interesse analogo di un terzo). Si è aggiunto che
 in caso di autorizzazione di una deroga, l'autorità di controllo deve
prevedere eventualmente le opportune garanzie (per garantire che la
mancanza di informazioni non rechi indebito pregiudizio ai diritti e
alle libertà della persona interessata).
Si dovrebbe far ricorso alla facoltà di concedere deroghe all'obbligo
di informazione della persona interessata in particolare nei confronti
delle organizzazioni dei diritti dell'uomo e delle organizzazioni
umanitarie in modo da non ostacolare indebitamente i loro lavori
Ieg i 11 im i.
 ---pagebreak---                                       - 23 -
                                   Art i co lo 13
                            D i r i tto di accesso
 Questo articolo riprende le disposizioni dell'articolo 14 della
 proposta iniziale relative al diritto di accesso della persona
 interessata ai propri dati personali e al diritto complementare di
 ottenere la rettifica, la cancellazione o il congelamento di tali dati
(paragrafi 4 e 7). Come previsto all'articolo 4, paragrafo 4 del testo
 iniziale l'articolo 13, paragrafo 1 modificato conferisce alla persona
 interessata il diritto di ottenere, a intervalli ragionevoli e senza
 ritardi o spese eccessive, la conferma dell'esistenza o meno di dati
 personali che la riguardano e, in caso affermativo, la comunicazione di
 tali dati in forma intelligibile.
 È compito degli Stati membri precisare le modalità di trasmissione di
 tali informazioni alla persona interessata al fine, per esempio, di
garantire che i dati siano inoltrati alla persona interessata e
soltanto ad essa o di facilitare l'esercizio del diritto di accesso sia
 da parte del responsabile del trattamento dei dati che della persona
 interessata qualora esistano più trattamenti, in particolare nel caso
di archivi manuali. Spetta altresì agli Stati membri il compito di
definire     nella  loro   legislazione          la nozione  di   "intervallo
ragionevole". Tenuto conto degli interessi della persona in questione e
del responsabile del trattamento i legislatori degli Stati membri
possono disporre che il responsabile del trattamento non può esigere
dalla persona interessata che esercita il proprio diritto di accesso
un corrispettivo superiore al costo reale. Il diritto percepito non
deve essere eccessivo.
L'articolo 13, paragrafo 1 (articolo 14, paragrafo 4 della proposta
 iniziale) è stato modificato per tener conto dell'emendamento n. 48 che
è stato ripreso in parte. Il diritto di accesso può essere esercitato
su richiesta. La persona interessata ha il diritto di ottenere
 informazioni sull'origine (e non l'origine               in generale: tale
formulazione sarebbe troppo vaga e pertanto inutile) e sull'impiego in
linea generale (e non l'impiego esatto in quanto ciò potrebbe essere
eccessivamente gravoso e burocratico) dei dati personali in questione.
Detto articolo consente inoltre agli Stati membri di introdurre una
norma speciale relativa all'esercizio del diritto di accesso della
persona interessata ai dati di carattere medico. Al fine di tutelare la
persona interessata da gravi turbamenti psicologici questa informazione
può essergli fornita per il tramite di un medico.
L'articolo 13, paragrafo 2 è stato aggiunto al fine d'introdurre nel
testo l'emendamento 132; consente di prevenire gli abusi in materia di
esercizio del diritto di accesso che potrebbero essere commessi nei
confronti degli interessi legittimi della persona interessata (esempio
fornito dal Parlamento: la persona interessata non deve essere
obbligata da un terzo ad esercitare il proprio diritto di accesso come
condizione preliminare all'assunzione o al mantenimento del posto di
lavoro). Tuttavia l'accesso in risposta alla richiesta di un terzo è
consentito a condizione che sia basato su una legislazione nazionale o
sulla legislazione comunitaria (esempio: dichiarazione di stato civile,
ecc. richiesta per determinare i diritti a diverse prestazioni
soc i a Ii).
 ---pagebreak---                                   - 24 -
L'articolo 13, paragrafo 3 (articolo 14, paragrafo 5 della proposta
 iniziale) accorda alle persone interessate il diritto di ottenere, a
seconda dei casi, la rettifica, la cancellazione o il congelamento dei
dati qualora il trattamento risulti incompatibile con le disposizioni
della direttiva. Il testo iniziale del paragrafo 5 è stato leggermente
modificato in modo da corrispondere meglio alla formulazione auspicata
dal Parlamento (emendamento 46).
L'emendamento n. 49 è stato anch'esso ripreso in parte. I dati "che
sono stati omessi in tutto o in parte" sono denominati "dati
 incompleti" e sono compresi nell'articolo 13, paragrafo 3 modificato.
D'altro canto i termini "a seconda dei casi" e "cancellazione" sono
utili in tale contesto e sono stati pertanto conservati nel testo
modi f icato.
L'espressione utilizzata nella direttiva ("a seconda dei casi") lascia
alla legislazione di ogni Stato membro relativa alla protezione dei
dati il compito di adattare i diritti della persona interessata in
materia di cancellazione, congelamento o rettifica alle varie
situazioni in cui i dati personali sono elaborati e impiegati in
violazione della direttiva.
L'articolo 13, paragrafo 4 corrisponde all'articolo 14, paragrafo 7
della proposta iniziale. Detto paragrafo protegge gli interessi della
persona in questione in quanto prevede che i terzi a cui sono stati
trasmessi dati trattati in maniera incorretta o illegittima ricevano
comunicazione della loro rettifica, cancellazione o congelamento in
modo da poter a loro volta rettificare, cancellare o congelare i dati
 i n quest ione.
L'articolo 13, paragrafo 5 è stato aggiunto a titolo di garanzia
complementare nel caso di decisioni prese da un sistema automatizzato e
tali da fornire risultati contrari agli interessi della persona in
questione. In tal caso la persona interessata ha il diritto di
conoscere la logica seguita nei trattamenti in causa.
                               Art ico lo 14
                      Deroghe al diritto d'accesso
Questo articolo coi risponde all'articolo 15 della proposta iniziale ed
autorizza gli Stati membri a limitare il diritto di accesso delle
persone interessate al fine di salvaguardare un interesse pubblico
preminente o l'interesse di un'altra persona equivalente al diritto
privato della persona interessata.
Gli Stati membri hanno la facoltà di decidere in quale misura intendono
inserire nella loro legislazione nazionale relativa alla protezione dei
dati deroghe basate sull'articolo 14 a meno che le disposizioni
previste dal diritto comunitario (per esempio in materia di controllo
bancario o di riciclaggio di capitali) non rendano obbligatorie tali
deroghe. Tuttavia le deroghe indicate in questo articolo sono quelle
strettamente necessarie alla tutela dei valori fondamentali di una
società democratica e devono essere adottate nella legislazione
naz ionaIe.
 ---pagebreak---                                   - 25 -
 L'emendamento n. 54 è stato accolto. L'articolo 14 modificato non si
 applica unicamente al trattamento effettuato dal settore pubblico ma
 può riguardare anche il trattamento effettuato dal settore privato.
 L'elenco degli interessi da salvaguardare di cui al paragrafo 1 che
 giustifica una     limitazione del    diritto di    accesso   in virtù
 dell'articolo 14 della direttiva è esaustivo.
 Per "sicurezza dello Stato" si deve intendere la protezione della
sovranità nazionale nei confronti di minacce interne ed esterne.
 L'espressione "procedimenti penali" riguarda azioni nei confronti di
crimini già commessi mentre il concetto di "pubblica sicurezza"
comprende tutte le funzioni di polizia svolte da organi dello Stato,
 inclusa la prevenzione della criminalità. L'espressione "di un
 interesse economico e finanziario imperativo, debitamente giustificato,
 di uno Stato membro o della Comunità" si riferisce a tutti gli
strumenti di politica economica e a tutti i mezzi di finanziamento
 delle politiche di uno Stato membro o della Comunità, ad esempio il
controllo dei cambi, il controllo del commercio estero, la riscossione
 delle imposte. Tuttavia tale interesse deve essere imperativo per
 giustificare una restrizione del diritto di accesso.
 Infine sono considerati motivi validi per limitare il diritto di
 accesso sia l'interesse di un'altra persona, compreso eventualmente il
 responsabile del trattamento stesso, equivalente al diritto di accesso
 della persona interessata sia i diritti e le libertà altrui. Tali
 interessi comprendono: il segreto d'ufficio di terzi; le norme in
materia di segreto professionale che i medici e gli avvocati hanno
 l'obbligo di osservare; il diritto di un terzo di preparare la propria
difesa in caso di controversia giuridica; la protezione dei diritti
dell'uomo. Per tale motivo le autorità di controllo dovrebbero essere
 tenute ad accordare deroghe al diritto di accesso delle persone
 interessate ai dati che le riguardano detenuti da organizzazioni dei
diritti dell'uomo quando un accesso illimitato potrebbe mettere in
pericolo altri individui (per esempio nel caso di fonti d'informazioni
riservate) o gli interessi vitali di tali organizzazioni.
Se la persona interessata non può avere accesso a dati che la
riguardano e che figurano in un archivio a causa della salvaguardia di
un interesse di cui all'articolo 14 paragrafo 1, l'articolo 14
paragrafo 2 prevede che l'autorità di controllo deve poter effettuare,
su richiesta dell'interessato, le indagini e le verifiche necessarie
relative all'archivio in cui sono riportati i dati in questione (come
previsto nel testo iniziale, articolo 15 paragrafo 2). Lo scopo di tale
controllo consiste nel verificare la liceità dei trattamenti nei
confronti dei criteri stabiliti dalla direttiva. Effettuando tale
controllo l'autorità deve evitare di recare pregiudizio agli interessi
la cui salvaguardia è prevista al paragrafo 1.
L'articolo 14 paragrafo 3 (come l'articolo 15 paragrafo 3 del testo
iniziale) autorizza gli Stati membri a limitare il diritto di accesso
della persona interessata ai dati temporaneamente trattati per fini
statistici in quanto tali operazioni non presentano gravi rischi per la
persona interessata.
 ---pagebreak---                                   - 26 -
                                SEZIONE VI
            DIRITTO DI OPPOSIZIONE DELLA PERSONA INTERESSATA
                               Articolo 15
                    Opposizione per motivi leaittimi
Ai sensi dell'articolo 15, paragrafo 1 che riprende l'articolo 14,
paragrafo 1 della proposta iniziale la persona interessata ha il
diritto di opporsi, per motivi legittimi, al fatto che i dati che la
riguardano siano oggetto di trattamento. Per motivi legittimi s'intende
la mancanza di una giustificazione giuridica per un determinato
trattamento di dati personali, ad esempio nel caso in cui non siano
soddisfatte le condizioni previste al capo II della direttiva in merito
alla liceità di tale trattamento. Per contro una persona interessata
non sarebbe legittimamente motivata ad opporsi ad un trattamento lecito
necessario per l'esecuzione del contratto che la lega con il
responsab ile.
Il paragrafo 2 riprende l'articolo 9, paragrafo 3 della proposta
iniziale e precisa che in caso di opposizione esercitata alle
condizioni previste al paragrafo 1 il responsabile del trattamento è
tenuto a porvi termine.
Il paragrafo 3 sviluppa le disposizioni dell'articolo 14, paragrafo 6
della proposta iniziale ed intende precisare gli obblighi del
responsabile del trattamento nei confronti delle persone interessate
quando, in applicazione di altre disposizioni della proposta di
direttiva, esso è autorizzato acomunicare dati a terzi ai fini di
un'indagine specifica. Tali obblighi si applicano indipendentemente
dalla natura della indagine, sia essa una ricerca commerciale o
un'indagine effettuata da o per un'associazione caritatevole o un
partito politico. Tali obblighi a carico del reponsabile del
trattamento consistono ne II'accertare che sia stata esplicitamente
offerta alle persone interessate la possibilità di far cancellare i
dati senza spese prima di procedere alla comunicazione. Tale obbligo
vige anche quando i dati non vengono comunicati ma sono utilizzati per
gli stessi fini da parte di un responsabile del trattamento per conto
di un terzo. Il responsabile del trattamento può soddisfare i propri
obblighi in occasione dei contatti abituali con le persone interessate
senza dover procedere necessariamente ad una comunicazione specifica.
Tale paragrafo riguarda esclusivamente le indagini scritte. Le misure
destinate a proteggere le persone nei confronti di sollecitazioni
indesiderate pervenute attraverso sistemi di telecomunicazione sono
previste dalla proposta di direttiva modificata al fine di
salvaguardare le persone nel contesto delle reti di telecomunicazione.
 ---pagebreak---                                  - 27 -
                              Articolo 16
             Decisioni automatizzate relative alle persone
Il rischio insito in un'utilizzazione abusiva dell'informatica in un
processo decisionale rappresenta uno dei pericoli fondamentali per il
futuro: infatti il risultato fornito dalla macchina che si avvale di
software sempre più sofisticati oppure di sistemi esperti riveste un
carattere apparentemente obiettivo e incontestabile a cui l'uomo, in
qualità di responsabile della decisione, può accordare un'importanza
eccessiva rinunciando alla propria responsabilità. Il paragrafo 1
dell'articolo 16 stabilisce pertanto il principio in base al quale una
persona ha il diritto di non essere sottoposta ad una decisione
amministrativa o privata per la quale abbia motivo di risentirsi, presa
esclusivamente sulla base di un trattamento automatizzato che definisce
un profilo di personalità.
Questo paragrafo 1 è stato rielaborato rispetto alla proposta iniziale
al fine di consentire una maggiore precisione nei casi limitati ai
quali si applicano le disposizioni.
Infatti devono ricorrere tre presupposti:
    la persona deve essere sottoposta ad una decisione che le rechi
    pregiudizio. Deve trattarsi di una decisione che incide sulla sua
    situazione giuridica, mentre per esempio il semplice fatto di
    inviare   prospetti   commerciali   ad   un   elenco di     persone
    preselezionate da un elaboratore non costituisce una decisione che
    reca pregiudizio;
    deve trattarsi di una decisione presa esclusivamente sulla base di
    un trattamento automatizzato: risulta vietata infatti la rigida
    applicazione da parte dell'utente dei risultati prodotti dal
    sistema. L'informatica può fornire un aiuto al processo decisionale
    ma non può assolutamente costituire l'unica base di tale decisione
    in quanto la valutazione dell'uomo deve avere il suo peso.
    Sarebbe per esempio contrario a tale principio il fatto che un
    datore di lavoro scartasse la candidatura di un aspirante ad un
    posto di lavoro sulla sola base dei risultati di un test
    psicoattitudinale informatizzato oppure che venissero prodotti
    mediante tali software di valutazione elenchi contenenti voti e
    classifiche in ordine di preferenza dei candidati all'impiego
    basate esclusivamente sul test di personalità;
    il trattamento deve applicare ai dati relativi alla persona
    interessata variabili in grado di determinare un profilo tipo di
    personalità (ritenuto soddisfacente o insoddisfacente) in modo da
    escludere tutti i casi in cui il sistema non prevede alcuna
    definizione del profilo di personalità: per esempio il fatto che
    una persona non possa ottenere la somma richiesta presso un
    distributore automatico di biglietti di banca in quanto ha superato
    il credito a sua disposizione non rientra in tale definizione.
 ---pagebreak---                                     - 28 -
Nella proposta modificata viene aggiunto il paragrafo 2 in virtù del
principio in base al quale la parte di valutazione dell'uomo deve
essere proporzionale ai rischi che presenta per l'individuo una
decisione tendente ad applicare nei suoi confronti un profilo di
personalità elaborato esclusivamente da un calcolatore.
Un emendamento parlamentare (n. 46) proponeva di permettere tale
decisione in caso di consenso della persona o nel quadro di un
contratto o di un rapporto di fiducia quasi contrattuale.
La proposta modificata non riprende i casi suggeriti; infatti, se
esiste un rapporto di forza sfavorevole alla persona interessata (per
esempio nel caso della persona alla ricerca di un lavoro) né il suo
consenso né la prospettiva di un contratto potrebbero costituire una
garanzia sufficiente.
In virtù del paragrafo 2 la persona può essere sottoposta ad una
decisione di cui al paragrafo 1 se la decisione viene presa nel quadro
di un contratto concluso tra tale persona e il responsabile del
trattamento o della esecuzione di tale contratto a condizione che la
persona ottenga soddisfazione e che misure adeguate (che gli Stati
membri possono perecisare) garantiscano la salvaguardia del suo
interesse legittimo. Tale garanzia può risultare in forza di legge, da
procedure di notifica oppure da misure di carattere interno prese
da Il'az ienda .
Per esempio, il ricorso alla tecnica del punteggio per l'assegnazione
di un credito ad un privato risulta accettabile se la decisione
favorevole       in materia di attribuzione del      credito è presa
esclusivamente sulla base di una valutazione automatica dei rischi; in
caso di punteggio insufficiente deve essere garantita la salvaguardia
dell'interesse legittimo della persona interessata (per esempio se la
decisione finale viene posposta fino al momento in cui i servizi hanno
potuto procedere ad uno studio "personale" della pratica).
                                 SEZIONE VI I
                          SICUREZZA DEI TRATTAMENTI
                                 Articolo 17
Tale articolo corrisponde all'articolo 18 del testo iniziale.
I pericoli nei confronti del diritto alla vita privata della persona
interessata non provengono esclusivamente dal responsabile del
trattamento di dati che li raccoglie, li memorizza, li elabora e li
comunica nel proprio interesse.
II diritto alla vita privata della persona interessata può essere
compromesso anche nel caso in cui i dati vengano utilizzati per altri
fini da parte di terzi non autorizzati all'accesso ed all'impiego di
ta Ii dat i.
L'articolo 17 obbliga in particolare gli Stati membri a disporre che il
responsabile del trattamento deve adottare adeguate misure tecniche ed
 ---pagebreak---                                   - 29 -
organizzative necessarie al fine di garantire la protezione nei
confronti della distruzione accidentale o illecita, della perdita
accidentale o della alterazione, della comunicazione o di qualsiasi
altra forma non autorizzata di trattamento di dati personali.
L'emendamento n. 67 è stato accolto in parte. L'espressione
"trattamento automatizzato di dati" è stata preferita a quella di
"archivi automatizzati". È stato abolito il riferimento al "costo
dell'applicazione (delle misure)". Il testo modificato impiega il
termine "responsabile del trattamento".
Il testo è stato leggermente modificato per motivi di chiarezza. Al
paragrafo 1 l'espressione "distruzione non autorizzata" è stata
sostituita da "distruzione illecita" e "le attuali conoscenze in
materia" da "le attuali conoscenze tecnologiche". Al paragrafo 2 il
termine "adeguato livello di sicurezza" è stato sostituito da
"opportuno livello di sicurezza". Al paragrafo 3 il termine
"consultazione in linea" è stato sostituito da "accesso a distanza". Il
paragrafo 4 precisa che gli obblighi in materia di sicurezza incombono
anche alle persone che sono responsabili della realizzazione del
trattamento, in particolare l'incaricato del trattamento.
Sono state inoltre apportate due modifiche di una certa importanza. Al
paragrafo 3 si precisa che in caso di accesso a distanza gli impianti
tecnici e i software devono essere predisposti in modo da consentire
l'accesso entro i limiti di liceità del trattamento (e non entro i
limiti dell'autorizzazione concessa dal responsabile del trattamento.
Poiché tale autorizzazione non potrebbe sicuramente superare i limiti
di liceità del trattamento non sarebbe di alcun interesse per la
protezione dei dati personali).
Il paragrafo 5 prevede una deroga all'obbligo di non comunicare i dati
a terzi senza l'accordo del responsabile del trattamento quando la
comunicazione è prevista in forza della legislazione nazionale o
comunitaria (esempio: a scopo di procedimento penale).
                              SEZIONE Vili
                                 NOTIFICA
                               Articolo 18
            L'obbligo di notifica all'autorità di controllo
L'articolo 18 riprende gli articoli 7 e 11 della proposta iniziale
relativi alla notifica all'autorità di controllo degli archivi
costituiti nel settore pubblico e nel settore privato. Tali
disposizioni vengono conglomerate come auspicato dal Parlamento nel suo
parere. Questa presentazione ha il vantaggio di mettere in evidenza che
l'impostazione in materia di notifica dev'essere la stessa,
indipendentemente dal settore in cui vengono effettuati i trattamenti
d i dat i.
 ---pagebreak---                                  - 30 -
L'oggetto, la portata e il contenuto delle disposizioni iniziali sono
tuttavia modificati per tener conto del parere del Parlamento e per
garantire la coerenza della proposta modificata. Infatti gli
emendamenti del Parlamento (39, 40, 41, 118 e 119) portano ad
articolare le disposizioni relative alla notifica su più articoli. La
notifica deve poter garantire, oltre alla trasparenza dei trattamenti
come nella proposta iniziale, un controllo selettivo da parte
dell'autorità di controllo in merito alla liceità dei trattamenti. In
funzione del grado di rischio da essi presentato il controllo deve
essere fatto in linea di massima a posteriori oppure preventivamente
in un numero limitato di casi.
1.  Il paragrafo 1, dell'articolo 18 modifica l'obbligo di notifica
    previsto nella proposta iniziale nel modo seguente:
    a.  al fine di garantire la coerenza dell'impostazione seguita
        nella proposta modificata si propone che la notifica riguardi
         il trattamento di dati personali e non l'archivio. Tale
        modifica consente di effettuare il controllo sugli impieghi e
        sulle operazioni subite dai dati in vista del conseguimento di
        finalità    determinate    (natura    delle    operazioni,   dei
        ravvicinamenti, delle comunicazioni effettuate a terzi, natura
        dei dati raccolti, registrati ecc.) e non sull'articolazione
        tecnica specifica dei dati in archivi il cui interesse nei
        confronti della protezione delle persone può essere privo di
        particolare significato quando i dati sono automatizzati;
    b.   il criterio della comunicazione dei dati a terzi seguito nella
        proposta iniziale quale giustificazione dell'obbligo non viene
        più ripreso al fine di tener conto sia delle critiche formulate
        sulla sua inadeguatezza, in quanto alcune comunicazioni a terzi
        non recano pregiudizio ai diritti delle persone, sia dei rischi
        che possono presentare invece trattamenti interni soprattutto
        quando hanno lo scopo di selezionare popolazioni. In questo
        contesto è risultato opportuno estendere l'obbligo di notifica
        a qualsiasi trattamento di dati personali prima della sua
        realizzazione. Tale impostazione dovrebbe incentivare           i
        responsabili dei trattamenti a prevedere le misure necessarie
        al rispetto degli obblighi a loro carico prima di procedere
        alla realizzazione dei trattamenti. Per valutare la portata
        pratica di questa modifica é opportuno tuttavia tener conto
        delle    disposizioni    contenute    all'articolo    19   sulla
        semplificazione e sull'esonero da II'obbligo di notifica;
    c.  al fine di garantire che il controllo tenga conto della realtà
        globale e spesso polimorfa dei trattamenti effettuati da un
        responsabile e al fine di evitare una eccessiva proliferazione
        di notifiche si propone che una stessa notifica riguardi tutti
        i trattamenti, ripetitivi o meno, destinati al conseguimento di
        una o più finalità correlate dal punto di vista del
        responsabile del trattamento e delle persone interessate. A
        titolo di esempio dovrebbe essere richiesta un'unica notifica
        per tutti i trattamenti relativi alla gestione dei prestiti
 ---pagebreak---                                   - 31 -
         effettuati da un ente creditizio e destinati a tener conto
         delle domande di prestito, del loro esame, della loro
        approvazione, del recupero dei crediti nonché della gestione
         delle pratiche oggetto di controversia-,
    d.  al fine di evitare eccessivi oneri amministrativi si propone di
        aggiungere che l'obbligo di notifica riguarda solo              i
         trattamenti interamente o parzialmente automatizzati lasciando
        quindi la facoltà agli Stati membri di estendere l'obbligo agli
        archivi manuali in virtù dell'articolo 21.
2.  Il paragrafo 2, dell'articolo 18 contiene alcune precisazioni      in
    merito al contenuto della notifica.
    a.   viene aggiunta la precisazione relativa alla o alle categorie
        di persone interessate dal trattamento (per es. clienti
        dell'impresa, personale dell'impresa, prospetto, beneficiari di
        un determinato aiuto sociale ecc.);
    b.  analogamente si specifica anche che l'informazione relativa ai
         terzi a cui sono comunicati i dati può essere precisata facendo
         riferimento a categorie di terzi (emendamento 39);
    c.  alla descrizione dei dati interessati dal trattamento si
        aggiunge la facoltà di precisare soltanto le categorie di dati,
         informazione sufficiente quando una descrizione          troppo
        particolareggiata di natura tecnica non apporterebbe elementi
        significativi alla comprensione dei trattamenti in causa;
   d.   viene aggiunta l'indicazione relativa ai trasferimenti di dati
        previsti con i paesi terzi al fine di facilitare l'applicazione
        delle disposizioni specifiche in materia e di garantire che
        essi siano considerati nel loro contesto specifico;
   e.   è mantenuta la descrizione delle misure di sicurezza prevista
        nella proposta iniziale, tenuto conto dell'importanza del loro
        controllo soprattutto      in   relazione allo sviluppo dei
        trattamenti effettuati a distanza per mezzo di reti di
        te Iecomun i caz ione.
3.  Il pai agiato 3. doli articolo 18 riguarda la notifica dei mutamenti
   apportati ai trattamenti. L'obbligo di notifica dei mutamenti
   apportati ai trattamenti in grado di influire sul contenuto della
   notifica effettuata in precedenza, previsto nella proposta
   iniziale, viene mantenuto al fine di consentire l'aggiornamento
   dell'elenco dei trattamenti accessibili al pubblico e le successive
   azioni di controllo, che risultano particolarmente importanti
   quando vengono modificate le finalità del trattamento oppure quando
   nuove categorie di terzi possono avere comunicazione dei dati
   interessati dal trattamento.
4. I paragrafi 4 e 5 riprendono il parere del Parlamento (emendamenti
   40, 41, 118 e 119) in base al quale alcuni trattamenti che possono
   presentare rischi particolari nei confronti dei diritti e delle
 ---pagebreak---                                 - 32 -
    libertà delle persone interessate devono essere oggetto di un
   parere o di       un'autorizzazione dell'autorità di      controllo
   anteriormente alla loro esecuzione.
   Pur tenendo conto delle diverse impostazioni di carattere
    istituzionale prevalenti nei vari Stati membri si è ritenuto
   opportuno prevedere al paragrafo 4 dell'articolo 18 l'obbligo per
   gli Stati membri di sottoporre tali trattamenti ad un esame da
   parte dell'autorità di       controllo anteriormente alla      loro
   esecuzione. Gli Stati membri possono sostituire tale esame non
   vincolante con una autorizzazione in forza di legge o concessa
   dall'autorità di controllo.
    I rischi particolari possono riguardare per esempio la natura dei
   dati elaborati, in particolare quelli di cui all'articolo 8, la
   portata del trattamento quando riguarda tutta la popolazione di un
   paese oppure la finalità come quella di escludere le persone
    interessate dal beneficio di un diritto, di una prestazione o di
   contratto (liste nere, trattamenti destinati all'informazione di
   terzi sulla solvibilità delle persone fisiche).
   II paragrafo 4 dell'articolo 18 aggiunge una precisazione destinata
   a limitare, nell'interesse del responsabile del trattamento, il
   termine previsto per l'esame preventivo del dossier da parte
   dell'autorità di controllo.
   Sulla base della formulazione di questo articolo l'impostazione
   proposta non dovrebbe impedire agli Stati membri di prendere, sulla
   base dell'esperienza acquisita, misure di semplificazione o di
   esonero da II'obbligo di notifica per alcune categorie di
   trattamenti secondo quanto previsto all'articolo 19.
5. Infine per completare la presentazione delle disposizioni è
   opportuno precisare che i trattamenti interamente o parzialmente
   automatizzati che non beneficiano di procedure di semplificazione o
   di esonero dal l'obbligo di notifica di cui all'articolo 19 o che
   non sono oggetto di un esame preventivo ma vengono notificati alle
   autorità    di  controllo   in applicazione delle disposizioni
   dell'articolo 18 sono di norma sottoposti esclusivamente al
   controllo a posteriori delle autorità competenti, come             i
   trattamenti di cui all'articolo 19. Ê ovvio che l'autorità di
   controllo accerta la conformità della procedura di notifica seguita
   nei confronti della natura del trattamento.
6. Nello spirito del      parere del Parlamento (emendamento 39)
   l'attuazione delle procedure comunitarie previste agli articoli 33
   e 34 dovrebbe consentire di raggiungere l'armonizzazione specifica
   necessaria al buon funzionamento del mercato interno per quanto
   riguarda gli articoli 18 e 19.
 ---pagebreak---                                  - 33 -
                               Articolo 19
         La semplificazione e l'esonero dall'obbligo di notifica
L'articolo 19 riprende e sviluppa l'emendamento 39 del Parlamento
relativo alla semplificazione delle procedure per alcune categorie di
trattament i.
Al paragrafo 1 dell'articolo 19 si propone di far obbligo agli Stati
membri di prendere le misure necessarie a tal fine lasciando loro la
facoltà di concedere deroghe all'obbligo di notifica.
Al fine di sviluppare una politica comune coerente nei confronti
dell'obiettivo della protezione delle persone si propone di aggiungere
un criterio volto a determinare il settore nel quale risulta pertinente
 la semplificazione o l'esonero dalla notifica. Tale criterio riguarda i
trattamenti che non possono recare pregiudizio ai diritti e alle
libertà delle persone interessate.
L'esperienza dimostra che numerosi trattamenti di dati personali
effettuati presso grandi o piccoli organismi pubblici o privati
rivestono tale natura e non richiedono di conseguenza una pubblicità
specifica o generica. Si possono citare trattamenti aventi una
determinata base giuridica per la natura del loro contenuto o la loro
portata, i trattamenti semplici per i quali gli interessati hanno
normalmente l'occasione di verificarne la liceità, i trattamenti che
essenzialmente non possono recare pregiudizio alle persone interessate
oppure i trattamenti, sicuramente più delicati per la loro natura, ma
il cui contesto specifico di attuazione comporta le garanzie
necessar ie.
Facendo riferimento all'emendamento 23 del Parlamento, si propone al
paragrafo 1 dell'articolo 19 di considerare che i trattamenti la cui
finalità riguarda la produzione di lettere o documenti mediante
trattamento testi, l'adempimento di obblighi legali, contabili, fiscali
o sociali oppure la consultazione di servizi di documentazione
accessibili al pubblico possono essere oggetto di procedure di
semplificazione o di esonero dal l'obbligo di notifica.
Gli Stati membri, in funzione della loro esperienza e delle
caratteristiche nazionali specifiche dei trattamenti già effettuati o
nuovi, devono procedere gradualmente a tali semplificazioni o esoneri.
Si può ritenere, a titolo di esempio, che potrebbero essere interessati
da tali misure anche i trattamenti che hanno per oggetto il calcolo
dello stipendio del personale di un'amministrazione o di un'impresa,
alcuni trattamenti destinati alla ricerca scientifica oppure alcuni
trattamenti relativi alla compilazione di fascicoli medici dei pazienti
da parte di personale medico.
Il paragrafo 2 dell'articolo 19 riprende l'emendamento 39 del
Parlamento in base al quale la semplificazione o l'esonero dal l'obbligo
di notifica degli Stati membri dev'essere oggetto di atto giuridico. Si
propone tuttavia di precisare, nello spirito di tale emendamento, che
la procedura di elaborazione della misura di semplificazione o di
esonero coinvolge l'autorità indipendente di controllo. inoltre
affinché i responsabili dei trattamenti possano valutare con la massima
 ---pagebreak---                                   - 34 -
sicurezza la conformità dei trattamenti da essi previsti nei confronti
della misura di semplificazione, si propone che quest'ultima descriva
ogni categoria di trattamento interessato e precisi in particolare le
finalità, i dati o categorie di dati trattati, le categorie di persone
interessate, i terzi o categorie di terzi a cui vengono comunicati i
dati, il periodo di conservazione dei dati ed eventualmente le
condizioni alle quali viene effettuato il trattamento in questione.
Il paragrafo 3 dell'articolo 19 riprende sempre l'emendamento 39 del
Parlamento in base al quale è opportuno ricordare, per motivi di
chiarezza, che il fatto di poter beneficiare della semplificazione o
dell'esonero dall'obbligo di notifica non dispensa il responsabile del
trattamento da tutti gli altri obblighi derivanti dalla direttiva.
                                Art i co lo 20
                           I trattament i manuaI i
Viene lasciata agli Stati membri la facoltà di applicare agli archivi
manuali le disposizioni della sezione Vili pur apportandovi gli
adeguamenti ritenuti eventualmente necessari.
                                Art i co lo 21
                  Il registro dei trattamenti notificati
L'articolo 21 riprende l'articolo 7 del paragrafo 1 della proposta
iniziale relativo alla compilazione da parte dell'autorità di controllo
del registro degli archivi notificati del settore pubblico e alla
possibilità di consultazione da parte di chiunque. L'articolo 21
estende tuttavia tale disposizione, nello spirito del parere del
Parlamento (emendamenti 37 e 39) a tutti i trattamenti notificati
 indipendentemente dal settore di appartenenza del responsabile del
t rat tamento.
La consultazione del registro può essere tuttavia limitata, come
richiesto dal Parlamento, alle stesse condizioni di quelle fissate
all'articolo 14 relative alla limitazione dell'esercizio del diritto di
accesso delle persone ai dati che le riguardano.
Inoltre nello spiiito del parere del Parlamento (emnndamonto 39)
l'articolo 21 precisa i requisiti minimi previsti per il registro che
deve riprendere le informazioni di cui all'articolo 18, paragrafo 2 ad
eccezione tuttavia delle informazioni relative alle misure prese per
garantire la sicurezza dei trattamenti onde non comprometterne
I'eff icacia.
 ---pagebreak---                                     - 35 -
                                   CAPO II I
             RICORSI GIURISDIZIONALI, RESPONSABILITÀ E SANZIONI
                                 Art ico lo 22
                           Ricorsi giurisdizionali
L'articolo 22 riprende l'articolo 14, paragrafo 8 della proposta
iniziale. La portata di tale disposizione è comunque più ampia. Infatti
si propone che le legislazioni nazionali accordino alle persone
interessate la possibilità di un ricorso giurisdizionale per consentire
loro, se necessario, di difendere non soltanto i diritti complementari
elencati all'articolo 14 della proposta iniziale ma in linea più
generale tutti i diritti che vengono loro riconosciuti dalla direttiva.
                                 Art ico lo 23
                                Responsab i I i tà
Il paragrafo 1 di tale articolo, come l'articolo 21, paragrafo 1 della
proposta iniziale, fa obbligo al responsabile del trattamento di porre
rimedio al danno provocato a qualsiasi persona per effetto di un
trattamento o di un'azione incompatibili con la presente direttiva.
Come richiesto dal Parlamento nel suo parere (emendamento n. 73) viene
introdotta la nozione di trattamento "illecito" all'origine della
responsabilità. Inoltre la nozione di "trattamento" è sostituita a
quella di "archivio". Questa nuova formulazione consente di riprendere
il contenuto del paragrafo 2 dell'articolo secondo quanto suggerito dal
Parlamento. Infatti utilizzando il concetto di trattamento la proposta
modificata comprende, come auspicato dal Parlamento, la registrazione
propriamente detta dei dati personali come fonte possibile di
responsab i I i tà.
Per contro la Commissione mantiene la facoltà per gli Stati membri di
prevedere un esonero dalla responsabilità qualora siano state adottate
le opportune misure di sicurezza. Il testo è stato tuttavia chiarito
attraverso una diversa formulazione. Inoltre il parere del Parlamento
induce la Commissione a precisare che l'esonero dalla responsabilità
può essere totale o soltanto parziale.
                                  Art i co lo 24
         Trattamento per conto del responsabile del trattamento
Questo articolo riprende l'articolo 22 della proposta iniziale e
intende evitare che un trattamento effettuato da un terzo per conto del
responsabile del trattamento abbia come conseguenza una minore
protezione della persona interessata.
Nel testo dell'articolo viene utilizzata l'espressione "incaricato del
trattamento" introdotta nell'elenco delle definizioni secondo il parere
del Parlamento. Il paragrafo 2 sottolinea, come richiesto dal
 ---pagebreak---                                   - 36 -
Parlamento, che tale incaricato può agire esclusivamente entro i limiti
del contratto concluso con il responsabile. Si propone di mantenere
l'esplicito riferimento agli obblighi derivanti dalle disposizioni
nazionali prese in applicazione della direttiva che incombono anche
all'incaricato del trattamento.
                               Art icolo 25
                                 Sanz ion i
Le modifiche introdotte nella proposta intendono tener conto del parere
del Parlamento (emendamento n. 77) e pongono l'accento sulle persone
passibili di sanzioni. Si tratta in linea generale di chiunque non
rispetti le disposizioni nazionali adottate in applicazione della
presente direttiva e in particolare, come sottolineato dal Parlamento
nel suo parere, delle autorità e organismi di diritto pubblico.
                                  CAPO IV
            TRASFERIMENTO DI DATI PERSONALI VERSO PAESI TERZI
                               Art icolo 26
                                 Pr i ne i p i
Questo articolo, che riprende l'articolo 24 della proposta iniziale,
sancisce il principio secondo il quale il trasferimento di dati
personali da uno Stato membro verso un paese terzo può aver luogo
soltanto a condizione che quest'ultimo garantisca un livello di
protezione adeguato. In mancanza di tale disposizione è evidente che lo
sforzo effettuato nella Comunità per assicurare alle persone un livello
elevato di protezione rischierebbe di essere annullato da trasferimenti
verso paesi terzi che non garantiscono una protezione sufficiente.
Inoltre la libera circolazione dei dati tra gli Stati membri che la
presente proposta di direttiva intende instaurare, presuppone che
vengano adottate norme comuni per quanto riguarda i trasferimenti verso
i paes i terz i .
Le consultazioni con gli ambienti interessati hanno messo in evidenza
che in alcuni casi risultano necessarie deroghe al principio
summenzionato. Per tale motivo, alla luce del parere del Parlamento, la
Commissione è stata indotta a riconsiderare la proposta iniziale. Si
propone quindi che il divieto di trasferimento verso paesi terzi che
non garantiscono un livello di protezione adeguato sia accompagnato da
deroghe compatibili con la protezione delle persone. Secondo la
proposta modificata, il trasferimento verso un paese terzo che non
garantisce un livello di protezione adeguato può essere effettuato se
la persona interessata ha dato il proprio consenso al trasferimento
previsto nel quadro di rapporti precontrattuali oppure se il
trasferimento è necessario per l'esecuzione di un contratto tra la
persona interessata ed il responsabile del trattamento. In questi casi
la persona interessata è informata del trasferimento o della
possibilità di trasferimento verso uno o più paesi terzi che non
garantiscono un livello di protezione adeguato e può pertanto decidere
se essa intende o meno assumere il rischio di tale trasferimento. Tali
 ---pagebreak---                                         - 37 -
 deroghe risultano in particolare utili per i trasferimenti di dati
 correlati ad operazioni svolte dalle banche o da altri enti creditizi.
 Inoltre un trasferimento verso un paese terzo che non garantisce un
 livello di protezione adeguato può essere giustificato qualora risulti
 necessario alla salvaguardia di un interesse pubblico importante oppure
 dell'interesse vitale della persona interessata. Tali deroghe intendono
 consentire la cooperazione internazionale (per esempio nella lotta
 contro il riciclaggio dei capitali o nel quadro della sorveglianza
 delle    istituzioni        finanziarie) oppure       rendere possibile   il
 trasferimento di dati medici in circostanze in cui la persona
 interessata non potrebbe manifestare la propria volontà.
 Il paragrafo 2 precisa quali sono gli elementi da prendere in
considerazione per la valutazione dell'adeguatezza. Si tratta di tutte
 le circostanze che influiscono su un trasferimento o su una categoria
di trasferimenti come la natura dei dati, la finalità dei trattamenti,
 le disposizioni legislative del paese in questione. A tale proposito è
opportuno esaminare le disposizioni legislative generali e settoriali,
 la loro effettiva applicazione nonché le discipline deontologiche
contenute nei codici di condotta. Come auspicato dal Parlamento nel suo
 parere (emendamento n. 79) il nuovo paragrafo 2 sottolinea che
 l'adeguatezza del livello di protezione deve essere valutata in
 funzione di un trasferimento di dati o di una categoria di
 trasfer iment i d i dat i .
 Il paragrafo 3, che riprende il paragrafo 2 dell'articolo 24 della
proposta iniziale, è stato modificato conformemente al parere del
Parlamento (emendamento n. 79), nel quale si sottolinea che gli Stati
membri procedono alla valutazione dell'adeguatezza del livello di
protezione e decidono di conseguenza di vietare eventualmente il
trasferimento. Essi informano la Commissione dei casi in cui interviene
un divieto.
Come richiesto dal Parlamento nel suo parere (emendamento n. 80) la
proposta     modificata        prevede     al   paragrafo    4 dell'articolo,
corrispondente al precedente paragrafo 3, che il gruppo di cui
all'articolo 32 deve essere consultato dalla Commissione per ottenerne
 il parere prima di avviare negoziati con un paese terzo.
                                     Art icolo 27
                                 Misure part icolar i
L'articolo 27 riprende, con alcune modifiche, il concetto espresso
dall'articolo 25 della proposta iniziale. Secondo il nuovo testo uno
Stato membro può autorizzare un trasferimento o una categoria di
trasferimenti di dati personali verso un paese terzo che non garantisce
un livello di protezione adeguato qualora il responsabile del
trattamento dimostri l'esistenza di sufficienti garanzie atte a
consentire l'esercizio effettivo dei diritti delle persone interessate
e qualora gli altri Stati membri o la Commissione non si oppongano alla
misura prevista sulla base della procedura definita in tale articolo.
In caso di opposizione, la Commissione può adottare le misure
appropriate, in particolare decidere di vietare il trasferimento,
 ---pagebreak---                                       - 38 -
subordinare il trasferimento a condizioni complementari o avviare
trattative con il responsabile del trattamento per il quale viene
effettuato il trasferimento al fine di trovare soluzioni valide per
 I 'i ntera Comun ita.
                                      CAPO V
                              CODICI DI CONDOTTA
 I codici di condotta per i quali viene ripresa nella proposta
modificata la denominazione generalmente utilizzata in altri settori,
erano oggetto dell'articolo 20 della proposta iniziale. Tale
disposizione intendeva favorire esclusivamente l'elaborazione di codici
comunitari. La proposta modificata contiene due articoli dedicati
rispettivamente ai codici nazionali e ai codici comunitari.
                                  Art icolo 28
                               Cod i c i naz ionaI i
L'esperienza fatta da alcuni Stati membri in materia induce la
Commissione ad inserire nella proposta modificata una disposizione
destinata a favorire l'elaborazione di codici di condotta a livello
nazionale. I codici possono essere un elemento favorevole in termini di
accettazione della legislazione applicabile in quanto gli ambienti
professionali sono chiamati a partecipare direttamente all'attuazione
della legislazione. Contemporaneamente possono consentire di evitare un
intervento legislativo troppo particolareggiato qualora le soluzioni
contenute siano soddisfacenti.
Esiste una notevole varietà di codici in funzione del loro contenuto,
del settore professionale da cui sono stati elaborati ecc. che
soddisfano comunque le caratteristiche seguenti:
       l'iniziativa spetta al settore professionale e l'elaborazione, come
       già indicato, avviene sotto la esclusiva responsabilità di tale
       settore indipendentemente dagli           incoraggiamenti che possono
       pervenire dalle autorità pubbliche a tale proposito;
       i codici si limitano ad attuare o a chiarire             la legislazione
       applicabile senza potervi derogare;
       il loro effetto non è vincolante nei confronti di terzi o nei
       confronti di giurisdizioni che possono sempre far prevalere la
       legislazione che sono tenute ad applicare.
Evidentemente, come è dimostrato dalla legislazione di alcuni Stati
membri può succedere che l'autorità pubblica, in particolare il
legislatore, si faccia carico dei codici elaborati dai settori
professionali per dare loro una forza vincolante di natura legislativa.
Al fine di dare ai codici una certa autorità senza modificarne comunque
le caratteristiche, la Commissione propone, ispirandosi al parere
 ---pagebreak---                                     - 39 -
 espresso dal Parlamento per i codici comunitari (emendamento n. 72) che
  l'elaborazione dei codici sia sottoposta al parere dell'autorità
 nazionale competente.
Si propone pertanto di affidare all'autorità di controllo il compito di
 verificare la fondatezza dei codici e la rappresentatività degli
organismi professionali che li hanno redatti, di provvedere alla
 pubblicazione dei codici e di raccogliere le osservazioni delle persone
  interessate o dei loro rappresentanti nonché di formulare un parere che
deve beneficiare di una pubblicità analoga a quella del codice.
                                 Art ico lo 29
                              Codici comunitari
La proposta modificata s'ispira al parere del Parlamento (emendamento
n. 72) e alle disposizioni dell'articolo 28 precisando che i poteri
conferiti all'autorità di controllo per i codici nazionali vengono
attribuiti in quiesto caso al gruppo di cui all'articolo 31. Al fine di
garantire l'informazione del pubblico spetta alla Commissione la
decisione di pubblicare nella Gazzetta ufficiale delle Comunità europee
 i codici corredati del parere del gruppo in questione.
                                   CAPO VI
       AUTORITÀ DI CONTROLLO E GRUPPO PER LA PROTEZIONE DELLE PERSONE
              NEI CONFRONTI DEL TRATTAMENTO DEI DATI PERSONALI
                                 Art icolo 30
                           L'autorità di controllo
Questo articolo che riprende l'articolo 26 della proposta iniziale
prevede l'istituzione di un'autorità di controllo la cui caratteristica
essenziale è costituita dalla sua indipendenza.
La Commissione riprende nella proposta modificata          il  parere del
Parlamento (emendamenti nn. 84, 85, 86 e 87).
a) Designazione delle autorità di contrgllQ: si precisa al paragrafo 1
     che gli Stati membri hanno la facoltà di designare una o più
     autorità di controllo indipendenti. Tale precisazione risulta
      indispensabile per gli Stati membri a struttura federativa come la
     Repubblica federale di Germania.
b) Potere delle autorità di controllo: oltre ai poteri conferiti alle
     autorità di controllo dalle disposizioni riprese in precedenza, in
     particolare di responsabili della procedura di notifica, si propone
     di dotare tali autorità di poteri           investigativi e poteri
     d'intervento nei confronti dei responsabili dei trattamenti sotto
      il controllo delle autorità giudiziarie.
I poteri investigativi devono consentire all'autorità di controllo di
raccogliere presso i responsabili dei trattamenti le informazioni
necessarie per lo svolgimento del proprio compito. I poteri riguardano
 ---pagebreak---                                     - 40 -
 in particolare l'accesso ai dati che sono oggetto di trattamento. Per
rispettare    i   diritti   delle persone sottoposte al         controllo
dell'autorità, è evidente che tali poteri devono essere esercitati nel
pieno rispetto delle condizioni di riservatezza relative ai dati in
causa a norma del diritto interno. A tal fine è introdotta una
disposizione specifica al paragrafo 6.
Affinché l'autorità di controllo possa svolgere il proprio compito
risulta essenziale che essa disponga inoltre di poteri effettivi
d'intervento come quelli elencati dal Parlamento nel suo parere e
ripresi nella proposta modificata: potere di ordinare il congelamento o
 la cancellazione dei dati, il divieto di trattamento ecc.
Per contro non risulta necessario precisare nel testo della direttiva
 la natura giuridica di tali misure che il Parlamento qualifica come
sanzioni nel suo parere.
Si propone infine che l'autorità di controllo abbia il potere di adire
l'autorità giudiziaria qualora constati            una violazione delle
disposizioni nazionali di applicazione della presente direttiva. Tale
potere è generalmente riconosciuto dalle vigenti legislazioni nazionali
e deriva logicamente, da un lato, dal potere investigativo in quanto
sarebbe anormale che un'autorità incaricata della protezione delle
persone non adisse l'autorità giudiziaria qualora fosse indotta a
constatare una violazione del diritto di protezione delle persone,
dall'altro dal diritto di chiunque di presentare una denuncia
all'autorità di controllo. La conseguenza della presentazione di tale
denuncia può infatti essere il ricorso all'autorità giudiziaria.
c) Presentazione di relazioni annuali: è molto importante che
     l'autorità di controllo possa presentare periodicamente una
     relazione sulla propria attività sottolineando eventualmente le
     difficoltà    incontrate      nell'attuazione    delle  disposizioni
     legislative ed indicando quindi i nuovi orientamenti da seguire.
                                 Art icolo 31
  Gruppo per la protezione delle persone nei confronti del trattamento
                            de i dat i persona I i
Questo articolo che riprende l'articolo 27 della proposta iniziale
istituisce un gruppo di tipo consultivo.
a) Denominazione del gruppo
Si propone di armonizzare la denominazione del gruppo sulla base della
formulazione dell'articolo 1, paragrafo 1.
b) Composizione e presidenza del gruppo
Le modifiche richieste dal Parlamento (emendamenti n. 88 e 128)
riguardano in particolare la composizione e la presidenza del gruppo.
Al fine di garantire l'indipendenza di quest'ultimo la cui necessità è
stata sottolineata nella relazione contenuta nella proposta iniziale,
 ---pagebreak---                                     - 41 -
 la Commissione accetta le soluzioni proposte nel parere del Parlamento
 in merito alla presidenza del gruppo ma non quelle relative alla sua
 compos i z ione:
     presidenza del gruppo: la Commissione propone che il gruppo elegga
     un presidente per un mandato rinnovabile di due anni. Tale periodo
     sembra sufficientemente lungo per garantire una certa stabilità
     nell'ambito del gruppo;
     composizione del gruppo: la Commissione mantiene la proposta
     iniziale volta a limitare la composizione del gruppo ai
     rappresentanti delle autorità nazionali di controllo citate nelle
     disposizioni precedenti. Qualora alcuni Stati membri si avvalessero
     della loro facoltà di designare più autorità di controllo si
     propone, per motivi di equità, che le autorità degli Stati membri
     in causa procedano alla nomina, nell'ambito del gruppo comunitario,
     di un rappresentante comune. In mancanza di tale disposizione
     l'esercizio della facoltà prevista agli articoli precedenti
     potrebbe in ultima analisi creare un certo squilibrio tra le
     rappresentanze all'interno del gruppo.
La Commissione chiede di essere rappresentata nell'ambito del gruppo e
auspica che i propri servizi provvedano ai lavori di segreteria.
                                 Art icolo 32
    Compiti del gruppo per la protezione delle persone nei confronti
                      del trattamento dei dati personali
Questo articolo definisce i compiti del gruppo. Si propone di
conservare al gruppo il suo carattere consultivo come previsto dalla
proposta      iniziale. Il gruppo deve consigliare la Commissione
soprattutto al momento dell'esercizio del potere regolamentare o della
presentazione di nuove proposte. Deve contribuire all'interpretazione
omogenea delle disposizioni prese in applicazione della direttiva
nonché all'elaborazione di una politica comune in materia di flussi
transfrontalieri con i paesi terzi. La Commissione presenta al gruppo
qualsiasi misura prevista in tali settori al fine di ottenerne il
parere.
Il gruppo svolge i propri compiti formulando pareri e raccomandazioni
da trasmettere alla Commissione ed eventualmente al Comitato
consultivo. Su questo punto la proposta modificata riprende in parte il
parere del Parlamento (emendamenti n. 90, 91 e 92).
La Commissione informa il gruppo del seguito da essa dato al suo parere
attraverso la pubblicazione di relazioni da inoltrare al Parlamento. Il
gruppo redige una relazione annuale sullo stato della protezione nella
Comunità e nei paesi terzi. Questa relazione, trasmessa alla
Commissione e al Parlamento, è oggetto di pubblicazione.
La Commissione condivide         la volontà del Parlamento (espressa
nell'emendamento 89) di dotare il segretariato del gruppo dei mezzi
necessari per consentirgli di svolgere i compiti fissati dalla
 ---pagebreak---                                       - 42 -
direttiva. La Commissione controllerà, soprattutto nel quadro della
procedura di bilancio, che il gruppo disponga di tali mezzi. Tuttavia
non sembra utile introdurre una disposizione a tal fine nella proposta
mod i f i cata.
                                     CAPO VI I
                     POTERE REGOLAMENTARE DELLA COMMISSIONE
                                Art icoI i 33 e 34
            Esercizio del potere regolamentare e comitato consultivo
La Commissione mantiene la sua proposta iniziale. Saranno necessarie
modalità tecniche di applicazione della direttiva a causa della portata
e del carattere tecnico del settore del trattamento dei dati personali.
DISPOSIZIONI FINALI
                              Art icoIi 35. 36 e 37
La proposta modificata prevede all'articolo 35 paragrafo 2 una
disposizione transitoria volta a consentire, come suggerito dal
Parlamento nel suo parere in materia di notifica (emendamento n. 37),
un'entrata       in vigore progressiva delle disposizioni         prese in
applicazione della direttiva nei confronti dei trattamenti realizzati
prima della data di entrata in vigore di tali disposizioni. Un termine
di tre anni risulta adeguato a tale scopo.
Come auspicato dal Parlamento (emendamento 95) si propone all'articolo
36 che la relazione periodica sull'applicazione della direttiva,
presentata dalla Commissione al Parlamento e al Consiglio, sia oggetto
d i pubbI i caz ione.
 ---pagebreak---                                      - 43 -
PROPOSTA DI DIRETTIVA DEL CONSIGLIO       PROPOSTA MODIFICATA DI DIRETTIVA DEL
CONCERNENTE LA PROTEZIONE DELLE           CONSIGLIO RELATIVA ALLA TUTELA DELLE
PERSONE RELATIVAMENTE AL TRATTAMENTO      PERSONE FISICHE CON RIGUARDO AL
DEI DATI PERSONALI                        TRATTAMENTO DE I DAT I PERSONAL I, NONCHÉ
                                          ALLA LIBERA CIRCOLAZIONE DI TALI DATI
IL CONSIGLIO DELLE COMUNITÀ EUROPEE,      IL CONSIGLIO DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la       visto il trattato che istituisce la
Comunità economica europea, in            Comunità economica europea, in
particolare l'articolo 100 A e            particolare l'articolo 100 A e
 l'arti co lo 113,                         I 'art icolo 113,
vista la proposta della Commissione,      vista la proposta della
                                          Commissione        ,
 in cooperazione con il Parlamento         in cooperazione con il Parlamento
europeo,                                  europeo         ,
visto il parere del Comitato               visto il parere del Comitato
economico e sociale,                       economico e sociale^) ,
                                           (1) GU C 277 del 5.11.1990, pag. 3 e
                                                 GU C ...
                                           (2) GU C ... e GU C ...
                                           (3) GU C 159 del 17.6.1991, pag. 38.
 ---pagebreak---                                      _ 44 -
(1) considerando che gli obiettivi       (1) considerando che gli obiettivi
della Comunità, enunciati nel trattato    della Comunità, enunciati nel trattato
quale modificato dall'Atto unico          quale modificato dall'Atto unico
europeo, mirano a realizzare un'unione    europeo, consistono nel realizzare
sempre più stretta tra i popoli           un'unione sempre più stretta tra i
europei, a istituire relazioni più        popoli europei, a istituire relazioni
strette tra gli Stati che la Comunità     più strette tra gli Stati che la
riunisce, ad assicurare mediante         Comunità riunisce, ad assicurare
un'azione comune il progresso            mediante un'azione comune il progresso
economico e sociale eliminando le        economico e sociale eliminando le
barriere che dividono l'Europa, a         barriere che dividono l'Europa, a
promuovere il miglioramento costante      promuovere il miglioramento costante
delle condizioni di vita, a rafforzare   delle condizioni di vita, a rafforzare
le difese della pace e della libertà e    le difese della pace e della libertà e
a promuovere insieme la democrazia       a promuovere la democrazia basandosi
basandosi sui diritti fondamentali       sui diritti fondamentali sanciti dalle
sanciti dalle costituzioni e dalle       costituzioni e dalle leggi degli Stati
leggi degli Stati membri e dalla         membri nonché dalla convenzione
convenzione per la salvaguardia dei      europea per la salvaguardia dei
diritti dell'uomo e delle libertà        diritti dell'uomo e delle libertà
fondamenta Ii ;                          fondamenta Ii;
                                         (2) considerando che i sistemi di
                                         trattamento dei dati sono al servizio
                                         dell'uomo; che essi debbono rispettare
                                          le libertà e i diritti fondamentali
                                         delle persone fisiche, in particolare
                                         la vita privata, e debbono contribuire
                                         al progresso economico e sociale, allo
                                         sviluppo degli scambi nonché al
                                         benessere degli Ind i v i du i;
 ---pagebreak---                                      - 45 -
(2) considerando che la realizzazione    (3) considerando che l'instaurazione e
e il funzionamento del mercato            il funzionamento del mercato interno,
 interno, nel quale, conformemente        nel quale, conformemente
all'articolo 8 A del trattato CEE, è      all'articolo 8 A del trattato CEE, è
assicurata la libera circolazione         assicurata la libera circolazione
delle merci, delle persone, dei           delle merci, delle persone, dei
servizi e del capitali, esigono non       servizi e dei capitali, esigono non
solo che i dati personali possano        solo che i dati personali possano
circolare, qualunque sia lo Stato        circolare da uno Stato membro
membro in cui sono stati trattati o      all'altro, ma che siano altresì
richiesti, ma anche che siano            salvaguardati i diritti fondamentali
salvaguardati i diritti fondamentali,    del la persona;
tenuto conto del ricorso sempre più
frequente nella Comunità al
trattamento di dati personali nei vari
settori delle attività economiche e
soc i a Ii;
                                         (4) considerando che nella Comunità si
                                         ricorre sempre più frequentemente al
                                         trattamento di dati personali nei vari
                                         settori delle attività economiche e
                                         sociali; che i progressi registrati
                                         dalle tecnologie dell'informazione
                                         facilitano notevolmente il trattamento
                                         e lo scambio di tali dati;
 ---pagebreak---                                      - 46 -
(3) considerando che il mercato          (5) considerando che l'integrazione
 interno comporta uno spazio senza       economica e sociale derivante
 frontiere; che, pertanto, le             dall'instaurazione e dal funzionamento
ammministrazioni nazionali del vari       del mercato interno ai sensi
Stati membri, in applicazione del         dell'articolo 8A del trattato
diritto comunitario, debbono sempre      comporterà necessariamente un
più spesso ricorrere alla reciproca      sensibile aumento dei flussi
collaborazione e allo scambio di dati     transfrontalieri di dati personali tra
personali per poter svolgere la loro      tutti i soggetti della vita economica
funzione o esercitare compiti per        e sociale degli Stati membri, siano
conto di un'amministrazione di un         essi privati o pubblici; che lo
aItro Stato membro;                      scambio di dati personali tra imprese
                                          stabilite in Stati membri differenti è
                                          destinato ad aumentare; che le
                                          ammministrazioni nazionali dei vari
                                         Stati membri debbono collaborare, in
                                          applicazione del diritto comunitario,
                                         e
                                         scambiarsi i dati personali per poter
                                         svolgere la loro funzione o esercitare
                                         comp i t i per conto d i
                                         un'amministrazione di un altro Stato
                                          membro, nell'ambito dello spazio senza
                                          frontiere costituito dal mercato
                                          interno;
(4) considerando che il rafforzamento    (6) considerando inoltre che il
della cooperazlone scientifica e         rafforzamento della cooperazione
tecnica e l'istituzione coordinata di    scientifica e tecnica e la
nuove reti di telecomunicazioni nella    realizzazione coordinata di nuove reti
Comunità richiedono e facilitano la      di telecomunicazioni nella Comunità
circolazione transfrontaliera di dati    richiedono e facilitano la
persona I i ;                            circolazione transfrontaliera di dati
                                         personali;
 ---pagebreak---                                      - 47 -
(5) considerando che il divario nei      (7) considerando che il divario nei
 livelli di protezione della vita         livelli di tutela dei diritti e delle
privata garantiti negli Stati membri      libertà delle persone, in particolare
relativamente al trattamento di dati     della vita privata, garantiti negli
personali può impedire la trasmissione   Stati membri relativamente al
dei dati stessi dal territorio di uno    trattamento di dati personali può
Stato membro a quello di un altro, e      impedire la trasmissione dei dati
può pertanto costituire un ostacolo      stessi fra territori degli Stati
all'esercizio di una serie di attività   membri e che tale divario può pertanto
economiche su scala comunitaria,         costituire un ostacolo all'esercizio
falsare la concorrenza e ostacolare,     di una serie di attività economiche su
nell'adempimento dei loro compiti, le    scala comunitaria, falsare la
amministrazioni che intervengono         concorrenza e ostacolare,
nell'applicazione del diritto            nell'adempimento dei loro compiti, le
comunitario; che detto divario nei       amministrazioni che intervengono
livelli di protezione deriva dalla       nell'applicazione del diritto
disparità delle disposizioni             comunitario; che detto divario nel
legislative, regolamentari ed            grado di tutela deriva dalla diversità
amministrative nazionali;                delle disposizioni legislative,
                                         regolamentari ed amministrative
                                         naz ionaIi;
 ---pagebreak---                                      - 48 -
(6) considerando che per eliminare gli   (8) considerando che, per eliminare
ostacoli alla circolazione dei dati      gli ostacoli alla circolazione dei
personali il livello di protezione       dati personali, il livello di tutela
della vita privata relativamente al      dei diritti e delle libertà delle
trattamento di tali dati deve essere     persone relativamente al trattamento
equivalente in tutti gli Stati membri;   di tali dati deve essere equivalente
che, a tal fine, é necessario un          in tutti gli Stati membri; che tale
ravvicinamento delle legislazioni        obiettivo, fondamentale per il mercato
applicabili in materia;                   interno, non può essere conseguito
                                         esclusivamente attraverso l'azione
                                         degli Stati membri, tenuto conto in
                                         particolare dell'ampia divergenza
                                         esistente attualmente tra le normative
                                         nazionali in materia e della necessità
                                         di coordinarle affinché il flusso
                                         transfrontaIiero di dati personali sia
                                         disciplinato in maniera coerente e
                                         conforme all'obiettivo del mercato
                                         interno ai sensi dell'art. 8A del
                                         Trattato; che risulta pertanto
                                         necessario un intervento della
                                         Comunità ai fini di un ravvicinamento
                                         del le legislazioni ;
 ---pagebreak---                                         49 -
(7) considerando che le legislazioni      (9) considerando che le legislazioni
 nazionali relative al trattamento dei     nazionali relative al trattamento dei
 dati personali hanno per oggetto di       dati personali hanno lo scopo di
 garantire il rispetto dei diritti        garantire il rispetto dei diritti e
 fondamentali, in particolare il          delle libertà fondamentali, in
 diritto alla vita privata,                particolare del diritto alla vita
 riconosciuto anche dall'articolo 8       privata, riconosciuto anche
 della convenzione per la salvaguardia    dall'articolo 8 della convenzione
 dei diritti dell'uomo e delle libertà    europea per la salvaguardia dei
 fondamentali e dai principi generali     diritti dell'uomo e delle libertà
 del diritto comunitario; che pertanto    fondamentali e dai principi generali
 il ravvicinamento di dette               del diritto comunitario; che pertanto
 legislazioni non deve avere per           il ravvicinamento di dette
effetto un indebolimento della             legislazioni non deve avere per
protezione da esse assicurata, ma deve    effetto un indebolimento della tutela
anzi mirare a garantire un elevato        da esse assicurata ma deve anzi mirare
 livello di protezione nel la Comunità;   a garantire un elevato grado di tutela
                                          nel la Comunità;
(22) considerando che i principi          (10) considerando che i principi
fissati dalla presente direttiva          relativi alla tutela dei diritti e
precisano ed ampliano quelli enunciati    delle libertà delle persone, in
dalla convenzione del 28 gennaio 1981     particolare del rispetto della vita
del Consiglio d'Europa per la             privata, stabiliti dalla presente
protezione delle persone nei riguardi     direttiva concretizzano ed ampliano
del trattamento di dati personali;        quelli enunciati dalla convenzione del
                                          28 gennaio 1981 del Consiglio d'Europa
                                          per la protezione delle persone nei
                                          riguardi del trattamento di dati
                                          persona Ii;
 ---pagebreak---                                      - 50 -
(9) considerando che i principi          (11) considerando che i principi di
relativi alla protezione si devono        tutela si devono applicare a tutti i
applicare a tutti gli archivi quando      trattamenti di dati personali quando
le attività del responsabile              le attività del responsabile del
dell'archivio rientrano nel campo         trattamento rientrano nel campo
d'applicazione del diritto               d'applicazione del diritto
comunitario; che gli archivi del         comunitario; che i trattamenti
settore pubblico che non rientrano nel   effettuati da amministrazioni,
campo d'applicazione del diritto         organizzazioni ed enti di uno Stato
comunitario dovrebbero essere soggetti   membro per l'esercizio di attività
agli stessi principi della protezione    esulanti dal campo d'applicazione del
ripresi nelle legislazioni nazionali,    diritto comunitario dovrebbero essere
come prevede la risoluzione dei          soggetti agli stessi principi di
rappresentanti dei governi degli Stati   tutela sanciti dai diritti nazionali,
membri delle Comunità europee riuniti    come prevede la risoluzione dei
in sede di Consiglio il       ; che,     rappresentanti dei governi degli Stati
tuttavia, devono essere esclusi gli      membri delle Comunità europee riuniti
archivi riguardanti esclusivamente        in sede di Consiglio il      ; che
l'esercizio del diritto alla vita        devono essere esclusi i trattamenti
privata di una persona fisica, come ad   effettuati da una persona fisica a
esempio gli archivi personali            fini esclusivamente privati, come
d ' i nd i r i zz i;                     quelli relativi alla corrispondenza e
                                         alla compilazione di indirizzari;
 ---pagebreak---                                      - 51 -
(10) considerando che è necessario che   (12) considerando che è necessario,
 il trattamento di dati personali nella   onde evitare che una persona venga
Comunità rispetti la legislazione         privata della tutela cui ha diritto in
dello Stato membro nel quale si trova     forza delia presente direttiva, è
l'archivio, onde evitare che una          necessario che qualsiasi trattamento
persona venga privata della protezione    di dati personali effettuato nella
che deve esserle garantita a norma        Comunità rispetti la legislazione di
della presente direttiva; che, a          uno degli Stati membri; che, a questo
questo proposito, tutte le parti di un    proposito, è opportuno assoggettare il
archivio suddiviso tra più Stati          trattamento effettuato da una persona
membri devono essere considerate come     stabilita in uno Stato membro alla
un archivio unico a tutti gli effetti;    legge di tale Stato; che la tutela
che la localizzazione in un paese         delle persone prevista dalla presente
terzo non deve impedire tale              direttiva non deve essere impedita dal
protez ione ;                             fatto che il responsabile del
                                          trattamento sia stabilito in un paese
                                          terzo; che, in tal caso, è opportuno
                                         che il trattamento effettuato sia
                                          disciplinato dalla legge dello Stato
                                          membro nel quale si trovano i mezzi
                                          utilizzati per il trattamento in
                                         oggetto e che esistano le garanzie
                                          necessarie per consentire l'effettivo
                                          rispetto dei diritti e degli obblighi
                                          previsti dalla presente direttiva;
 ---pagebreak---                                      - 52 -
(12) considerando che le legislazioni    (13) considerando che gli Stati membri
nazionali hanno la possibilità di         possono precisare nella loro
precisare, nelle condizioni stabilite      legislazione o in sede di applicazione
dalla direttiva, le norme relative        delle norme di attuazione della
alla legittimità del trattamento; che,    presente direttiva, i requisiti
tuttavia, tale possibilità non può        generali di liceità del trattamento;
giustificare il controllo da parte di     che tuttavia tali precisazioni non
uno Stato membro diverso dallo Stato      possono servire da fondamento per il
in cui si trova l'archivio, poiché        controllo da parte di uno Stato membro
l'obbligo incombente a quest'ultimo di    diverso da quello in cui risiede il
garantire, conformemente alla presente    responsabile del trattamento, in
direttiva, la protezione della vita       quanto l'obbligo di quest'ultimo Stato
privata relativamente al trattamento      membro di garantire, conformemente
di dati personali è sufficiente, sotto    alla presente direttiva, la tutela dei
il profilo del diritto comunitario,       diritti e delle libertà con riguardo
per consentire la libera circolazione     al trattamento dei dati personali è
de i dat i ;                             sufficiente, in forza del diritto
                                          comunitario, per consentire la libera
                                         circolazione dei dat i;
                                         (14) considerando che i principi di
                                          tutela si esprimono, da un lato, nei
                                          vari obblighi a carico delle persone,
                                         autorità pubbliche, imprese o
                                         organismi che eseguono il
                                         trattamento, obblighi relativi in
                                         particolare alla qualità dei dati,
                                         alla sicurezza tecnica, alla
                                         notificazione all'autorità di
                                         controllo, ai presupposti dei
                                         trattamenti, tra cui il consenso della
                                         persona Interessata, e, dall'altro,
                                         nel diritto delle persone, i cui dati
                                         sono oggetto di trattamento, di
                                         esserne informate, di poter accedere
                                         ai dati, di chiederne la rettifica, o
                                         di opporsi al trattamento;
 ---pagebreak---                                         - 53 -
                                            (15) considerando che qualsivoglia
                                            trattamento di dati personali deve
                                            essere eseguito lealmente e
                                             lecitamente nei confronti delle
                                            persone interessate; che esso deve in
                                            particolare avere per oggetto dati
                                            pertinenti e non sovrabbondanti
                                            rispetto alle finalità perseguite; che
                                            tali finalità devono essere esplicite
                                            e Ieg111 i me;
(11) considerando che il trattamento        (16) considerando che il trattamento
di dati personali deve essere               di dati personali è lecito soltanto se
 legittimo; che la sua legittimità deve     è basato sul consenso della persona
basarsi sul consenso della persona           interessata oppure sulla conclusione o
interessata, sul diritto comunitario o      sull'esecuzione di un contratto
su II e Ieg i s Iaz i on i naz i onaIi;     vincolante per la persona interessata,
                                            sul diritto comunitario o sul diritto
                                            nazionale, sull'interesse generale o
                                            su un interesse particolare a
                                            condizione che la persona interessata
                                            non abbia motivi legittimi di
                                            opporvisi; considerando inoltre che,
                                            per garantire un equilibrio degli
                                            interessi in causa, pur assicurando
                                            una concorrenza effettiva, gli Stati
                                            membri possono precisare le condizioni
                                            alle quali può essere effettuata la
                                            comunicazione a terzi di dati
                                            personali a fini di prospezione
                                            commerciale o di prospezione promossa
                                            da un'associazione a scopo benefico o
                                            da altre associazioni o fondazioni, in
                                            particolare a carattere politico nel
                                            rispetto delle disposizioni
 ---pagebreak---                                      - 54 -
                                          volte a consentire alla persone
                                          interessate di opporsi senza
                                         motivazione e senza spese alla
                                         comunicazione dei dati che le
                                          r iguardano;
(16) considerando che ai fini di un      (17) considerando inoltre che i dati
eventuale trattamento i dati devono      che possono per loro natura ledere le
rispondere a determinati requisiti;       libertà fondamentali o la vita privata
che il trattamento di dati di per sé      non debbono essere oggetto di
suscettibili di nuocere al diritto        trattamento salvo consenso scritto
alla vita privata deve essere vietato    della persona interessata; che
salvo consenso esplicito della persona    tuttavia il trattamento di tali dati
interessata; che tuttavia, per motivi    deve essere autorizzato qualora sia
importanti d'interesse pubblico, in      effettuato da un'associazione il cui
particolare per le professioni           scopo consista nel favorire
mediche, possono essere previste          l'esercizio di tali libertà; che
deroghe in base ad una legge che          inoltre, per motivi di rilevante
fissi esattamente e rigorosamente le      interesse pubblico, in particolare per
condizioni e i limiti del trattamento     le professioni mediche, possono essere
di tale t ipo di dat i ;                  previste deroghe in base a
                                         disposizioni legislative o ad
                                         autorizzazioni dell'autorità di
                                         controllo che stabiliscano i limiti e
                                          le garanzie adeguate per il
                                          trattamento di questi tipi di dati;
 ---pagebreak---                                      - 55 -
(18) considerando che nel settore dei    (18) considerando che il trattamento
media gli Stati membri possono           di dati personali a fini di
derogare alle disposizioni della         giornalismo o di editoria deve
presente direttiva al fine di             beneficiare di deroghe alle
conciliare il diritto alla vita          disposizioni della presente direttiva
privata con la libertà d'informazione    al fine di conciliare i diritti
e il diritto di ricevere o di            fondamentali della persona con la
comunicare informazioni, quale            libertà di informazione ed in
garantito dall'articolo 10 della         particolare la libertà di ricevere o
convenzione per la salvaguardia dei      di comunicare informazioni, quale
diritti dell'uomo e delle libertà        garantita in particolare
fondamenta I i;                          dall'articolo 10 della convenzione
                                         europea per la salvaguardia dei
                                         diritti dell'uomo e delle libertà
                                         fondamenta li;
(14) considerando che, ai fini della     (19) considerando che il trattamento
validità del suo consenso, la persona     leale dei dati presuppone che le
interessata deve disporre di             persone interessate possano conoscere
un'informazione effettiva e completa,     resistenza del trattamento e disporre
e che tale informazione deve altresì     di un'informazione effettiva e
esserle fornita quando i dati che la     completa quando i dati che le
riguardano le sono richiesti in prima    riguardano sono forniti direttamente
persona ;                                dalle persone stesse, oppure al più
                                         tardi al momento della prima
                                         comunicazione ad un terzo di dati ad
                                         esse relativi, se l'informazione non è
                                         stata data contemporaneamente alla
                                         racco I ta ;
 ---pagebreak---                                       - 56 -
(15) considerando che la persona          (20) considerando che una persona deve
 interessata deve godere del diritto      godere del diritto d'accesso ai dati
d'accesso per poter verificare la         che la riguardano e che sono oggetto
 legittimità del trattamento dei dati     di trattamento, per poter verificare
che la riguardano e la loro qualità;       la loro esattezza e la liceità del
                                           trattamento; che di conseguenza una
                                           persona deve godere di un diritto di
                                          opposizione, per motivi legittimi, al
                                          trattamento dei dati;
(17) considerando che la protezione       (21) considerando che la tutela dei
della vita privata relativamente al       diritti e delle libertà delle persone
trattamento di dati personali richiede     interessate relativamente al
l'adozione di misure di sicurezza         trattamento di dati personali richiede
adeguate a livello sia della               l'adozione di adeguate misure tecniche
progettazione che della tecnologia del    sia al momento della progettazione
trattamento al fine di impedire           tecnica che al momento dell'esecuzione
eventuali trattamenti non autorizzati;    del trattamento, in particolare per
                                          garantirne la sicurezza ed impedire in
                                          tal modo qualsiasi trattamento non
                                          autor i zzato;
 ---pagebreak---                                      - 57 -
(13) considerando che le procedure di    (22) considerando che le procedure di
notifica, per gli archivi del settore    notificazione hanno lo scopo di dare
pubblico o privato, e d'informazione      pubblicità alle finalità del
al momento della prima comunicazione,     trattamento ed alle sue principali
per gli archivi del settore privato,      caratteristiche per consentirne il
sono volte a garantire la trasparenza    controllo secondo le norme nazionali
indispensabile all'esercizio del         di attuazione della presente
diritto di accesso di qualsiasi          direttiva; che al fine di evitare
persona ai dati che la riguardano;       formalità amministrative improprie
                                         debbono essere previste dagli Stati
                                         membri misure di esenzione
                                         dal l'obbligo di notificazione o di
                                         semplificazione di quest'ultima per i
                                          trattamenti che non recano pregiudizio
                                         ai diritti e alle libertà delle
                                          persone interessate, purché siano
                                         conformi ad un atto adottato dallo
                                         Stato membro che ne precisi i limiti;
                                         (23) considerando che il controllo a
                                          posteriori da parte delle autorità
                                         competenti deve essere ritenuto di
                                          norma sufficiente; che tuttavia gli
                                          Stati membri debbono prevedere un
                                         esame dell'autorità di controllo prima
                                         dell'esecuzione di trattamenti che
                                          presentano rischi particolari per i
                                         diritti e le libertà delle persone
                                          interessate, a causa della loro
                                         natura, della loro portata o delle
                                          loro finalità, come quelli aventi ad
                                         oggetto l'esclusione delle persone
                                          interessate dal beneficio di un
                                         diritto, di una
 ---pagebreak---                                        58 -
                                         prestazione o di un contratto; che gli
                                         Stati membri hanno la facoltà di
                                         sostituire tale esame preventivo con
                                         un provvedimento legislativo o una
                                         decisione dell'autorità di controllo
                                         che autorizzino il trattamento e
                                         precisino le opportune garanzie;
(20) considerando che in caso di         (24) considerando che in caso di
inosservanza delle disposizioni della    violazione dei diritti delle persone
presente direttiva il responsabile        interessate da parte del responsabile
dell'archivio deve essere considerato    del trattamento, le legislazioni
responsabile dei danni provocati; che,   nazionali devono prevedere vie di
per assicurare una protezione            ricorso giurisdizionale; che i danni
effettiva, si devono applicare           cagionati alle persone per effetto di
sanzioni dissuasive;                     un trattamento illecito devono essere
                                         riparati dal responsabile del
                                         trattamento, il quale può essere
                                         esonerato dalla propria responsabilità
                                         solo se provi di aver adottato le
                                         opportune misure di sicurezza; che
                                         sanzioni dissuasive debbono essere
                                         applicate nei confronti di qualsiasi
                                         soggetto di diritto privato o di
                                         diritto pubblico che non rispetti le
                                         norme nazionali di attuazione
                                         della presente direttiva;
 ---pagebreak---                                     - 59 -
(21) considerando che il trasferimento  (25) considerando che lo sviluppo
di dati personali deve poter aver       degli scambi internazionali comporta
luogo anche nel caso di paesi terzi     necessariamente il trasferimento oltre
aventi un livello di protezione         frontiera di dati personali; che la
adeguato; che, in assenza di tale       tutela delle persone garantita nella
protezione, la presente direttiva       Comunità dalla presente direttiva non
prevede, in particolare, l'avvio di     osta al trasferimento di dati
negoziati con detti paesi;              personali verso paesi terzi che
                                        garantiscano un livello di protezione
                                        adeguato; che l'adeguatezza della
                                        tutela offerta da un paese terzo deve
                                        essere valutata in funzione di tutte
                                         le circostanze relative ad un
                                        trasferimento o ad una categoria di
                                        trasfer iment i ;
                                        (26) considerando, per contro, che
                                        deve essere vietato il trasferimento
                                        di dati personali verso un paese terzo
                                        che non offre un livello di protezione
                                        adeguato; che devono essere previste
                                        deroghe a tale divieto a condizione
                                        che la persona interessata vi abbia
                                        consentito o ne sia stata informata,
                                        oppure qualora il trasferimento sia
                                        necessario per la salvaguardia
                                        dell'interesse pubblico; che possono
                                        essere adottate misure particolari per
                                        rimediare al livello di protezione
                                        insufficiente di un paese terzo,
                                        qualora il responsabile del
                                        trattamento offra le opportune
                                        garanzie; che inoltre debbono essere
                                        previste procedure di negoziato fra la
                                        Comunità e i paesi terzi di cui
                                        trattas i;
 ---pagebreak---                                      - 60 -
                                         (27) considerando che gli Stati membri
                                          possono altresì prevedere il ricorso a
                                         codici nazionali di condotta elaborati
                                         dagli ambienti professionali,
                                         sottoposti al parere all'autorità di
                                         controllo al fine di adeguare le norme
                                         nazionali di attuazione in
                                         applicazione della presente direttiva
                                         alle caratteristiche specifiche dei
                                         trattamenti effettuati in taluni
                                         settor i ;
(19) considerando che gli Stati membri   (28) considerando che gli Stati membri
devono incoraggiare l'elaborazione, da   devono incoraggiare gli ambienti
parte degli ambienti professionali, di   professionali a elaborare codici
codici di deontologia o di buona         comunitari di condotta destinati a
condotta europei concernenti taluni      favorire l'attuazione della presente
settori particolari; che la              direttiva; che la Commissione
Commissione appoggerà le iniziative in   appoggerà le iniziative in materia e
materia e ne terrà conto al momento di   ne terrà conto al momento di valutare
valutare l'opportunità di nuove misure    l'opportunità di misure supplementari
specifiche per taluni settori;           specifiche per taluni settori;
 ---pagebreak---                                      - 61 -
(23) considerando che l'esistenza in     (29) considerando che la designazione
ciascuno Stato membro di un'autorità      di un'autorità di controllo
di controllo indipendente è un            indipendente in ciascuno Stato membro
elemento essenziale per la protezione     è un elemento essenziale per la tutela
delle persone nei riguardi del            delle persone con riguardo al
trattamento di dati personali; che a      trattamento di dati personali; che
livello comunitario è opportuno           tale autorità deve disporre dei mezzi
istituire un Gruppo per la protezione     necessari all'adempimento di tale
dei dati personali che eserciti le sue   compito, siano essi poteri
funzioni in piena indipendenza e,         investigativi o di intervento oppure
tenuto conto di tale sua                  poteri conferiti nell'ambito delle
caratteristica specifica, consigli la     procedure di notificazione; che essa
Commissione e contribuisca               deve contribuire alla trasparenza dei
all'applicazione omogenea delle norme    trattamenti effettuati nello Stato
nazionali adottate in applicazione       membro da cui dipende; che le autorità
della presente direttiva;                dei vari Stati membri sono tenute a
                                         collaborare nello svolgimento dei
                                         propr i comp iti;
                                         (30) considerando che, a livello
                                         comunitario, deve essere istituito un
                                         gruppo per la tutela delle persone con
                                         riguardo del trattamento dei dati
                                         personali e che esso deve esercitare
                                          le sue funzioni in piena indipendenza;
                                         che, tenuto conto di tale carattere
                                         specifico, esso deve consigliare la
                                         Commissione e contribuire in
                                         particolare all'applicazione omogenea
                                         delle norme nazionali di attuazione
                                         della presente direttiva;
 ---pagebreak---                                      - 62 -
(24) considerando che l'adozione delle   (31) considerando che l'adozione delle
misure complementari per                  misure complementari per
 l'applicazione dei principi della        l'applicazione dei principi della
presente direttiva richiede               presente direttiva richiede
l'attribuzione alla Commissione di un     l'attribuzione alla Commissione di un
potere regolamentare nonché               potere di regolamentazione, nonché
l'istituzione di un comitato              l'istituzione di un comitato
consultivo secondo le modalità fissate   consultivo secondo le modalità fissate
nella decisione 87/373/CEE del            nella decisione 87/373/CEE del
Consiglio del 13 luglio 1987 (D ,         Consigi io  ^ ,
(8) considerando che i principi della    (32) considerando che i principi della
protezione della vita privata             tutela dei diritti e delle libertà
relativamente al trattamento di dati      delle persone, in particolare del
personali oggetto della presente          rispetto della vita privata, con
direttiva potranno essere completati o    riguardo al trattamento di dati
precisati, in particolare per taluni      personali, oggetto della presente
settori, da norme specifiche ad essi      direttiva, potranno essere completati
conform i;                                o precisati, soprattutto per taluni
                                          settori, da norme specifiche ad essi
                                          conform i ;
                                         (33) considerando che è opportuno
                                          concedere agli Stati membri un termine
                                          non superiore a tre anni a decorrere
                                          dall'entrata in vigore delle
                                          disposizioni nazionali di attuazione
                                          della presente direttiva, per
                                          consentire loro di applicare
                                          progressivamente a tutti i trattamenti
                                          già realizzati dette nuove
                                          disposizioni nazionali;
(1) GU L 197 del 18.7.1987, pag. 33.     (1) GU L 197 del 18.7.1987, pag. 33.
 ---pagebreak---                                    - 63 -
                                       (34) considerando che la presente
                                       direttiva non deve ostare alla
                                       disciplina da parte di uno Stato
                                       membro delle attività di prospezione
                                       commerciale destinate ai consumatori
                                       residenti nel proprio territorio
                                       purché detta disciplina non riguardi
                                        la tutela delle persone con riguardo
                                       al trattamento dei dati personali,
HA ADOTTATO LA PRESENTE DIRETTIVA:     HA ADOTTATO LA PRESENTE DIRETTIVA:
 ---pagebreak---                                      - 64 -
                   CAPO I                                   CAPO I
           DI POSIZIONI GENERALI                    DI POSIZIONI GENERALI
                 Articolo 1                               Articolo 1
         Oggetto della direttiva                  Oggetto della direttiva
1. Gli Stati membri garantiscono,          1. Gli Stati membri garantiscono,
   conformemente alle disposizioni            conformemente alle disposizioni
   della presente direttiva, la               della presente direttiva, la
   protezione della vita privata del          tutela dei diritti e delle libertà
   persone relativamente al                   delle persone fisiche, e
   trattamento di dati personali              particolarmente del diritto alla
   contenuti in archivi.                      vita privata, con riguardo al
                                              trattamento dei dati personali.
2. Gli Stati membri non possono, per      2. Gli Stati membri non possono,
   motivi relativi alla protezione            restringere o vietare la libera
   garantita a norma del paragrafo 1,         circolazione dei dati personali
   restringere o vietare la libera            tra Stati membri, per motivi
   circolazione dei dati personali tra        connessi alla tutela garantita in
   Stat i membr i.                            forza del paragrafo 1.
 ---pagebreak---                                        - 65 -
                  Ar t i co Io 2
                 Def inizioni
                                                              Art icolo 2
 Ai fini della presente direttiva si                         Definizioni
 intende per :
                                            Ai fini della presente direttiva si
a) "dati personali": qualsiasi               i ntende per :
     informazione concernente una
     persona fisica identificata o          a) "dati personali": qualsiasi
     identificabile ("persona                     informazione concernente una
     interessata"); in particolare si            persona fisica identificata o
    considera identificabile la persona          identificabile ("persona
     crie può essere identificata                interessata"); si considera
     mediante riferimento ad un numero           identificabile la persona che può
     d'identificazione o informazione            essere identificata, direttamente
     anaIoga ;                                   o indirettamente, in particolare
                                                 mediante riferimento ad un numero
                                                 d'identificazione o ad uno o più
                                                 elementi specifici caratteristici
                                                 della sua identità fisica,
                                                 fisiologica, psichica, economica,
                                                 cui tura le o soc i a I e ;
                                                 Non sono considerati personali i
                                                 dati aggregati in forma
                                                 statistica, in modo che più
                                                 persone interessate non siano più
                                                 ragionevolmente identificabili.
b) "rendere anonimi i dati": una
    modifica dei dati personali in modo
   che le informazioni ivi contenute
   non possano più essere associate ad
   una persona fisica determinata o
   determinabile soltanto mediante uno
   sforzo eccessivo in termini di
   personale, spese e tempo;
 ---pagebreak---                                       - 66 -
d) "trattamento": le operazioni,            b) "trattamento di dati personali"
   effettuate con o senza l'aiuto di           (trattamento): qualsiasi
   procedimenti automatizzati:                 operazione o insieme di operazioni
   memorizzazione, archiviazione,              compiute con o senza l'ausilio di
    interconnessione di dati, loro             processi automatizzati e applicate
   modifica, utilizzo e comunicazione,         a dati personali, come la
    in particolare la trasmissione, la         raccolta, la registrazione,
   divulgazione, la selezione, nonché           I'organizzazione, Ia
    il congelamento e la cancellazione-,       conservazione, l'elaborazione o la
                                               modifica, l'estrazione, la
                                               consultazione, l'impiego, la
                                               comunicazione mediante
                                               trasmissione, diffusione o
                                               qualsiasi altra forma di messa a
                                               disposizione, il raffronto o
                                                l'interconnessione nonché il
                                               congelamento, la cancellazione o
                                                la distruzione;
c) "archivio di dati personali"             c) "archivio di dati personali"
   (archivio): qualsiasi insieme di            (archivio): qualsiasi insieme
   dati personali, centralizzati o             strutturato di dati personali,
   ripartiti in vari siti, sottoposti          centralizzati o ripartiti in vari
   a trattamento automatizzato oppure          siti e accessibili secondo criteri
   che, pur non essendovi sottoposti,          determinati aventi per oggetto o
   siano strutturati ed accessibili in         per effetto di facilitare
   una raccolta organizzata secondo             l'impiego o il ravvicinamento di
   criteri tali da facilitarne                 dati relativi alla o alle persone
    l'utilizzo o l'interconnessione.            interessate;
 ---pagebreak---                                      - 67 -
e) "responsabile dell'archivio": la       d) "responsabile del trattamento": la
   persona fisica o giuridica,               persona fisica o giuridica,
   l'autorità pubblica, il servizio o        l'autorità pubblica, il servizio o
   qualsiasi altro organismo cui             qualsiasi altro organismo che
   competa, secondo il diritto               elabora o fa elaborare dati
   comunitario o in base alla                personali, e decide sulle finalità
   legislazione di uno Stato membro,         e gli obiettivi del trattamento, i
   la decisione in materia di finalità       dati personali elaborati, le
   dell'archivio, scelta delle               operazioni ad essi relative ed i
   categorie di dati personali da            terzi che possono venire a
   memorizzare, operazioni da                conoscenza di detti dati;
   effettuare, accesso di terzi;
                                          e) "incaricato del trattamento": la
                                             persona fisica o giuridica che
                                             elabora dati personali per conto
                                             del responsabile del trattamento;
                                          f) "terzi": qualsiasi persona fisica
                                             o giuridica che non sia la persona
                                             interessata, il responsabile del
                                             trattamento e le persone
                                             autorizzate all'elaborazione dei
                                             dati sotto la sua autorità diretta
                                             o per suo conto;
 ---pagebreak---                                          - 68 -
                                              g) "consenso della persona
                   Articolo 12                   interessata": qualsiasi
 Il consenso della persona interessata           manifestazione espressa di volontà
                                                 con la quale la persona
 Il consenso della persona interessata           interessata accetta che i dati
a un trattamento di dati personali ai            personali che la riguardano siano
sensi della presente direttiva è                 oggetto di un trattamento, purché
va Ii do so I tanto se:                          essa disponga delle informazioni
                                                 relative alle finalità del
a) la persona dispone delle seguenti             trattamento, ai dati o alle
      i nformaz ion i:                           categorie di dati su cui questo è
                                                 basato, ai destinatari dei dati
    - le finalità dell'archivio e i              personali nonché al nome e
         tipi di dati memorizzati;               all'indirizzo del responsabile del
    - il tipo di utilizzazione e, se             trattamento ed eventualmente del
         del caso, i destinatari dei dati        suo rappresentante;
         persona Ii contenut i
         ne II'arch i v io ;                     Il consenso è libero e specifico e
    - il nome e l'indirizzo del                  può essere revocato dalla persona
         responsabile dell'archivio,             interessata in qualsiasi momento
                                                 senza effetto retroattivo.
b) è specifico ed esplicito e precisa
     i tipi di dat i , le forme di
    trattamento e gli eventuali
    dest i natar i ;
c) può essere revocato dalla persona
    interessata in qualsiasi momento
    senza effetto retroattivo.
f) "autorità di controllo": l'autorità
    pubblica indipendente, o qualsiasi
    altro organismo indipendente,
    designati da ciascuno Stato membro
    conformemente all'articolo 26 della
    presente d i rett i va ;
 ---pagebreak---                                       - 69 -
g) "settore pubblico": l'insieme delle
    amministrazioni, degli organismi o
    enti di diritto pubblico di uno
    Stato membro, ad eccezione di
    quelli che svolgono un'attività
    industriale o commerciale, nonché
    gli organismi ed enti di diritto
    privato qualora partecipino
    all'esercizio dell'autorità
    pubblica;
h) "settore privato": qualsiasi
    persona fisica o giuridica o
   associazione, ivi compresi le
   amministrazioni, gli organismi o
   enti del settore pubblico che
   esercitano un'attività industriale
   o commerciale.
                  Art icolo 3                             Art i co lo 3
          Campo d'appIi caz i one                    Campo d'applicazione
1. Gli Stati membri applicano le           1. Le disposizioni della presente
   disposizioni della presente                direttiva si applicano al
   direttiva agli archivi del settore         trattamento di dati personali
   privato e del settore pubblico, ad         interamente o parzialmente
   esclusione degli archivi del               automatizzato nonché al
   settore pubblico la cui attività           trattamento non automatizzato di
   non rientra nel campo                      dati personali contenuti o
   d'appI i caz i one de I diritto            destinati a figurare negli
   comuni tar io.                             arch ivi.
 ---pagebreak---                                        - 70 -
2. Le disposizioni della presente            2. Le disposizioni della presente
   direttiva non si applicano agli              direttiva non si applicano:
   archivi :
                                                - ai trattamenti effettuati per
   a) detenuti da una persona fisica              l'esercizio di attività che non
        esclusivamente a fini privati e           rientrano nel campo di
        persona Ii, o                             applicazione del diritto
                                                  comuni tar io;
   b) detenuti da associazioni senza            - ai trattamenti di dati personali
        scopo di lucro, in particolare a          effettuati da una persona fisica
        carattere politico, filosofico,           per l'esercizio di attività a
        religioso, culturale, sindacale,          carattere esclusivamente privato
        sportivo o ricreativo, nel                e personale.
        quadro del loro scopo legittimo,
        a condizione che riguardino
        unicamente i membri e i
        corr i spondent i
        dell'associazione che hanno
        acconsentito a figurarvi e che
        non siano comunicati a terzi.
                   Art i co lo 4                            Art icolo 4
             Dir itto appiicabi le               Diritto nazionale applicabile
1. Ciascuno Stato membro applica le          1. Ciascuno Stato membro applica le
   disposizioni della presente                  disposizioni nazionali di
   d i rett i va :                              attuazione della presente
                                                direttiva a tutti i trattamenti di
                                                dat i persona Ii:
a) a tutti gli archivi situati sul suo
   terr i tor io;
 ---pagebreak---                                       - 71 -
b) al responsabile dell'archivio che       a) il cui responsabile risiede nel
   risiede nel suo territorio e che, a         suo territorio o ricade sotto la
    partire da questo, utilizza un             sua sovranità;
    archivio situato in un paese terzo
    la cui legislazione non prevede un
    livello di protezione adeguato,
   salvo in caso di utilizzazione
   sporad i ca.
                                            b) il cui responsabile non risiede
                                               nel territorio della Comunità ma
                                               ricorre, ai fini del trattamento
                                               di dati personali, a strumenti,
                                               automatizzati o non automatizzati,
                                               situati nel territorio di detto
                                               Stato membro.
2. Ciascuno Stato membro applica le        2. Nella fattispecie di cui al
   disposizioni degli articoli 5, 6,           paragrafo 1, lettera b), il
   8, 9, 10, 17, 18 e 21 de I la               responsabile del trattamento deve
   presente direttiva all'utente che           designare un rappresentante che
   consulti un archivio situato in un          risiede nel territorio di detto
   paese terzo a partire da un                 Stato membro e che è surrogato nei
   terminale che si trova nel                  diritti e negli obblighi del
   territorio di uno Stato membro,             responsab ile.
   salvo in caso di utilizzazione
   sporad i ca.
 ---pagebreak---                                      - 72 -
3. Qualora un archivio sia
   temporaneamente trasferito da uno
   Stato membro ad un altro Stato
   membro, quest'ultimo non oppone
   ostacoli e non esige formalità
   addizionali rispetto alle norme
   applicabili nello Stato membro in
   cui si trova permanentemente
   I'arch ivio.
                                                          CAPO II
                                               REQUISITI GENERALI DI LICEITÀ
                                             DEI TRATTAMENTI DI DATI PERSONALI
                                                         Art icolo 5
                                           Gli Stati membri dispongono che i
                                           trattamenti di dati personali sono
                                           leciti soltanto se effettuati in
                                           conformità delle disposizioni del
                                           presente capo.
                                           Salve le disposizioni del presente
                                           capo, gli Stati membri possono
                                           precisare i requisiti di leceità dei
                                           trattamenti di dati personali.
 ---pagebreak---                                      - 73 -
                       CAPO V                            SEZIONE I
              QUAL ITA' DEI DATI                  PRINCIPI RELATIVI ALLA
                                                     QUALITA' DEI DATI
                   Art icolo 16                          Art i co lo 6
                      Pr incipi
1. Gli Stati membri stabiliscono che:     1. Gli Stati membri dispongono che:
   a) la raccolta e il trattamento di        a) il trattamento di dati
      dati personali devono essere              personali deve essere eseguito
      effettuati in maniera leale e             lealmente e lecitamente;
      Ieg i 11 ima ;
   b) i dati devono essere memorizzati       b) i dati devono essere rilevati
      per finalità ben determinate,             per finalità determinate,
      esplicite e legittime ed                  esplicite e legittime ed
      utilizzati conformemente a tali           utilizzati in modo compatibile
      f i na I i tà ;                           con tali finalità;
   c) i dati devono essere adeguati,         c) i dati devono essere adeguati,
      pertinenti e non eccessivi                pertinenti e non sovrabbondanti
      rispetto alle finalità per le             rispetto alle finalità per le
      quali sono stati memorizzati;             quali vengono registrati;
 ---pagebreak---                                      - 74 -
   d) i dati devono essere esatti, e,         d) i dati devono essere esatti e,
      se necessario, aggiornati; i               se necessario, aggiornati;
      dati inesatti o incompleti                 devono essere prese tutte le
      devono essere cancellati o                 misure necessarie per
      rett i f icat i;                           cancellare o rettificare i dati
                                                 inesatti o incompleti rispetto
                                                 alle finalità per le quali sono
                                                 stat i reg i strat i ;
   e) i dati non devono essere                e) i dati devono essere conservati
      conservati sotto una forma che             in modo da consentire
      consenta l'identificazione delle           l'identificazione delle persone
      persone interessate per un                 interessate in un arco di tempo
      periodo di tempo superiore a               non superiore a quello
      quello necessario alle finalità            necessario al conseguimento
      per cui sono stati memorizzati.            delle finalità perseguite. Gli
                                                 Stati membri possono prevedere
                                                 garanzie adeguate per i dati
                                                 personali conservati per motivi
                                                 stor ici, statistici o
                                                 scientifici .
2. I responsabili dell'archivio            2. Il responsabile del trattamento è
   garantiscono il rispetto delle             tenuto a garantire il rispetto
   disposizioni contemplate dal               delle disposizioni contemplate al
   paragrafo 1.                               paragrafo 1.
 ---pagebreak---                                      - 75 -
                 CAPO II                                 SEZIONE II
      LEGITTIMITÀ DEL TRATTAMENTO             PRINCIPI RELATIVI Al FONDAMENTI
          NEL SETTORE PUBBLICO                    DEL TRATTAMENTO DEI DATI
               Art i co lo 5                             Ar t i co Io 7
                Pr incìpi
1. Fatte salve le disposizioni            Gli Stati membri dispongono che il
   dell'articolo 6, gli Stati membri       trattamento di dati personali può
   stabiliscono nella loro                essere effettuato soltanto quando:
   legislazione relativa agli archivi
   del settore pubblico che:
 ---pagebreak---                                      - 76 -
a) la creazione di un archivio e il        a) la persona interessata ha
   trattamento di dati personali sono         manifestato il proprio consenso
   legittimi qualora siano necessari          oppure
   per lo svolgimento dei compiti
   dell'autorità pubblica responsabile     b) è necessario per l'esecuzione del
   de II'arch iv io;                          contratto concluso con la persona
                                              interessata o per l'esecuzione di
b) il trattamento di dati per una             misure precontrattuali prese su
   finalità diversa da quella per cui         richiesta di tale persona oppure
   è stato costituito l'archivio è
   leg i tt imo quando:                   c) è necessario per adempiere un
   - la persona interessata vi                obbligo previsto dal diritto
     acconsente, o                            nazionale o dalla legislazione
   - il trattamento viene effettuato          comunitaria oppure
      in base al diritto comunitario o
     ad una legge o a un atto              d) è necessario per la salvaguardia
     giuridico adottato in                    dell'interesse vitale della
     applicazione di una legge di uno         persona interessata oppure
     Stato membro conforme alla
     presente direttiva che lo             e) è necessario per l'esecuzione di
     autorizzi e ne fissi i limiti, o         un compito di interesse pubblico o
   - a tale mutamento di finalità non         connesso all'esercizio
     si oppone un interesse legittimo         dell'autorità pubblica di cui è
     della persona interessata, o             investito il responsabile del
   - il trattamento è necessario per          trattamento o il terzo a cui
     prevenire una minaccia imminente         vengono comunicati i dati oppure
     all'ordine pubblico oppure una
     grave violazione del diritto di
     terzi .
 ---pagebreak---                                      - 77 -
                                          f) è necessario per il perseguimento
                  Art icolo 6                dell'interesse generale,
   Trattamento nel settore pubblico          dell'interesse legittimo del
            avente per oggetto la            responsabile del trattamento
    comunicazione di dati personali          oppure del o dei terzi cui vengono
                                             comunicati i dati, a condizione
1. Gli Stati membri stabiliscono nella       che non prevalga l'interesse della
    loro legislazione che la                 persona interessata.
   comunicazione di dati personali
   contenuti negli archivi di un
   organismo del settore pubblico è
    Ieg i 11 ima so I tanto:
a) quando sia necessaria per lo
   svolgimento dei compiti attribuiti
   all'organismo del settore pubblico
   che comunica o chiede la
   comunicazione di detti dati, o
b) su richiesta di una persona fisica
   0 giuridica del settore privato che
   invochi un interesse legittimo, a
   condizione che non prevalga
   l'interesse della persona
   1 nteressata.
2. Fatte salve le disposizioni di cui
   al paragrafo 1, gli Stati membri
   possono precisare le condizioni in
   cui la comunicazione di dati
   persona li è leg i tt ima.
 ---pagebreak---                                     - 78 -
3. Gli Stati membri stabiliscono nella
   loro legislazione che, nei casi
   contemplati dal paragrafo 1 (b), il
   responsabile dell'archivio informa
   le persone interessate in merito
   alla comunicazione dei loro dati
   personali. Essi possono disporre
   che tale informazione sia
   sostituita da un'autorizzazione
   preventiva dell'autorità di
   cont roIlo.
                CAPO III
     LEGITTIMITÀ' DEL TRATTAMENTO
          NEL SETTORE PRIVATO
               Art i co lo 8
                Pr incipi
1. Gli Stati membri stabiliscono nella
   loro legislazione che, senza il
   consenso della persona interessata,
   la memorizzazione in un archivio e
   qualsiasi altro tipo di trattamento
   di dati personali sono legittimi
   soltanto nel rispetto delle
   disposizioni della presente
   direttiva e a condizione che:
 ---pagebreak---                                       - 79 -
 a) il trattamento risulti necessario
     ai fini dell'esecuzione di un
     contratto o nel quadro di un
     rapporto di fiducia quasi
     contrattuale con la persona
     interessata, o
 b) i dati provengano da fonti
    generalmente accessibili al
    pubblico e il loro trattamento sia
    destinato unicamente alla
    corrispondenza, o
c) il responsabile dell'archivio
    persegua un interesse legittimo,
    purché non prevalga l'interesse
    della persona interessata;
2. Gli Stati membri stabiliscono nella
    loro legislazione che il
   responsabile dell'archivio deve
   accertarsi, per ogni comunicazione
   di dati, che essa non sia
    incompatibile con la finalità
   dell'archivio e che non sia in
   contrasto con l'ordine pubblico. In
   caso di consultazione in linea,
   l'utente è soggetto allo stesso
   obbligo.
 ---pagebreak---                                    - 80 -
 Fatte salve le disposizioni di cui
 al paragrafo 1, gli Stati membri
 possono precisare le condizioni
 ne I le qua li è leg i tt imo il
 trattamento di dati personali.
                  CAPO V                              SEZIONE
           QUALI TA' DEI DATI           CATEGORIE PARTICOLARI DI TRATTAMENTI
               Art i co lo 17                          Art icolo 8
  Categorie particolari di dati                 Trattamenti riguardanti
                                             categorie particolari di dati
Gli Stati membri vietano il             1. Gli Stati membri vietano il
trattamento automatizzato, salvo           trattamento di dati che rivelino
accordo libero, esplicito e scritto         l'origine razziale ed etnica, le
dalla persona interessata, di dati         opinioni politiche, le convinzioni
che ne rivelino l'origine razziale         religiose, filosofiche o morali,
ed etnica, le opinioni politiche,          l'appartenenza sindacale, nonché
le convinzioni religiose o                 di dati relativi alla salute e
filosofiche, l'appartenenza a              alla vita sessuale.
sindacati, nonché le informazioni
relative alla salute e alla vita        2. Gli Stati membri dispongono che il
sessuaI e.                                 trattamento di dati i cui al
                                           paragrafo 1 può essere effettuato
                                           qualora:
 ---pagebreak--- - 81 -
      a) la persona interessata abbia dato
         per iscritto il proprio consenso a
         tale trattamento, salvo nei casi
         in cui la legislazione dello Stato
         membro stabilisce che non si possa
         derogare al divieto di cui al
         paragrafo 1 con il consenso della
         persona interessata;
      b) iI trattamento venga effettuato da
         una fondazione o una associazione
         senza scopo di lucro, a carattere
         politico, filosofico, religioso o
         sindacale, nell'ambito del suo
         scopo lecito e a condizione che
         riguardi unicamente i membri della
         fondazione o dell'associazione e
         le persone in contatto con esse e,
         che i dati non vengano comunicati
         a terzi senza il consenso delle
         persone interessate;
     c) il trattamento sia effettuato in
         condizioni tali da non recare
         manifestamente pregiudizio alla
         vita privata e alle libertà.
      I trattamenti di cui alla lettera b)
     sono dispensati dal l'obbligo di
     notificazione disposto alla sezione
     Vili del presente capo.
 ---pagebreak---                                      - 82 -
2. Gli Stati membri possono, per          3. Gli Stati membri possono, per
   importanti motivi d'interesse              motivi d'interesse pubblico
   pubblico, stabilire deroghe alle           rilevante, stabilire deroghe al
   disposizioni del paragrafo 1 in            paragrafo 1 sulla base di una
   base ad una legge che precisi i            disposizione legislativa nazionale
   tipi di dati memorizzabiIi, le             o di una decisione dell'autorità
   persone aventi accesso all'archivio        di controllo che precisino i tipi
   nonché le opportune garanzie contro        di dati che possono essere oggetto
   il rischio d'utilizzazione abusiva         di trattamento, le persone
   e di accesso non autorizzato.              destinatarie dei dati, la qualità
                                              del responsabile del trattamento
                                              nonché le opportune garanzie.
3. I dati relativi a condanne penali          I dati relativi a condanne penali
   possono essere conservati soltanto         possono essere conservati soltanto
   in archivi del settore pubblico.           dalle autorità giudiziarie e dalle
                                              autorità centrali compententi in
                                              materia di giustizia nonché delle
                                              persone direttamente interessate
                                              dalle decisioni in oggetto o dai
                                              loro rappresentanti; gli Stati
                                              membri possono tuttavia stabilire
                                              deroghe sulla base di una
                                              disposizione legislativa nazionale
                                              che precisi le opportune garanzie.
                                           5. Gli Stati membri determinano a
                                              quali condizioni può essere
                                              utilizzato un numero nazionale di
                                              identificazione o qualsiasi altro
                                              mezzo identificativo di portata
                                              genera le.
 ---pagebreak---                                      - 83 -
                 CAPO VI
      DISPOSIZIONI SPECIFICHE PER
             TALUNI SETTORI
               Articolo 19                               Articolo 9
                                              Trattamenti di dati personali e
                                                   libertà di espressione
Al fine di conciliare il diritto alla     Al fine di conciliare il diritto alla
vita privata con le norme che              vita privata con le norme sulla
disciplinano la libertà d'informazione     libertà di espressione, gli Stati
e di stampa, gli Stati membri possono     membri prevedono deroghe alle
accordare deroghe alla presente           disposizioni della presente
direttiva a favore degli organismi di     direttiva, in relazione al
stampa e audiovisivi.                      trattamento di dati personali
                                          effettuato a fini di giornalismo
                                          dagli organismi di stampa e del
                                          settore audiovisivo, nonché dai
                                          g iornalisti.
 ---pagebreak---                                       - 84 -
                   CAPO IV                                SEZIONE IV
   DIRITTI DELLA PERSONA INTERESSATA                  INFORMAZIONE DELLA
                                                     PERSONA INTERESSATA
                 Articolo 14                             Art icolo 10
       Diritti complementari della               Informazione sull'esistenza
           persona interessata                        di un trattamento
Gli Stati membri accordano alla             1. Gli Stati membri garantiscono a
persona interessata il diritto:                qualsiasi persona il diritto di
                                               conoscere, su sua richiesta,
3. di conoscere l'esistenza di                 l'esistenza di un trattamento, le
   un'archivio, le sue finalità                sue finalità, le categorie di dati
    principali nonché l'identità e la          relativi nonché i terzi o
   residenza abituale, la sede o il            categorie di terzi a cui vengono
   domicilio del responsabile                  comunicati i dati, il nome e
   de II'arch i v io ;                         l'indirizzo del responsabile del
                                               trattamento ed eventualmente del
                                               suo rappresentante.
                                            2. Gli Stati membri possono derogare
                                               alle disposizioni del paragrafo 1,
                                               alle condizioni previste
                                               all'articolo 14, paragrafo 1.
 ---pagebreak---                                      - 85 -
                Articolo 13                               Articolo 11
         L'informazione al momento                Informazione nel caso di
          della raccolta dei dati                 raccolta dei dati presso
                                                    la persona interessata
1. Gli Stati membri garantiscono alle     1. Gli Stati membri dispongono che il
   persone presso le quali viene              responsabile del trattamento deve
   effettuata una raccolta di dati            accertare che la persona
   personali il diritto di essere             interessata presso la quale viene
   almeno informate in merito:                effettuata una raccolta di dati
                                              sia informata almeno in merito:
a) alle finalità dell'archivio cui        a) alle finalità del trattamento cui
   sono destinate le informazioni,            sono destinati i dati, e
b) all'obbligatorietà o                    b) alla natura obbligatoria o non
   discrezionalità della loro risposta        della risposta alle domande
   alle domande oggetto della                 oggetto della raccolta, e
   racco I ta,
c) alle conseguenze nei loro confronti    c) alle conseguenze nei suoi
   di un eventuale rifiuto di                 confronti di una mancata risposta,
   r i spondere,                              e
d) ai destinatari delle informazioni      d) ai destinatari o alle categorie di
                                              dest inatar i de i dat i , e
 ---pagebreak---                                      - 86 -
e) all'esistenza del diritto di           e) ài resistenza del diritto di
   accesso e di rettifica dei loro           accesso ai dati che la riguardano
   dat i persona Ii,                         e del diritto di rettifica di tali
                                             dat i , e
f) al nome e indirizzo del                f) al nome e indirizzo del
   responsabile dell'archivio.               responsabile del trattamento ed
                                             eventualmente del suo
                                             rappresentante.
2. Le disposizioni del paragrafo 1 non    2. Le disposizioni del paragrafo 1
   si applicano alla raccolta di             non si applicano alla raccolta dei
   informazioni quando l'informazione        dati quando l'informazione della
   della persona interessata ostacoli        persona interessata impedirebbe il
   l'esercizio delle funzioni di             compimento di una funzione di
   controllo e di verifica                   controllo o di ispezione relativa
   dell'autorità pubblica o il               all'esercizio dell'autorità
   mantenimento dell'ordine pubblico.        pubblica o la collaborazione con
                                             la funzione suddetta, oppure
                                             impedirebbe il mantenimento
                                             dell'ordine pubblico.
 ---pagebreak---                                      - 87 -
                      CAPO III
        LEGITTIMITÀ DEL TRATTAMENTO
                NEL SETTORE PRIVATO
                     Art icolo 9                           Art icolo 12
            Obbligo d'informare la                 Informazione nel caso di
                persona interessata              comunicazione ad un terzo
1. Per il settore privato, gli Stati       1. Gli Stati membri dispongono che,
   membri stabiliscono nella loro             nei casi di cui alle lettere b),
   legislazione che, in occasione             c), e), f) dell'articolo 7, il
   della prima comunicazione o                responsabile del trattamento
   dell'apertura di una possibilità di        accerta, al momento opportuno e
   consultazione in linea, il                 comunque non più tardi della prima
   responsabile ne informa la persona         comunicazione ad un terzo, che la
   interessata ed indica inoltre la           persona interessata sia informata
   finalità dell'archivio, i tipi di          di tale comunicazione ed almeno in
   dati ivi contenuti, il suo nome e          mer i to:
    i nd i r i zzo.                        a) al nome e indirizzo del
                                              responsabile del trattamento ed
                                              eventualmente del suo
                                              rappresentante, e
                                           b) alle finalità del trattamento, e
                                           c) alle categorie di dati ad esso
                                              relative al trattamento, e
                                           d) al destinatario o categorie di
                                              dest i natar i , e
                                           e) all'esistenza del diritto di
                                              accesso, di rettifica e di
                                              oppos i z ione.
 ---pagebreak---                                       - 88 -
2. L'informazione di cui al paragrafo      2. Le disposizioni del paragrafo 1
   1 non è obbligatoria nel caso               non si applicano quando-,
   contemplato dall'articolo 8,                la comunicazione ad un terzo o la
   paragrafo 1, lettera b). L'obbligo          possibilità di questa sono già
   d'informare le persone interessate          state portate a conoscenza della
   decade quando la comunicazione è            persona interessata, oppure
   prevista per legge.                         la comunicazione ad un terzo è
                                               imposta da una legge che prevede
3. Qualora la persona interessata sia          una deroga all'obbligo di
   contraria alla comunicazione o a            informazione della persona
   qualsiasi altro trattamento, il             interessata, oppure
   responsabile dell'archivio è tenuto         la comunicazione ad un terzo è
   a porre termine al trattamento              eseguita in forza
   contestato a meno che non vi sia            dell'articolo 14, paragrafo 1.
   esplicitamente autorizzato da una
   disposizione giuridica.
                                            3. Qualora l'informazione della
              Art i co lo 10                   persona interessata si riveli
    Deroghe particolari all'obbligo            impossibile o implichi sforzi
  d'informare la persona interessata           sproporzionati, oppure confi igga
                                               con interessi legittimi preminenti
Qualora, l'informazione della persona          del responsabile del trattamento o
interessata, conformemente                     con un interesse analogo di un
all'articolo 9, paragrafo 1, si riveli         terzo, gli Stati membri possono
impossibile o comporti sforzi                  disporre che l'autorità di
spropor7ionati , oppure contrasti con          controllo abbia la facoltà di
interessi legittimi preminenti del             autor izzare uria deroga, precedendo
responsabile dell'archivio o con un            eventualmente le opportune
interesse analogo di un terzo, gli             garanz ie.
Stati membri possono stabilire nella
loro legislazione che l'autorità di
controllo può autorizzare una deroga.
 ---pagebreak---                                      - 89 -
                   CAPO IV                                SEZIONE V
   DIRITTI DELLA PERSONA INTERESSATA           DIRITTO DI ACCESSO Al DATI DA
                                              PARTE DELLA PERSONA INTERESSATA
                 Articolo 14                             Art i co lo 13
        Diritti complementari della                  Dir itto di accesso
            persona interessata
Gli Stati membri accordano alla           Gli Stati membri riconoscono alla
persona interessata il diritto:            persona interessata il diritto:
4. di ottenere a intervalli                1. di ottenere, su richiesta, a
   ragionevoli e senza ritardi o spese        intervalli ragionevoli e senza
   eccessive, la conferma                     ritardi o spese eccessive, la
   dell'esistenza o meno in un                conferma dell'esistenza o meno di
   archivio di dati personali che la          dati personali che la riguardano,
   riguardano e la loro comunicazione         la comunicazione di tali dati in
    i n forma i nte I I ig i b ile.           forma intelligibile nonché di
                                              informazioni sulla loro origine e,
                                              in linea generale, sul loro
                                              impiego.
   Gli Stati membri possono disporre          Gli Stati membri possono disporre
   che il diritto di accesso ai dati a        che il diritto di accesso ai dati
   carattere medico può essere                di carattere medico può essere
   esercitato soltanto per II tramite         esercitato soltanto per il tramite
   di un medico;                              di un medico;
 ---pagebreak---                                      - 90 -
                                          2. di non essere obbligata da un
                                             terzo, salvo se la domanda di
                                             questo sia basata sulla
                                              legislazione nazionale o
                                             comunitaria, ad esercitare il
                                             diritto di accesso al fine di
                                             comunicargli i dati in oggetto o
                                             di comunicarli ad altri;
5. di ottenere, se del caso, la           3. di ottenere, secondo i casi, la
   rettifica, la cancellazione o il          rettifica dei dati inesatti o
   congelamento di tali dati qualora         incompleti, la loro cancellazione
    il trattamento non sia conforme          o il loro congelamento qualora il
   alle disposizioni della presente          trattamento non sia conforme alle
   d i rett i va ;                           disposizioni della presente
                                             d i rett i va ;
7. di ottenere, in caso di                4. di ottenere, in caso di
   applicazione del paragrafo 5 del          applicazione del punto 3, e
   presente articolo e qualora i dati        qualora i dati siano stati
   siano stati comunicati a terzi, la        comunicat i a terzi , la
   notifica a questi ultimi della loro       notificazione a questi ultimi
   rettifica, cancellazione o                della rettifica, cancellazione o
   congelamento;                             congelamento;
                                          5. di conoscere, su r i eh i esta , la
                                             log i ca appIi cata nei trattamenti
                                             automatizzati i ui risultati le
                                             vengono oppost i .
 ---pagebreak---                                       - 91 -
               Art i co Io 15                              Ar t i co Io 14
      Deroghe al diritto di accesso              Deroghe al diritto di accesso
        della persona interessata
   agli archivi del settore pubblico
1. Gli Stati membri possono limitare        1. Salvo non vi siano obbligati da
    per legge i diritti enunciati dai          una disposizionse di diritto
    paragrafi 3 e 4 dell'articolo 14           comunitario, gli Stati membri,
    per motivi concernenti:                    possono limitare per legge
                                                l'esercizio dei diritti enunciati
                                               all'articolo 10, paragrafo 1 e
                                               all'articolo 13, punto 1 qualora
                                               tali limiti siano necessari alla
                                               sa Ivaguard i a :
a) la sicurezza dello Stato,               a) della sicurezza dello Stato,
b) la difesa,                              b) de IIa di fesa,
c) procedimenti penali,                    c) dei procedimenti penali,
d) la pubblica sicurezza,                  d) della pubblica sicurezza,
e) un interesse economico e                e) di un interesse economico e
   finanziario imperativo, debitamente         finanziario imperativo,
   giustificato, di uno Stato membro o         debitamente giustificato, di uno
   della Comunità europea,                     Stato membro o della Comunità,
 ---pagebreak---                                       - 92 -
f) la necessità dell'autorità pubblica
   di esercitare funzioni di controllo     f) di un compito di controllo o di
   o d i ispez ione,                           ispezione connesso con l'esercizio
                                              dell'autorità pubblica o della
                                              cooperazione in tale compito;
g) un diritto equivalente di un'altra      g) di un diritto equivalente di
   persona o diritti e libertà di             un'altra persona o di diritti e
   terz i .                                    Ii bertà d i terz i.
2. Nei casi di cui al paragrafo 1,         2. Nei casi di cui al paragrafo 1,
    l'autorità di controllo deve poter        l'autorità di controllo deve poter
   effettuare, su domanda della               eseguire, su richiesta della
   persona interessata, le necessarie         persona interessata, le verifiche
   verifiche dell'archivio.                   necessarie per accertare la
                                              liceità dei trattamenti a norma
                                              della presente direttiva, nel
                                              rispetto degli interessi da
                                              salvaguardare ai sensi del
                                              paragrafo 1 .
3. Gli Stati membri possono limitare       3. Gli Stati membri possono limitare
   il diritto di accesso della persona        il diritto di accesso della
   interessata ai dati temporaneamente        persona interessata ai dati
   compilati al fine di estrarvi              conservati temporanemente sotto
   i iìfoi niaz ion i statisti elio .         forma por sonalo 'i dentina ti ad
                                              essere trattati per fini
                                              statistici in modo che le persone
                                              interessate non siano più
                                              ragionevolmente identificabili.
 ---pagebreak---                                      - 93 -
                                                         SEZIONE VI
                                                   DIRITTO DI OPPOSIZIONE
                                                 DELLA PERSONA INTERESSATA
                 Articolo 14                            Art i co lo 15
          Diritti complementari              Opposizione per motivi legittimi
       della persona interessata
Gli Stati membri accordano alla           1. Gli Stati membri riconoscono alla
persona interessata il diritto:              persona interessata il diritto di
                                             opporsi in qualsiasi momento, per
1. di opporsi, per motivi legittimi,         motivi legittimi, al trattamento
   al trattamento di dati personali          di dati personali che la
   che la riguardano;                        r iguardano;
6. di ottenere, su richiesta, la          2. In caso di opposizione legittima,
   cancellazione gratuita dei dati che        il responsabile del trattamento è
   la riguardano memorizzati in              tenuto a porvi termine.
   archivi contenenti informazioni in
   materia di ricerche di mercato o di
   pubbIi c i tà.
 ---pagebreak---                                      - 94 -
                                          3. Il responsabile del trattamento
                                             deve accertare che, prima della
                                             comunicazione a terzi o dell'uso
                                             da parte di terzi di dati
                                             personali a fini di prospezione
                                             per via postale, venga
                                             esplicitamente riconosciuta alle
                                             persone interessate la possibilità
                                             di far cancellare senza spese i
                                             dat i .
                                                            Articolo 16
                                                     Dec i s i on i indivi duaIi
                                                            automatizzate
2. di non essere sottoposta ad una        1. Gli Stati membri riconoscono a
   decisione amministrativa o privata        qualsiasi persona il diritto di
   che implichi una valutazione del          non essere sottoposta ad una
   suo comportamento avente come unico       decisione amministrativa o
   fondamento un trattamento                 privata, ad essa pregiudizievole,
   automatizzato di dati personali           fondata esclusivamente su di un
   volto a definire il profilo o la          trattamento automatizzato che
   personalità dell'interessato;             definisce un profilo di
                                             persona I i tà.
                                          2. Gli Stati membri          dispongono,
                                             salve le altre disposizioni della
                                             presente direttiva, che una
                                             persona può essere sottoposta alla
                                             decisione, di cui al paragrafo 1,
                                             la quale:
 ---pagebreak--- - 95 -
       a) sia presa nel contesto della
          conclusione o della esecuzione
          di un contratto, a condizione
          che la domanda della persona
          interessata, relativa alla
          decisione, sia stata accolta
          oppure che misure adeguate, fra
          le quali la possibilità di far
          valere il proprio punto di
          vista, garantiscano la
          salvaguardia del suo legittimo
           i nteresse.
       b) sia autorizzata da una legge
          che precisi i provvedimenti
          atti a garant ire la
          salvaguardia del legittimo
          interesse della persona
          i nteressata.
 ---pagebreak---                                      - 96 -
               CAPITOLO V                              SEZIONE VI I
           QUALITA DEI DATI                     SICUREZZA DEI TRATTAMENTI
              Articolo 18                              Art icolo 17
          Sicurezza dei dati
1. Gli Stati membri, nella loro           1. Gli Stati membri dispongono che il
   legislazione, impongono al                responsabile del trattamento deve
   responsabile dell'archivio                adottare adeguate misure tecniche
   l'obbligo di adottare le misure           ed organizzative necessarie a
   tecniche ed organizzative                 tutela contro la distruzione,
   necessarie per proteggere                 accidentale o illecita, la perdita
   l'archivio dalla distruzione,             accidentale, nonché l'alterazione,
   accidentale o non autorizzata,            la comunicazione o qualsiasi altra
   dalla perdita accidentale dei dati        forma non autorizzata di
   o dalla loro alterazione,                 trattamento di dati personali.
   dall'accesso non autorizzato a dati
   personali o da qualsiasi altro
   trattamento non consentito.
 ---pagebreak---                                      - 97 -
   Tali misure devono garantire agli         Tali misure devono garantire al
   archivi automatizzati un adeguato         trattamento automatizzato dei dati
    livello di sicurezza tenuto conto,       un adeguato livello di sicurezza
   da un lato, delle attuali                 tenuto conto, da un lato, delle
   conoscenze in materia e del costo         attuali conoscenze tecnologiche e,
   della loro applicazione e, d'altro        dall'altro, della natura dei dati
    lato, della natura dei dati da           da proteggere e della valutazione
   proteggere e della valutazione dei        dei rischi potenziali. A tal fine,
   rischi potenziali. A tal fine, il          il responsabile del trattamento
   responsabile dell'archivio deve           deve prendere in considerazione le
   prendere in considerazione le             raccomandazioni in materia di
   raccomandazioni in materia di             sicurezza informatica e
   sicurezza informatica e                   d'interoperatività delle reti
   d'interoperatività delle reti             adottate dalla Commissione secondo
   adottate dalla Commissione secondo        le modalità menzionate
   le modaIità previste                      al l'art icolo 33.
   dal I'art icolo 29.
2. Per la trasmissione di dati            2. Per la trasmissione di dati
   personali in una rete occorre             personali in una rete occorre
   scegliere metodi atti a fornire un        scegliere metodi che garantiscano
   adeguato livello di sicurezza.            una sicurezza adeguata.
3. In caso di consultazione in linea,     3. Qualora esista la possibilità di
   le installazioni tecniche e il            accesso a d i stanza, i l
   software devono essere predisposti        responsabile del trattamento deve
   in modo che la consultazione              predisporre gli impianti tecnici e
   avvenga entro i limiti                    i programmi in modo che l'accesso
   dell'autorizzazione concessa dal          resti nei limiti di liceità del
   responsabile dell'archivio.               trattamento.
 ---pagebreak---                                      - 98 -
4. Gli obblighi di cui ai paragrafi 1-    4. Gli obblighi di cui ai paragrafi
   3 incombono anche alle persone che,       da 1 a 3 incombono anche alle
   di fatto o per contratto,                 persone implicate nella
   esercitano il controllo sulle             realizzazione del trattamento, in
   operazioni relative ad un archivio.       particolare l'incaricato dal
                                             trattamento.
5. Chiunque acceda, nell'esercizio        5. Chiunque acceda, nell'esercizio
   della sua attività professionale, a       della sua attività professionale,
   informazioni contenute in archivi,        a dati personali, non deve
   non può comunicarle a terzi senza         comunicarli a terzi senza
   l'accordo del responsabile                l'accordo del responsabile del
   del I'archivio.                           trattamento, se non in forza di
                                             obblighi previsti dal diritto
                                             nazionale o comunitario.
 ---pagebreak---                                       - 99 -
                  CAPO II                                   SEZIONE Vili
       LEGITTIMITÀ DEL TRATTAMENTO                         NOTIFICAZIONE
           NEL SETTORE PUBBLICO
                Art icolo 7                                 Articolo 18
   Obbligo di notifica all'autorità                 Obbligo di notificazione
               di control lo                       all'autorità di controllo
1. Gli Stati membri stabiliscono nella     1. Gli Stati membri dispongono un
    loro legislazione che la creazione        obbligo di notificazione a carico
   di un archivio del settore pubblico        del responsabile del trattamento,
   contenente dati personali                  od eventualmente il suo
   suscettibili di essere comunicati          rappresentante, sia presso
   deve essere preventivamente                l'autorità di controllo di cui
   notificata all'autorità di                 all'articolo 30, prima di
   controllo, che l'annota in un              procedere alla realizzazione di un
   apposito registro. Il registro può         trattamento interamente o
   essere consultato da qualsiasi             parzialmente automatizzato o di un
   persona.                                   insieme di trattamenti della
                                              stessa natura destinati al
                                              conseguimento di una o più
                                              f i na Ii tà corre late.
 ---pagebreak---                                    - 100 -
Gli Stati membri definiscono le          2. Gli Stati membri definiscono le
informazioni che devono essere              informazioni che devono essere
notificate all'autorità di                  contenute nella notificazione.
controllo. Esse devono comprendere          Esse comprendono almeno:
come minimo il nome e l'indirizzo
del responsabile dell'archivio, la       a) il nome e l'indirizzo del
finalità dell'archivio, una                 responsabile del trattamento, ed
descrizione dei tipi di dati ivi            eventualmente del suo
memorizzati, i terzi cui i dati             rappresentante,
possono essere comunicati e una          b) le finalità del trattamento,
descrizione delle misure adottate        c) le categorie di persone
in applicazione dell'articolo 18.           interessate,
                                         d) una descrizione dei dati o delle
Gli Stati membri possono stabilire          categorie di dati oggetto del
che le disposizioni dei paragrafi 1         trattamento,
e 2 si applicano ad altri archivi        e) i terzi o le categorie di terzi
del settore pubblico e che la               cui i dati possono essere
consultazione del registro può              comun i cat i ,
essere lim'"'
            nata per i mot IVI ai cui       i trasferimenti di dati previsti
all'art ico lo 15, paragrafo 1.             con paes i terz i ,
                                         9) una descrizione delle misure
                                            adottate in applicazione
                                            dell'articolo 17 per garantire I
                                            sicurezza del trattamento.
 ---pagebreak---                                      - 101 -
                                           3. Qualsiasi mutamento relativo alle
                 CAPO III                     informazioni di cui al paragrafo 2
                                              deve essere notificato
      LEGITTIMITÀ' DEL TRATTAMENTO            all'autorità di controllo.
           NEL SETTORE PRIVATO
               Art icolo 11                4. Entro quindici giorni dalla
   Obbligo di notifica all'autorità           notificazione, l'autorità di
              di controI lo                   controllo procede, prima della
                                              loro esecuzione, all'esame dei
1. Gli Stati membri stabiliscono nella        trattamenti che presentino rischi
    loro legislazione che il                  particolari per i diritti e le
   responsabile dell'archivio notifica        libertà della persona, e presenta
    la creazione di un archivio di dati       le proprie conclusioni.
   personali quando i dati sono
   destinati ad essere comunicati e        5. Gli Stati membri possono disporre
   non provengono da font i                   che alcuni trattamenti di cui al
   generalmente accessibili al                paragrafo 4 siano soggetti ad
   pubblico. La notifica deve essere          autorizzazione preventiva
   fatta all'autorità di controllo            dell'autorità di controllo.
   dello Stato membro in cui si trova
   l'archivio oppure, se l'archivio
   non è situato in uno Stato membro,
   all'autorità di controllo dello
   Stato membro di residenza del
   responsabile. Il responsabile
   dell'archivio notifica alle
   autorità nazionali competenti
   qualsiasi mutamento di finalità
   dell'archivio o d'indirizzo.
 ---pagebreak---                                     - 102 -
2. Gli Stati membri definiscono le
   informazioni che devono essere
   notificate all'autorità di
   controllo. Esse devono comprendere
   almeno il nome e l'indirizzo del
   responsabile dell'archivio, la
   finalità dell'archivio, una
   descrizione dei tipi di dati ivi
   contenuti, i terzi cui sono
   eventualmente comunicati i dati e
   una descrizione delle misure
   adottate in applicazione
   de Il'art i co lo 18.
3. Gli Stati membri possono stabilire
   che le disposizioni di cui ai
   paragrafi 1 e 2 si applicano ad
   altri archivi del settore privato e
   che le informazioni contemplate dal
   paragrafo 2 sono accessibili al
   pubbI ico.
 ---pagebreak--- - 103 -
                     Art i co lo 19
           La semplificazione e l'esonero
           da II'obbligo di notificazione
      1. Gli Stati membri dispongono che
          l'obbligo di notificazione è
         oggetto di semplificazione o di
         esonero per alcune categorie di
         trattamenti che non ledono i
         diritti e le libertà della persona
          interessata. Queste categorie di
         trattamenti comprendono in
         particolare la produzione di
          lettere o documenti, l'adempimento
         di obblighi legali, contabili,
         fiscali o sociali oppure la
         consultazione di servizi di
         documentazione accessibili al
         pubblico.
      2. Il provvedimento di
         semplificazione o di esonero è
         deciso o dall'autorità di
         controllo o previa consultazione
         della medesima. Esso precisa per
         ogni categoria di trattamento    in
         particolare quanto segue:
         le finalità del trattamento,
     -   una descrizione dei dati o delle
         categorie di dati trattati,
         le categorie di persone
         interessate,
         i terzi o categorie di terzi a cui
         vengono comunicati i dati,
 ---pagebreak--- - 104 -
          il periodo di conservazione dei
         dat i ,
      - eventualmente le condizioni alle
         quali viene effettuato il
         trattamento.
      3. Il beneficio della semplificazione
         o dell'esonero dal l'obbligo di
         notificazione lascia
          impregiudicati gli altri obblighi
         previsti dalla presente direttiva
         a carico del responsabile del
         trattamento.
                      Art i co lo 20
                 I trattamenti manuali
      Gli Stati membri possono stabilire le
      modalità di applicazione delle
      disposizioni di cui agli articoli 18
      e 19 ai trattamenti non automatizzati
      di dati personali contenuti negli
      arch ivi.
 ---pagebreak---                                      - 105 -
                                                          Ar t i co lo 21
                                                        11 registro dei
                                                    trattamenti notificati
                                           Gli Stati membri dispongono che
                                           l'autorità di controllo tiene il
                                           registro dei trattamenti notificati.
                                           Il registro contiene, nei casi
                                           previsti agli articoli 18 e 19,
                                           almeno le informazioni elencate
                                           all'articolo 18, paragrafo 2, lettere
                                           da a) ad f). Può essere consultato da
                                           eh iunque, sa Iv i i limiti
                                           eventualmente stabiliti dagli Stati
                                           membri secondo le disposizioni
                                           dell'articolo 14, paragrafo 1.
                 CAPO VI
      DISPOSIZIONI SPECIFICHE PER
             TALUNI SETTORI
               Art i co lo 20
1. Gli Stati membri incoraggiano gli
   ambienti professionali a
   partecipare all'elaborazione di
   codici europei di deontologia o di
   buona condotta per determinati
   settori sulla base dei principi
   contenuti nella presente direttiva.
 ---pagebreak---                                      - 106 -
                CAPO IV
   DIRITTI DELLA PERSONA INTERESSATA                          CAPO III
                                                     RICORSI GIURISDIZIONALI,
                                                    RESPONSABILITÀ E SANZIONI
              Art icolo 14                                  Art i co lo 22
         Diritti complementari
       della persona interessata                      Ricorsi giurisdizionali
Gli Stati membri accordano alla            Gli Stati membri stabiliscono che
persona interessata il diritto:            chiunque disponga di un ricorso
                                           giurisdizionale in caso di violazione
8. di disporre di un mezzo di ricorso      dei diritti garantiti dalla presente
   giurisdizionale in caso di              d i rett i va.
   violazione dei diritti garantiti
   dal presente articolo.
 ---pagebreak---                                     - 107 -
                 CAPO VII
       RESPONSABIL ITA' E SANZIONI
               Art i co lo 21                            Ar t i co lo 23
             ResponsabiIità                            ResponsabiIi tà
1. Gli Stati membri stabiliscono nella    1. Gli Stati membri dispongono che
    loro legislazione che qualsiasi          qualsiasi persona i cui dati
   persona i cui dati personali siano        personali siano oggetto di un
   memorizzati in un archivio e che          trattamento e che subisca un danno
   subisca un danno per effetto del          cagionato da un trattamento
   trattamento o di qualsiasi altra           illecito o da qualsiasi altro atto
   azione incompatibile con le                incompatibile con le disposizioni
   disposizioni della presente               nazionali di attuazione della
   direttiva, ha il diritto di               presente direttiva ha il diritto
   chiedere al responsabile                  di ottenere il risarcimento dal
   dell'archivio un adeguato                 responsabile del trattamento.
   r isarcimento.
2. Gli Stati membri possono stabilire     2. Gli Stati membri possono disporre
   che i danni risultanti dalla              che il responsabile del
   perdita o dalla distruzione di dati       trattamento sia esonerato in tutto
   o da un accesso non autorizzato non       o in parte dalla responsabilità
   sono imputabili al responsabile           per i   danni cagionati da perdita
   dell'archivio se quest'ultimo             o da distruzione di dati o
   dimostra di aver adottato le              dall'accesso non autorizzato
   opportune misure per conformarsi          qualora provi di aver preso le
   alle disposizioni degli articoli 18       misure idonee per conformarsi alle
   e 22.                                     disposizioni degli articoli 17 e
                                             24.
 ---pagebreak---                                        - 108 -
               Art icolo 22                                Art icolo 24
       Trattamento per conto del                      Trattamento per conto
      responsab ile de 11'areh i v i o          del responsabile del trattamento
1. Gli Stati membri stabiliscono nella       1. Gli Stati membri dispongono che,
   loro legislazione che, in caso di             il responsabile del trattamento,
   trattamento effettuato per conto             quando quest'ultimo sia eseguito
   del responsabile dell'archivio,              per suo conto, deve accertarsi del
   quest'ultimo deve accertarsi del             rispetto delle necessarie misure
   rispetto delle necessarie misure dì          di sicurezza e di organizzazione e
   sicurezza e di organizzazione e              scegliere un incaricato del
   scegliere una persona o un'impresa            trattamento che dia garanzie
   che fornisca garanzie sufficienti             sufficienti al riguardo.
   al riguardo.
2. Chiunque raccolga o tratti dati           2. L'incaricato del trattamento
   personali per conto del                      esegue unicamente il trattamento
   responsabile dell'archivio deve              dei dati personali oggetto del
   rispettare gli obblighi contemplati          contratto concluso con il
   dagli articoli 16 e 18 della                 responsabile del trattamento e
   presente d i rett i va.                      riceve istruzioni esclusivamente
                                                da quest'ultimo. Egli deve
                                                osservare le disposizioni
                                                nazionali di attuazione della
                                                 presente d i rett i va.
 ---pagebreak---                                       - 109 -
 3. Il contratto deve essere stipulato      3. Il contratto deve essere stipulato
    per iscritto e specificare, in             per iscritto e specificare, in
    particolare, che i dati personali          particolare, che i dati personali
    non possono essere divulgati dal           trattati in forza di esso non
    prestatario o dai suoi dipendenti          possono essere divulgati a terzi
    senza l'accordo del responsabile           dall'incaricato del trattamento o
    de II'archIv io.                           dai suoi dipendenti senza il
                                               consenso del responsabile del
                                               trattamento.
               Articolo 23                               Articolo 25
                  Sanzioni                                 Sanzioni
Gli Stati membri prevedono nelle loro       Gli Stati membri dispongono
legislazioni l'applicazione di              l'irrogazione di sanzioni dissuasive
sanzioni dissuasive al fine di              contro chiunque non osservi le
garantire il rispetto delle                 disposizioni nazionali di  attuazione
disposizioni adottate in applicazione       della presente direttiva.
della presente direttiva.
 ---pagebreak---                                     - 110 -
               CAPO Vili                                  CAPO IV
    TRASFERIMENTO DI DATI PERSONALI          TRASFERIMENTO DI DATI PERSONALI
           VERSO PAESI TERZI                        VERSO PAESI TERZI
              Art i co lo 24                           Art i co lo 26
                Pr incipi                                Pr incipi
1. Gli Stati membri stabiliscono nella    1. Gli Stati membri dispongono che il
   loro legislazione che il                  trasferimento, temporaneo o
   trasferimento temporaneo o                definitivo, verso un paese terzo
   definitivo, verso un paese terzo,         di dati personali oggetto di un
   di dati personali che formano             trattamento o raccolti a tal fine,
   oggetto di un trattamento, oppure         può aver luogo soltanto se il
   raccolti a tal fine, può aver luogo       paese terzo di cui trattasi
   soltanto a condizione che detto           garantisca una tutela adeguata.
   paese garantisca un livello di
   protezione adeguato.
                                             In deroga al primo comma, gli
                                             Stati membri dispongono che un
                                             trasferimento verso un paese terzo
                                             che non garantisca una tutela
                                             adeguata può avvenire a condizione
                                             che:
 ---pagebreak--- la persona interessata abbia
consentito al trasferimento
previsto nell'ambito di rapporti
precontrattuali, salve le
disposizioni dell'articolo 8,
paragrafo 2, lettera a), oppure
il trasferimento sia necessario
per l'esecuzione di un contratto
tra la persona interessata ed i I
responsabile del trattamento,
purché la prima sia stata
informata del trasferimento,
anche potenziale, verso un paese
terzo che non garantisce una
tutela adeguata, oppure
il trasferimento sia necessario
per la salvaguardia di un
interesse pubblico importante,
oppure
il trasferimento sia necessario
per la salvaguardia
dell'interesse vitale della
persona interessata.
 ---pagebreak---                                      - 112 -
                                           2. Il carattere adeguato della tutela
                                              garantito da un paese terzo è
                                               valutato con riguardo a tutte le
                                              circostanze relative ad un
                                              trasferimento o ad una categoria
                                              di trasferimenti di dati; in
                                              particolare sono prese in
                                              considerazione la natura dei dati,
                                               le finalità e la durata dei
                                              trattamenti previsti, le
                                              disposizioni legislative, generali
                                              o settoriali vigenti nel paese
                                              terzo di cui trattasi, nonché le
                                              regole professionali ivi
                                              osservate.
P. Gli Stati membri comunicano alla        3. Gli Stati membri comunicano alla
   Commissione i casi in cui un paese         Commissione i casi in cui, a loro
   terzo importatore non garantisce un        parere, un paese terzo non
    livello di protezione adeguato.           garantisce una tutela adeguata.
3. Qualora la Commissione constati, in     4. Qualora la Commissione constati,
   base alle informazioni degli Stati          in base alle informazioni degli
   membri o in base ad altre                  Stati membri o in base ad altre
   informazioni, che un paese terzo           informazioni, che un paese terzo
   non dispone di un livello di               non garantisce     una tutela
   protezione adeguato e che la               adeguata e che la conseguente
   situazione che ne deriva è                 situazione lede gli interessi
   pregiudizievole per gli interessi          della Comunità o di uno Stato
   della Comunità e dello Stato               membro, può avviare negoziati al
   membro, essa può avviare negoziati         f ine di porv i r imed io.
   al fine di porvi rimedio.
 ---pagebreak---                                      - 113 -
4. La Commissione può decidere,            5. La Commissione può decidere,
   secondo la procedura definita              secondo la procedura definita
   dall'articolo 30, paragrafo 2 della        all'articolo 34, paragrafo 2, che
   presente direttiva, che un paese           un paese terzo garantisce una
   terzo garantisce un livello di             tutela adeguata in considerazione
   protezione adeguato in                     degli impegni internazionali
   considerazione dei suoi impegni            sottoscritti o della sua
   internazionali o della sua                 legislazione interna.
   legislazione nazionale.
5. Le misure adottate a norma del          6. Le misure adottate a norma del
   presente articolo sono conformi            presente articolo devono essere
   agli obblighi incombenti alla              conformi agli obblighi gravanti
   Comunità in virtù di accordi               sulla Comunità in forza di accordi
   internazionali, sia bilaterali che         internazionali, bilaterali o
   multilaterali, relativi alla               multilaterali, relativi alla
   protezione delle persone per quanto        protezione delle persone con
   riguarda il trattamento                    riguardo al trattamento
   automatizzato dei dati personali.          automatizzato dei dati personali.
 ---pagebreak---                                      - 114 -
               Art i co lo 25                              Art i co lo 27
                 Deroghe                           Disposizioni particolari
1. Uno Stato membro può derogare alle      1 . Sa Ivo il di sposto
   disposizioni dell'articolo 24,              dell'articolo 26, paragrafo 1,
   paragrafo 1, per una determinata            secondo capoverso, uno Stato
   esportazione di dati, qualora il            membro può autorizzare un
   responsabile dimostri che nel caso          trasferimento o una categoria di
   di specie esistono sufficienti              trasferimenti di dati personali
   garanzie relativamente al rispetto          verso un paese terzo che non
   di un livello di protezione                 garantisce una tutela adeguata,
   adeguato. Lo Stato membro può               qualora il responsabile del
   accordare una deroga soltanto dopo          trattamento presenti
   averne informato la Commissione e           giustificazioni sufficienti,
   gli Stati membri e se nessuno Stato         segnatamente derivanti da idonee
   membro o la Commissione notificano          disposizioni contrattuali che
   la loro opposizione entro un                assicurano in particolare
   termine di 10 giorni.                        l'esercizio effettivo dei diritti
                                               della persona interessata.
2. In caso di opposizione, la              2. Lo Stato membro informa
   Commissione adotta le misure                tempestivamente la Commissione e
   appropriate, secondo la procedura           gli altri Stat i membr i de I
   di cui al I'art icolo 30,                   progetto di autorizzazione.
   paragrafo 2.
                                           3. In caso di opposizione notificata
                                               da uno Stato membro o dalla
                                               Commissione prima della data da
                                               cui decorre l'autorizzazione, la
                                               Commissione adotta le misure
                                               appropriate, secondo la procedura
                                               di cui a I l'art icolo 34,
                                               paragrafo 2.
 ---pagebreak--- - 115 -
                        CAPO V
                 CODICI DI CONDOTTA
                     Art i co lo 28
                  Codici nazionali
      1. Salve le disposizioni nazionali di
         attuazione della presente
         direttiva, gli Stati membri
         possono disporre che i codici di
         condotta elaborati dagli ambienti
         professionali stabi Iiscano misure
         complementari conformi alle
         caratteristiche specifiche di
         talun i settor i.
      2. I progetti di codici sono
         esaminati dall'autorità nazionale
         di control lo che ne accerta la
         fondatezza e verifica la
         rappresentatività delle
         organizzazioni professionali
         autrici. Essa raccoglie le
         osservazioni delle persone
         interessate o dei loro
         rappresentant i.
 ---pagebreak--- - 116 -
      3. Gli Stati membri provvedano alle
         pubblicazione ufficiale dei codici
         che hanno ricevuto il parere
         favorevole dell'autorità di
         control lo.
      4. Qualsiasi proroga o modificazione
         dei codici è oggetto di procedure
         ident iche.
                    Art icolo 29
                 Codici comunitari
      1. Gli Stati membri e la Commissione
         incoraggiano gli ambienti
         professionali a partecipare
         all'elaborazione di codici di
         condotta comunitari destinati a
         contribuire alla corretta
         applicazione della presente
         direttiva in funzione delle
         specificità settoriali.
 ---pagebreak--- La Commissione può pubblicare, a
titolo notiziale, nella Gazzetta
ufficiale delle Comunità europee,
un codice di condotta corredato
dal parere formulato dal Gruppo d
cui all'articolo 31 in merito al
contenuto del codice e alla
rappresentatività sul piano
comunitario delle organizzazioni
autrici. Il Gruppo raccoglie le
osservazioni delle persone
interessate o dei loro
rappresentant i.
 ---pagebreak---                                                 - 118 -
                    CAPO IX                                          CAPO VI
         AUTORITA' DI CONTROLLO E                        AUTORITA' DI CONTROLLO E GRUPPO
         GRUPPO PER LA PROTEZIONE                          PER LA TUTELA DELLE PERSONE
              DEI DATI PERSONALI                           CON RIGUARDO AL TRATTAMENTO
                                                               DEI  DATI PERSONALI
                  Art icolo 26                                     Articolo 30
          L'Autorità di controllo                            L'autorità di controllo
1. Gli Stati membri garantiscono che                  1. Ogni Stato membro designa
   un'autorità indipendente competente                   un'autorità pubblica indipendente
   controlli la protezione dei dati                      preposta al controllo della
   personali. Tale autorità ha il                        protezione dei dati personali.
   compito di sorvegliare                                Tale autorità è incaricata della
   I'appI i caz ione de II e di spos i z i on i          sorveglianza sull'applicazione
   nazionali adottate in applicazione                    delle disposizioni nazionali di
   della presente direttiva e di                         attuazione della presente
   esercitare tutte le funzioni                          direttiva e di esercitare tutte le
   attribuitele dalla presente                           funzioni da questa attribuitele.
   d i rett i va.                                        Ogni Stato membro può designare
                                                         più autorità di controllo.
 ---pagebreak---                                   - 119 -
L'autorità di controllo dispone di      2. Ogni autorità di controllo
mezzi investigativi e di poteri            d i spone:
effettivi d'intervento contro la           - di mezzi investigativi, come il
creazione e lo sfruttamento di                 diritto di accesso ai dati
archivi non conformi alle                      oggetto di trattamenti
disposizioni della presente                    disciplinati dalla presente
direttiva. A tal fine, essa dispone            direttiva e di raccogliere
 in particolare del diritto di                 qualsiasi informazione
accesso agli archivi cui si applica            necessaria all'esercizio della
 la presente direttiva e deve poter            sua funzione di controllo;
raccogliere qualsiasi informazione         - d i poter i effett i v i
necessaria all'esercizio della sua             d'intervento, come quello di
funzione di controllo.                         ordinare il congelamento o la
                                               cancellazione dei dati, il
                                               vietare a titolo provvisorio o
                                               definitivo un trattamento,
                                               distruggere       il supporto
                                               materiale dei dati oppure di
                                               rivolgere un avvertimento al
                                               responsabile del trattamento;
                                           - del potere di adire l'autorità
                                               giudiziaria qualora constati una
                                               v i oIaz i one de II e di spos i z i on i
                                               nazionali di attuazione della
                                               presente d i rett i va.
All'autoiitA di contiollo può           3. Qualsiasi p'" sona può' progni ar fj
rivolgersi qualsiasi persona che           all'autorità di controllo denuncie
abbia interesse a presentarle una          o reclami concernenti la tutela
denuncia o un reclamo concernenti          delle persone con riguardo al
la protezione delle persone in             trattamento dei dati personali.
materia di dati personali.                 Essa viene informata degli esiti
                                           di tali atti.
 ---pagebreak--- - 120 -
      4. Ogni autorità di controllo
         presenta una relazione annuale
         sulle proprie attività. La
         relazione è oggetto di
         pubblicazione.
      5. Le autorità degli Stati membri
         collaborano tra di loro nella
         misura necessaria allo svolgimento
         dei propri compiti di controllo,
         in particolare attraverso lo
         scambio di informazioni utili, il
         ricorso ai mezzi investigativi o
         l'esercizio dei poteri
         d' i ntervento.
      6. Gli Stati membri dispongono che
         ogni autorità di controllo e i
         suoi membri ed agenti sono
         soggetti all'obbligo del segreto
         profess ionaI e.
 ---pagebreak---                                      - 121 -
                 Art icolo 27                                Ar t i co Io 31
         Gruppo per la protezione                  Gruppo per la tutela delle
            dei dati personali                       persone con riguardo al
                                               trattamento dei dati personali
1. E' istituito un Gruppo per la           1. E' istituito un Gruppo per la
   protezione dei dati personali. Tale        tutela delle persone con riguardo
   Gruppo, a carattere consultivo e           al trattamento dei dati personali,
   indipendente, è composto dai                in appresso denominato "il
   rappresentanti dell'autorità di            gruppo". Esso, a carattere
   controllo, prevista dall'articolo          consultivo e indipendente, è
   26, di tutti gli Stati membri ed è         composto da rappresentanti delle
   presieduto da un rappresentante            autorità di controllo di cui
   de II a Comm i ss ione.                    a II 'art i co lo 30 e da un
                                              rappresentante della Commissione.
                                              Qualora uno Stato membro abbia
                                              designato più autorità di
                                              controllo, queste procedono alla
                                              nomina di rappresentanti comuni
                                              che dispongono, in seno al gruppo,
                                              degli stessi diritti ed obblighi
                                              degli altri rappresentanti delle
                                              a I tre autor i tà.
                                           2. Il gruppo elegge il proprio
                                              presidente. La durata del mandato
                                              del presidente è di due anni. Il
                                              mandato è rinnovabile.
 ---pagebreak---                                   - 122 -
Al segretariato del Gruppo per la       3. Al segretariato del gruppo
protezione dei dati personali              provvede la Commissione,
provvedono i servizi della
Commissione.
Il Gruppo per la protezione dei         4. Il gruppo adotta il proprio
dati personali adotta il proprio           regolamento interno.
regolamento interno.
 Il Gruppo per la protezione dei        5. Il gruppo esamina le questioni
dati personali esamina le questioni        iscritte all'ordine del giorno dal
iscritte all'ordine del giorno dal         suo presidente, per iniziativa di
suo presidente, di sua iniziativa o        questo o su domanda motivata di un
su domanda motivata di un                  rappresentante delle autorità di
rappresentante delle autorità di           controllo oppure su domanda della
controllo, concernenti                     Comm i ss i one.
l'applicazione delle disposizioni
di diritto comunitario in materia
di protezione dei dati personali.
 ---pagebreak---                                     - 123 -
                Art icolo 28
         Compiti dei Gruppo per la
     protezione dei dati personali                           Ar t i co Io 32
                                                       Comp iti de I gruppo
1. Il Gruppo per la protezione dei        1. Il gruppo ha i seguenti compiti
   dat i persona Ii:
a) contribuisce all'interpretazione       a) contribuire all'applicazione
   omogenea delle norme nazionali            omogenea delle norme nazionali di
   adottate in applicazione della            attuazione della presente
   presente d i rett i va ;                  d i rett i va ;
b) formula un parere sul livello di       b) formulare un parere sul livello di
   protezione nella Comunità e nei           tutela nella Comunità e nei paesi
   paesi terzi ;                             terz i ;
c) consiglia la Commissione in merito     c) consigliare la Commissione in
   a progetti di misure addizionali o        merito a progetti di modificazioni
   specifiche da adottare ai fini            della presente direttiva, progetti
   della protezione della vita               di misure addizionali o specifiche
   pr i vata.                                da prendere ai fini della tutela
                                             dei diritti e delle libertà delle
                                             persone fisiche, nonché in merito
                                             a qualsiasi altro progetto di
                                             misure che incidano su tali
                                             diritti e li bertà;
                                          d) formulare un parere sui codici di
                                             condotta elaborati a livello
                                             comun i tar io.
 ---pagebreak---                                       - 124 -
2. Qualora il Gruppo per la protezione
   dei dati personali constati tra le       2. Qualora il gruppo constati che,
    legislazioni o prassi degli Stati          tra le legislazioni o prassi degli
   membri in materia di protezione di          Stati membri in materia di tutela
   dati personali divergenze tali da           delle persone nei confronti del
   pregiudicare l'equivalenza della            trattamento dei dati personali, si
   protezione nella Comunità, ne                instaurino divergenze gravi che
    informa la Commissione.                    rischino di pregiudicare
                                                l'equivalenza della tutela nella
                                               Comunità, ne informa la
                                               Commi ss ione.
3. Il Gruppo per la protezione dei          3. Il gruppo può formulare di propria
   dati personali può formulare                 iniziativa raccomandazioni su
   raccomandazioni su qualsiasi                qualsiasi questione riguardante la
   questione riguardante la protezione         tutela delle persone nei confronti
   delle persone per quanto concerne i         del trattamento di dati personali
   dati personali nella Comunità. Le           ne II a Comun i tà.
   raccomandazioni vengono messe a
   verbale e possono essere trasmesse
   al Comitato consultivo di cui
   all'articolo 30. La Commissione
   informa il Gruppo per la protezione
   dei dati personali del seguito da
   essa dato alle raccomandazioni.
                                            4. I pareri e le raccomandazioni del
                                               gruppo vengono messi a verbale e
                                               trasmessi alla Commissione;
                                               possono essere comunicati anche al
                                               comitato consultivo di cui
                                               al I 'art icolo 34.
 ---pagebreak---                                     - 125 -
                                          5. La Commissione informa il gruppo
                                             del seguito da essa dato ai pareri
                                             e alle raccomandazioni. A tal fine
                                             redige una relazione che viene
                                             trasmessa anche al Parlamento
                                             europeo e al Consiglio. La
                                             relazione è oggetto di
                                             pubblicazione.
4. Il Gruppo per le protezione dei        6. Il gruppo redige una relazione
   dati personali redige una relazione       annuale sullo stato della tutela
   annuale sullo stato della                 delle persone fisiche nei
   protezione delle persone per quanto       confronti del trattamento dei dati
   riguarda il trattamento dei dati          personali nella Comunità e nei
   personali nella Comunità e nei            paesi terzi e la trasmette alla
   paesi terzi, e la trasmette alla          Commissione, al Parlamento europeo
   Commissione.                              e al Consiglio. La relazione è
                                             oggetto di pubblicazione.
 ---pagebreak---                                     - 126 -
                     CAPO X                                  CAPO VII
      POTERE REGOLAMENTARE DELLA                POTERE REGOLAMENTARE DELLA
                  COMMISSIONE                            COMMISSIONE
                  Articolo 29                            Articolo 33
  Esercizio del potere regolamentare       Esercizio del potere regolamentare
1. La Commissione, secondo la             1. La Commissione stabilisce, secondo
   procedura di cui all'articolo 30,         la procedura di cui
   paragrafo 2, stabilisce le modalità       all'articolo 34, paragrafo 2, le
   tecniche necessarie per applicare         necessarie modalità tecniche di
   la presente direttiva alle                applicazione della presente
   specificità di taluni settori,            direttiva con riguardo alle
   tenuto conto delle conoscenze             specificità di taluni settori o di
   attuali in materia e dei codici di        talune categorie di trattamenti
   buona condotta.                           nonché le misure necessarie ai
                                             fini di un'applicazione omogenea
                                             delle disposizioni della medesima.
                  Art icolo 30                           Art i co lo 34
            Comitato consultivo                      Comitato consultivo
1. La Commissione è assistita da un       1. La Commissione è assistita da un
   Comitato consultivo composto da           comitato consultivo composto dai
   rappresentanti degli Stati membri e       rappresentanti degli Stati membri
   presieduto dal rappresentante della       e presieduto dal rappresentante
   Comm i ss i one.                          de II a Comm i ss ione.
 ---pagebreak---                                      - 127 -
2. Il rappresentante della Commissione     2. Il rappresentante della
   sottopone al Comitato un progetto          Commissione sottopone al comitato
   di misure da adottare. Il Comitato         un progetto delle misure da
   esprime il suo parere su tale              adottare. Il comitato, entro un
   progetto entro un termine che il           termine che il presidente può
   presidente può fissare in funzione         fissare in funzione dell'urgenza
   dell'urgenza della questione di cui        della questione in esame, formula
   trattasi, procedendo, se del caso,         il suo parere sul progetto,
   ad una votazione. Il parere è              eventualmente procedendo a
    iscritto a verbale; inoltre,              votaz ione.
   ciascuno Stato membro ha il diritto
   di chiedere che la sua posizione           Il parere è iscritto a verbale;
   sia verbalizzata. La Commissione           inoltre, ciascuno Stato membro ha
   attribuisce la massima importanza          il diritto di chiedere che la sua
   al parere espresso dal Comitato, e         posizione figuri a verbale.
    lo informa del modo in cui ha
   tenuto conto del suo parere.               La Commissione tiene in massima
                                              considerazione il parere formulato
                                              dal comitato. Essa lo informa del
                                              modo in cui ha tenuto conto del
                                              suo parere.
          DISPOSIZIONI FINALI                        DISPOSIZIONI FINALI
               Art i co lo 31                             Art icolo 35
1. Gli Stati membri mettono in vigore      1. Gli Stati membri mettono in vigore
   le disposizioni legislative,               le disposizioni legislative,
   regolamentari ed amministrative            regolamentari ed amministrative
   necessarie per conformarsi alla            necessarie per conformarsi alla
   presente direttiva entro e non             presente direttiva entro e non
   oltre il 1" gennaio 1993.                  ol tre il 1 * lug I io 1993.
 ---pagebreak---                                     - 128 -
                                             Quando gli Stati membri adottano
                                             tali disposizioni, queste
                                             contengono un riferimento alla
                                             presente direttiva o sono
                                             corredate da un siffatto
                                             riferimento all'atto della loro
                                             pubblicazione ufficiale. Le
                                             modalità di tale riferimento sono
                                             decise dagli Stati membri.
                                          2. Gli Stati membri stabiliscono la
                                             data, non essere posteriore al
                                             30 giugno 1997, successivamente
                                             alla quale i trattamenti la cui
                                             realizzazione è anteriore al
                                             1* luglio 1994 dovranno essere
                                             conformi alle disposizioni
                                             nazionali di attuazione della
                                             presente d i rett i va.
Le disposizioni adottate in virtù del
primo comma fanno riferimento alla
presente dirett iva.
2. Gli Stati membri comunicano alla       3. Gli Stati membri comunicano alla
   Commissione il testo delle                Commissione il testo delle
   disposizioni di diritto interno che       disposizioni di diritto interno
   adottano nella materia disciplinata       che adottano nel settore
   dalla presente direttiva.                 disciplinato dalla presente
                                             dirett iva.
 ---pagebreak---                                      - 129 -
               Art icolo 32
 La Commissione presenta periodicamente                   Art i co lo 36
 al Consiglio e al Parlamento europeo
 una relazione sull'applicazione della     La Commissione presenta
 presente direttiva, accompagnata, se      periodicamente al Consiglio e al
del caso, dalle opportune proposte di      Parlamento europeo una relazione
mod i f i ca.                              sull'applicazione della presente
                                           direttiva, accompagnata, se del caso,
                                           dalle opportune proposte di
                                           modificazione. La relazione è oggetto
                                           d i pubbIicaz ione.
              Art icolo 33                                Art i co lo 37
Gli Stati membri sono destinatar           Gli Stati membri sono destinatari
della presente direttiva.                  della presente direttiva.
Fatto a Bruxelles,                         Fatto a BruxeI les,
Per iI Consigi io                          Per iI Consigi io
 ---pagebreak---                                       - 130 -
                                 SCHEDA FINANZIARIA
Prima parte: incidenza finanziaria
1.   Denominazione dell'azione
     Proposta modificata di direttiva del Consiglio concernente la
     protezione delle persone fisiche relativamente al trattamento dei
     dati personali ed alla libera circolazione di tali dati.
2.   Linee di bilancio interessate
     - A 2510: Spese di riunione di un comitato la cui consultazione è
        elemento obbligatorio della procedura di formazione di atti
        comun i tar i .
     - A 2511: Spese di riunione di un comitato la cui consultazione non
        è elemento obbligatorio della procedura di formazione di atti
        comun i tar i .
     - Titoli A1 e A2: Spese per il personale e spese di funzionamento.
3.   Base qiur idica
     Articolo 100A del trattato CEE.
4.   Descrizione dell'azione
     - Ob i et t i v i
             consentire il       buon funzionamento del mercato interno
             garantendo la circolazione oltre frontiera di dati personali
             ne II a Comun i tà;
             garantire la protezione delle persone fisiche per     quanto
             riguarda i dati personali.
     -   Istituzione di due comitati competenti in materia di protezione
        delle persone relativamente ai dati personali (artt. 31 e 34).
     - Soggetti interessati
        1. Per il gruppo per la protezione delle persone nei confronti
             del trattamento dei dati personali (art. 31): rappresentanti
             dell'autorità di controllo di tutti gli Stati membri
             (gruppo 4).
        2. Per il Comitato consultivo (art. 34): rappresentanti degli
             Stati membri (gruppo 3).
 ---pagebreak---                                         - 131 -
     Un rappresentante della Commissione presiede il Comitato consultivo.
     La presidenza del gruppo per la protezione viene assunta da un
     membro eletto per due anni. I servizi della Commissione provvedono a
     svolgere i compiti di segreteria del Comitato consultivo e del
     gruppo per la protezione delle persone nei confronti del trattamento
     de i dat i persona Ii .
5.   Classificazione della spesa
     5.1.: Spese non obbligatorie (SNO)
     5.2.: Stanziamenti non dissociati (SND)
6.   Natura della spesa
         Spese di partecipazione dei membri alle riunioni del gruppo e del
         comi tato.
     - Spese per il personale.
7.    Incidenza finanziaria sugli stanziamenti d'intervento
     Nessuna.
8.   Disposizioni per la prevenzione delle frodi previste nella proposta
     d'az ione
     Nessuna.
Seconda parte: Spese amministrative (parte A del bilancio)
1.   Precisare se l'azione proposta implica un aumento di organico della
     Comm i ss i one
     Si: 2 funzionari di grado C.
     Tali posti saranno ottenuti sia nel quadro della ripartizione delle
     risorse decisa dalla Commissione sulla base dei bilanci futuri, sia
     mediante ridistribuzione interna.
2. Importo delle spese prodotte:
     - Segretar iato:              ± 120 000 ECU all'anno imputate alle var i e
                                    linee di bilancio dei titoli A1 e A2
                                   (2 funz ionar i C).
     - R i un ion i de i grupp i :
         * Gruppo per la protezione delle persone nei           confronti del
              trattamento dei dati personali:
 ---pagebreak---                                    - 132 -
           24 membri (non governativi) per 4 riunioni di 2 giorni:
           - Spese di viaggio     : 526,61 ECU x 24 x 4          50 555 ECU
           - Spese di trasporto : 105,40 ECU x 24 x 4            10 118 ECU
           - Spese di segreteria: 105,40 ECU x 24 x 4 x 2        20 236 ECU
                                                                 80 909 ECU
        * Comitato consultivo:
           24 membri (governativi) per 2 riunioni di 2 giorni:
           - Spese di viaggio       526,61 ECU X 24 x 2         25 277 ECU
              Totale arrotondato per un anno intero:
              - segreter i a           120 000 ECU
              - gruppo                  81 000 ECU
              - comitato                25 000 ECU
                    TOTALE             226 000 ECU
Terza parte: Elementi per un'analisi del rapporto costo/efficacia
1.   Obiettivi e coerenza con la programmazione finanziaria
     Si tratta di istituire due gruppi che saranno autorizzati a riunirsi
     a partire dal 1994 e saranno inseriti nell'elenco dei comitati in
     sede di programmazione finanziaria 1994.
     Lo scadenziario degli stanziamenti d'impegno e di pagamento (SN0,
     SND) è il seguente:
                 SI            SP
     1994           226  000 ECU
     1995           226  000 ECU
     1996           226  000 ECU
     1997           226 000  ECU
     1998           226 000  ECU
     Gli stanziamenti devono essere ottenuti nel quadro generale di ogni
     procedura di bilancio all'interno delle varie voci della Parte A.
2.   Motivazione dell'azione
     a) Gruppo per la protezione delle persone          nei  confronti   del
        trattamento dei dati personali (art. 31).
        Viene   istituito    tale   gruppo   a   carattere    consultivo    e
        indipendente, composto di       rappresentanti    dell'autorità di
        controllo di tutti gli Stati membri.
        Il gruppo adotta il proprio regolamento interno. Al segretariato
        del gruppo provvedono i servizi della Commissione.
 ---pagebreak---                                     - 133 -
      Compiti del gruppo: cfr. articolo 32. Il gruppo sarà tenuto a
      consigliare la Commissione in merito ai progetti di misure
      addizionali formulando il proprio parere in piena indipendenza,
      fattore fondamentale nel settore della protezione della vita
      pr i vata.
3. Controllo e valutazione dell'azione
   3.1.    Ind i cator i: analisi della relazione annuale presentata dal
           gruppo in applicazione dell'articolo 32, paragrafo 6.
   3.2. Modalità e periodicità: ogni anno sulla base della relazione
           sopra menzionata che il gruppo ha il compito di presentare.
   3.3.    I principali fattori d'incertezza riguarderanno le difficoltà
           incontrate nell'armonizzazione delle varie impostazioni e dei
           diversi gradi di esperienza negli Stati membri. Tali
           divergenze sono dovute a fattori differenti, soprattutto di
           natura culturale e tecnica.
 ---pagebreak---                                     - 134 -
                     SCHEDA DI VALUTAZIONE DELL'IMPATTO
                    IMPATTO DELLA PROPOSTA SULLE IMPRESE
             E SU ALTRI ORGANISMI INTERESSATI ED IN PARTICOLARE
                     SULLE PICCOLE E MEDIE IMPRESE (PMI)
Titolo del la proposta
Proposta modificata di direttiva del Consiglio concernente la protezione
delle persone fisiche relativamente al trattamento dei dati personali ed
alla libera circolazione di tali dati.
Numero di riferimento del documento
LA PROPOSTA
1.   Tenuto conto del principio di sussidiarietà specificare le ragioni
     per le quali risulta necessaria una legislazione comunitaria in
     questo settore e i principali obiettivi perseguiti
      I flussi di dati personali tra i vari operatori economici e le parti
     sociali stabiliti nei diversi Stati membri e il trattamento di tali
     dati ad opera degli organismi interessati sono in notevole aumento a
     seguito della realizzazione del mercato interno:
     - flusso tra imprese private o pubbliche;
     - flusso tra unità che dipendono giuridicamente da una stessa
         impresa ;
     - flusso tra amministrazioni nazionali tenute a prestare reciproca
         assistenza in virtù di vari atti comunitari;
         flusso verso centri di ricerca per esempio nel settore medico,
         ecc.
     Le importanti divergenze esistenti tra le legislazioni nazionali -
     va precisato d'altronde che quattro Stati membri non hanno ancora
     una legislazione specifica in materia di protezione dei dati:
     Belgio, Grecia, Italia, Spagna - danno origine a:
     - ostacoli alla libera circolazione dei dati personali, soprattutto
         a destinazione di uno Stato membro che non dispone di
         legislazione poiché le legislazioni in materia tendono a
         proteggere le libertà e i diritti fondamentali, soprattutto la
         vita privata delle persone fisiche;
     - distorsione della concorrenza tra operatori economici della
         Comunità, in quanto alcuni sono assoggettati agli oneri imposti
         dalle legislazioni in materia di tutela mentre altri ne sono
         esenti a seconda dello Stato membro in cui sono stabiliti.
 ---pagebreak---                                     - 135 -
     Inoltre l'introduzione di norme in materia di protezione dei dati è
     tale da favorire lo sviluppo del mercato dell'informazione in virtù
     della certezza del diritto che tali norme procurano agli organismi
     interessat i.
     Risulta pertanto fondamentale che un intervento della Comunità deve
     assumere la forma di un ravvicinamento delle legislazioni nazionali.
     La convenzione del Consiglio d'Europa del 28 gennaio 1981 per la
     protezione delle persone relativamente al trattamento automatizzato
     dei dati personali, solo strumento di diritto internazionale in
     materia, prevede numerose alternative per l'applicazione dei
     principi in essa definiti e non permette pertanto una sufficiente
     armonizzazione in vista del mercato interno.
L'IMPATTO SULLE IMPRESE. SULLE AMMINISTRAZIONI PUBBLICHE E SUGLI ALTRI
ORGANISMI. IN PARTICOLARE LE FONDAZIONI ED ASSOCIAZIONI
2.   Soggetti interessati dal la proposta
     La proposta riguarda, indipendentemente dalla dimensione o dal
     settore di attività, tutte le imprese pubbliche e private, le
     amministrazioni pubbliche le cui attività sono soggette al diritto
     comunitario nonché le fondazioni ed associazioni senza scopo di
     lucro purché tali organismi siano incaricati del trattamento di dati
     personali (gestione di fornitori e clienti, amministrazione del
     personale, dei membri o dei corrispondenti delle associazioni e
     fondazioni, trattamento di dati relativi alle persone amministrate,
     offerta di servizi di informazione relativi a persone fisiche).
     Tuttavia, come dimostrato dalle consultazioni di cui al punto 6, il
     settore       dell'industria      più     direttamente      interessato
     dall'applicazione di tale direttiva è il settore terziario nel quale
     operano imprese ed organismi le cui attività sono orientate verso le
     persone fisiche e il cui sviluppo è basato sull'elaborazione
     dell'informazione:     imprese   di    marketing   diretto,    istituti
     finanziari, compagnie d'assicurazione, agenzie di valutazione
     de II'affidab iI i tà.
3.   Misure che le imprese sono tenute a prendere per conformarsi alla
     prppQstfl
     Dovranno introdurre procedure decisionali e schemi organizzativi
     destinati a comprendere, in funzione della struttura e della
     dimensione dell'organismo, il responsabile del settore informatica e
     organizzazione, il servizio destinatario di tali trattamenti, il
     servizio giuridico, il responsabile dell'organismo. Allo stadio di
     impostazione di nuovi trattamenti di dati personali, prima di
     procedere agli investimenti, l'organismo deve pertanto:
     - verificare la liceità dei trattamenti previsti;
 ---pagebreak---                                  - 136 -
   - prevedere l'informazione da trasmettere alle persone interessate
       dai trattamenti (tale informazione potrà essere fornita in
       occasione di normali contatti tra il responsabile del trattamento
       e le persone interessate);
   - predisporre le misure tecniche e organizzative destinate a
       garantire la sicurezza dei dati dei trattamenti;
   - verificare la procedura di notifica applicabile. Dopo aver
       raccolto gli elementi d'informazione necessari, il responsabile
       constaterà se è previsto l'esonero dalla notifica oppure seguirà
       una procedura semplificata oppure aprirà la pratica richiesta.
    Il    responsabile   del   trattamento   deve    inoltre   garantire
    l'introduzione di una procedura che consenta di rispondere alle
   eventuali richieste basate sul diritto di accesso delle persone
    interessate ai dati che le riguardano, nonché ad eventuali reclami
   ed è tenuto a predisporre controlli in materia di corretta
   applicazione delle misure di sicurezza.
   Tali compiti devono essere realizzati progressivamente in funzione
   dell'attuazione dei nuovi trattamenti e possono pertanto essere
   pianificati in relazione all'impostazione tecnica dei trattamenti.
   Per i trattamenti attuati prima dell'entrata in vigore delle
   disposizioni nazionali prese in applicazione della direttiva, tali
   compiti possono essere pianificati su un periodo di tre anni
   previsto a tal fine dalla direttiva.
   Per gli organismi stabiliti negli Stati membri già dotati di
    legislazione in questo settore le misure richieste dalla direttiva
   non sono di natura diversa da quelle già attuate.
   Per gli organismi stabiliti negli Stati membri non dotati di tale
   legislazione è necessaria l'acquisizione dei nuovi metodi ed a tale
   proposito le autorità di controllo competenti possono fornire un
   aiuto prezioso per facilitare la realizzazione di tale compito nella
   fase di avviamento (consulenza, procedura di semplificazione della
   notifica di alcuni trattamenti, ecc.).
4. Consequenze economiche che la proposta PUÒ comportare
   La protezione della vita privata delle persone, garantita dalla
   direttiva, contribuisce ad aumentare l'accettazione sociale nei
   confronti dell'impiego di vari trattamenti di dati personali e di
   conseguenza l'accettazione di una loro espansione, fattore
   favorevole alla crescita e alla creazione di posti di lavoro nel
   settore privato e pubblico.
   Inoltre queste norme di protezione sono tali da eliminare le
   distorsioni della concorrenza dovute alla disparità attualmente
   esistente nelle legislazioni nazionali. Per quanto riguarda la
   competitività internazionale la direttiva prevede negoziati con i
   paesi terzi che non garantiscono ancora un livello di protezione
   adeguato.
 ---pagebreak---                                     - 137 -
5.    Specificare se la proposta contiene misure destinate a tener conto
      della situazione specifica delle piccole e medie imprese
      No. Tuttavia si può ragionevolmente ritenere che la maggior parte
      dei trattamenti effettuati dalle PMI rientreranno nelle categorie
      che, secondo il sistema proposto, potrebbero essere esonerate
      dall'obbligo di notifica o beneficiare di misure di semplificazione
     (lo svolgimento di tali formalità non dovrebbe superare qualche ora
      di lavoro). D'altronde la direttiva non prevede alcun onere per lo
     svolgimento delle formalità di notifica.
CONSULTAZIONE
6.    Elenco degli organismi che sono stati consultati sulla proposta e
     sintesi degli elementi essenziali della loro posizione
     a) la consultazione degli ambienti interessati è stata fatta in
         primo luogo attraverso il Comitato economico e sociale che ha
         espresso parere favorevole sulla proposta (GU C 159 del
         17.6.1991, pag. 38), il Comitato del commercio e della
         distribuzione (CCD) e il Comitato consultivo dei consumatori.
     b) I contatti diretti su iniziativa dei servizi o degli ambienti
         professionali hanno privilegiato, per la proposta modificata, le
         associazioni professionali a vocazione europea sia per il
         carattere orizzontale della proposta (UNICE) sia per i settori
         più interessati in particolare la federazione bancaria, il CELD,
         la FEWITA, il GEDIS, la Federazione europea del marketing
         diretto, EAT, CHANGE (associazione senza scopo di lucro),
         l'Associazione europea per gli studi di opinione e di marketing,
         ACT/EBU, EPC, ENPA, CAEJ, UER, FAEP (per gli aspetti stampa e
         aud iov i s i vo).
     Gli elementi essenziali delle posizioni degli ambienti professionali
     riguardano nei confronti della proposta iniziale:
    - il carattere troppo particolareggiato della proposta;
         la posizione predominante assegnata al consenso della persona
         interessata come condizione per II trattamento di dati personali;
         il divieto di ogni possibilità di decisione automatizzata e di
        elaborazione di profili;
         la gravosità e l'inadeguatezza degli obblighi      in materia di
         informazione della persona interessata e di        notifica alle
        autorità di controllo;
         l'impossibilità di effettuare il commercio internazionale in
        direzione dei paesi terzi che non garantiscono un livello di
        protezione adeguato;
 ---pagebreak---                                - 138 -
     il rischio di pregiudizio alla libertà di espressione qualora
     alcuni Stati membri non concedano le deroghe necessarie per
     conciliare le norme relative all'esercizio di tale libertà con
     quelle della protezione della vita privata.
La proposta modificata ha tentato di apportare i chiarimenti o gli
adeguamenti necessari pur mantenendo l'obiettivo di un alto livello
di protezione senza il quale non potrebbe essere garantita la libera
c i reo Iaz ione.
 ---pagebreak---                                          - 139 -
                                                                     ISSN 0254-1505
                                                               COM(92) 422 def.
                                                           DOCUMENTI
IT                                                                              06
                                          N. di catalogo : CB-CO-92-437-IT-C
                                                             ISBN 92-77-47944-2
Ufficio delle pubblicazioni ufficiali delle Comunità europee
L-2985 Lussemburgo