Source: http://newlaw.it/Documentazione_marketing/L%2031-12-96%20n.%20675.html
Timestamp: 2017-09-21 10:20:30+00:00

Document:
Testo coordinato con le modifiche introdotte dai Decreti Legislativi:
9/5/1997 n.123; 28/7/1997 n.255; 8/5/1998 n.135; 13/5/1998 n.171; 6/11/1998 n.389; 26/2/1999 n. 51; 11/5/1999 n.135; 30/7/1999 n.281; 30/7/1999 n.282; 28.12.2001 n. 467. (in vigore il 1° febbraio 2002- Le modifiche apportate da questo decreto sono in corsivo)
Art. 2 -Ambito di applicazione
1-bis. La presente legge si applica anche al trattamento di dati personali effettuato da chiunque è stabilito nel territorio di un Paese non appartenente all'Unione europea e impiega, per il trattamento, mezzi situati nel territorio dello Stato anche diversi da quelli elettronici o comunque automatizzati, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell'Unione europea.
1-ter. Nei casi di cui al comma 1-bis il titolare stabilito nel territorio di un Paese non appartenente all'Unione europea deve designare ai fini dell'applicazione della presente legge un proprio rappresentante stabilito nel territorio dello Stato.
2. Al trattamento di cui al comma 1 si applicano in ogni caso le disposizioni in tema di sicurezza dei dati di cui all'articolo 15, nonché larticolo 18.
Art. 6 -Trattamento di dati detenuti all'estero
Capo II -OBBLIGHI PER IL TITOLARE DEL TRATTAMENTO
Art. 7 - Notificazione[1]
1. Il titolare che intenda procedere ad un trattamento di dati personali soggetto al campo di applicazione della presente legge è tenuto a darne notificazione al Garante se il trattamento, in ragione delle relative modalità o della natura dei dati personali, sia suscettibile di recare pregiudizio ai diritti e alle libertà dell'interessato, e nei soli casi e con le modalità individuati con il regolamento di cui all'articolo 33, comma 3.
h) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del rappresentante del titolare nel territorio dello Stato e di almeno un responsabile, da indicare nel soggetto eventualmente designato ai fini di cui all'articolo 13; in mancanza di tale indicazione si considera responsabile il notificante;
Capo III- TRATTAMENTO DEI DATI PERSONALI
SEZIONE I -Raccolta e requisiti dei dati
Art. 10 Informazioni rese al momento della raccolta[2]-
f) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare e del suo rappresentante nel territorio dello Stato e di almeno un responsabile, da indicare nel soggetto eventualmente designato ai fini di cui all'articolo 13, indicando il sito della rete di comunicazione o le modalità attraverso le quali è altrimenti conoscibile in modo agevole l'elenco aggiornato dei responsabili.
Art. 12 - Casi di esclusione del consenso[3]
b) è necessario per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato o per lesecuzione di misure precontrattuali adottate su richiesta di quest'ultimo, ovvero per l'adempimento di un obbligo legale;
h) è necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;
h-bis) è necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dellinteressato.
Art. 13 -Diritti dell'interessato
b) di essere informato su quanto indicato all'articolo 7, comma 4, lettere a), b) e h);[4]
Art. 15 -Sicurezza dei dati
Art. 17 -Limiti all'utilizzabilità di dati personali
Art. 19 -Incaricati del trattamento
a-bis) qualora siano necessarie per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato o per l'esecuzione di misure precontrattuali adottate su richiesta di quest'ultimo;
h-bis) limitatamente alla comunicazione, quando questa sia necessaria, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell'interessato.
Art. 21 -Divieto di comunicazione e diffusione
1-ter. Il comma 1 non si applica, altresì, ai dati riguardanti l'adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria.
a) qualora il trattamento sia effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici, confessioni e comunità religiose, per il perseguimento di finalità lecite, relativamente ai dati personali degli aderenti o dei soggetti che in relazione a tali finalità hanno contatti regolari con l'associazione, ente od organismo, sempre che i dati non siano comunicati o diffusi fuori del relativo ambito e l'ente, l'associazione o l'organismo determinino idonee garanzie relativamente ai trattamenti effettuati;[5]
b) qualora il trattamento sia necessario per la salvaguardia della vita o dellincolumità fisica dell'interessato o di un terzo, nel caso in cui l'interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità d'intendere o di volere;
c) qualora il trattamento sia necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397 o, comunque, per far valere o difendere in sede giudiziaria un diritto, di rango pari a quello dellinteressato quando i dati siano idonei a rivelare lo stato di salute e la vita sessuale, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Il Garante prescrive le misure e gli accorgimenti di cui al comma 2 e promuove la sottoscrizione di un apposito codice di deontologia e di buona condotta secondo le modalità di cui all'articolo 31, comma 1, lettera h). Resta fermo quanto previsto dall'articolo 43, comma 2.
Il garante prescrive le misure e gli accorgimenti di cui al comma 2 e promuove la sottoscrizione di un apposito codice di deontologia e di buona condotta secondo le modalità di cui all'articolo 31, comma 1, lettera h). resta fermo quanto previsto dall'articolo 43, comma 2.
Art. 24- Dati relativi ai provvedimenti di cui all'articolo 686 del codice di procedura penale
Art. 24-bis - Altri dati particolari [6]
1. Il trattamento dei dati diversi da quelli di cui agli articoli 22 e 24 che presenta rischi specifici per i diritti e le libertà fondamentali, nonché per la dignità dellinteressato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dellinteressato, ove prescritti.
2. Le misure e gli accorgimenti di cui al comma 1 sono prescritti dal Garante sulla base dei principi sanciti dalla legge nellambito di una verifica preliminare allinizio del trattamento, effettuata anche in relazione a determinate categorie di titolari o di trattamenti, sulla base di un eventuale interpello del titolare.
1. Le disposizioni relative al consenso dell'interessato e all'autorizzazione del Garante,nonché il limite previsto dall'articolo 24, non si applicano quando il trattamento dei dati di cui agli articoli 22 e 24 è effettuato nell'esercizio della professione di giornalista e per l'esclusivo perseguimento delle relative finalità. Il giornalista rispetta i limiti del diritto di cronaca, in particolare quello dell'essenzialità dell'informazione riguardo a fatti di interesse pubblico,ferma restando la possibilità di trattare i dati relativi a circostanze o fatti resi noti direttamente dall'interessato o attraverso i suoi comportamenti in pubblico.
Art. 28 -Trasferimento di dati personali all'estero
1. Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso un Paese non appartenente all'Unione europea e ricorra uno dei casi individuati ai sensi dellarticolo 7, comma 1.
b) sia necessario per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato o per lesecuzione di misure precontrattuali adottate su richiesta di quest'ultimo, ovvero per la conclusione o per l'esecuzione di un contratto stipulato a favore dell'interessato;
g) sia autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell'interessato, prestate anche con un contratto ovvero individuate dalla Commissione europea con le decisioni previste dagli articoli 25, paragrafo 6, e 26, paragrafo 4, della direttiva n. 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995.
7. La notificazione di cui al comma 1 del presente articolo è effettuata ai sensi dell'articolo 7 ed è annotata in apposita sezione del registro previsto dall'articolo 31, comma 1, lettera a). La notificazione può essere effettuata con un unico atto unitamente a quella prevista dall'articolo 7.[7]
Capo VII - GARANTE PER LA PROTEZIONE DEI DATI
1. E istituito il Garante per protezione dei dati personali.
Art. 31- Compiti del garante
c) segnalare ai relativi titolari o responsabili le modificazioni necessarie e opportune al fine di rendere il trattamento conforme alle disposizioni vigenti;
h) promuovere nell'ambito delle categorie interessate, nell'osservanza del principio di rappresentatività, la sottoscrizione di codici di deontologia e di buona condotta per determinati settori, verificarne la conformità alle leggi e ai regolamenti anche attraverso l'esame di osservazioni di soggetti interessati e contribuire a garantirne la diffusione e il rispetto; [8]
Art. 34 -Omessa o infedele notificazione
1. Chiunque, essendovi tenuto, non provvede tempestivamente alle notificazioni in conformità a quanto previsto dagli articoli 7, 16, comma 1, e 28, ovvero indica in esse notizie incomplete, è punito con la sanzione amministrativa del pagamento di una somma da lire dieci milioni a lire sessanta milioni e con la sanzione amministrativa accessoria della pubblicazione dell'ordinanza-ingiunzione.[9]
2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarne per sé o per altri profitto o di recare ad altri un danno, procede al trattamento di dati personali in violazione di quanto disposto dagli articoli 21, 22, 23, 24 e 24-bis, ovvero del divieto di cui all'articolo 28, comma 3, è punito con la reclusione da tre mesi a due anni.
Art. 36 - Omessa adozione di misure minime di sicurezza
2. All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante, è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà dell'adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una somma pari al quarto del massimo dell'ammenda stabilita per la contravvenzione. L'adempimento e il pagamento estinguono il reato. L'organo che impartisce la prescrizione e il pubblico ministero provvedono nei modi di cui agli articoli 21, 22, 23 e 24 del decreto legislativo 19 dicembre 1994, n. 758, in quanto applicabili.[10]
Art. 37 - Inosservanza dei provvedimenti del garante
1. Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai sensi dell'articolo 22, comma 2, o degli articoli 29, commi 4 e 5 e 31, comma 1, lettera l, è punito con la reclusione da tre mesi a due anni.
Art. 37-bis - False comunicazioni e dichiarazioni
Art. 38- Pena accessoria
1. Chiunque omette di fornire le informazioni o di esibire i documenti richiesti dal Garante ai sensi degli articoli 29, comma 4, e 32, comma 1, è punito con la sanzione amministrativa del pagamento di una somma da lire cinquemilioni a lire trentamilioni..
2. La violazione delle disposizioni di cui all'articolo 10 è punita con la sanzione amministrativa del pagamento di una somma da lire tre milioni a lire diciotto milioni o, nei casi di cui agli articoli 22, 24 e 24-bis o, comunque, di maggiore rilevanza del pregiudizio per uno o più interessati, da lire cinque milioni a lire trenta milioni. La somma può essere aumentata sino al triplo quando essa risulti inefficace in ragione delle condizioni economiche del contravventore. La violazione della disposizione di cui all'articolo 23, comma 2, è punita con la sanzione amministrativa del pagamento di una somma da lire cinquecentomila a lire tre milioni.
3. L'organo competente a ricevere il rapporto e ad irrogare le sanzioni di cui al presente capo è il Garante. Si osservano, in quanto applicabili, le disposizioni della legge 24 novembre 1981, n. 689, e successive modificazioni.
1. Fermo restando l'esercizio dei diritti di cui agli articoli 13 e 29, le disposizioni della presente legge che prescrivono il consenso dell'interessato non si applicano in riferimento ai dati personali raccolti precedentemente alla data di entrata in vigore della legge stessa, o il cui trattamento sia iniziato prima di tale data. Resta salva l'applicazione delle disposizioni relative alla comunicazione e alla diffusione dei dati previste dalla presente legge. Le disposizioni del presente comma restano in vigore sino alla data del 30 giugno 2003.
Art. 42- Modifiche a disposizioni vigenti
1. È istituita l'Autorità per l'informatica nella pubblica amministrazione, denominata "Autorità" ai fini del presente decreto; tale Autorità opera in piena autonomia e con indipendenza di giudizio e di valutazione.
1. Le norme concernenti l'organizzazione ed il funzionamento dell'Autorità, l'istituzione del ruolo del personale, il relativo trattamento giuridico ed economico e l'ordinamento delle carriere, nonché la gestione delle spese nei limiti previsti dal presente decreto, anche in deroga alle disposizioni sulla contabilità generale dello Stato, sono adottate con regolamento emanato con decreto del Presidente della Repubblica, previa deliberazione del Consiglio dei ministri, sentito il Consiglio di Stato, su proposta del Presidente del Consiglio dei ministri, di concerto con il Ministro del tesoro e su parere conforme dell'Autorità medesima. Il parere del Consiglio di Stato sullo schema di regolamento è reso entro trenta giorni dalla ricezione della richiesta, decorsi i quali il regolamento può comunque essere emanato. Si applica il trattamento economico previsto per il personale del Garante per l'editoria e la radiodiffusione ovvero dell'organismo che dovesse subentrare nelle relative funzioni, fermo restando il limite massimo complessivo di centocinquanta unità. Restano altresì fermi gli stanziamenti dei capitoli di cui al comma 2, così come determinati per il 1995 e tenendo conto dei limiti di incremento previsti per la categoria IV per il triennio 1996-1998.
5. Allarticolo 5, comma 1, del decreto legislativo 13 maggio 1998, n. 171, le parole consentono che sono sostituite dalle seguenti sono tenuti a predisporre ogni misura idonea affinché
6. Dopo il comma 1 dellart. 5 del decreto legislativo 13 maggio 1998, n. 171, è inserito il seguente:
1-bis. I fornitori di cui al comma 1 sono tenuti a documentare al Garante, entro il 30 giugno 2002, le misure predisposte. In caso di mancata documentazione si applica la sanzione amministrativa prevista dallart. 39, comma 1, della legge 31 dicembre 1996. In mancanza di idonee misure il Garante provvede, altresì, ai sensi dellarticolo 31, comma 1, lettere c9 ed l), della medesima legge.
7. Allarticolo 6, comma 6, del decreto legislativo 13 maggio 1998, n. 171, le parole di tale servizio sono sostituite dalle seguenti: di tale servizio e delle possibilità previste ai commi 1,2,3 e 4.[11]
8. Larticolo 7 del decreto legislativo 13 maggio 1998, n. 171, è così modificato:
a) la rubrica è sostituita dalla seguente: chiamate di disturbo de di emergenza;
b) dopo il comma 2, è aggiunto il seguente: 2-bis. Il fornitore di una rete di telecomunicazioni pubblica o di un servizio di telecomunicazioni accessibili al pubblico deve predisporre procedure adeguate e trasparenti per garantire, linea per linea, lannullamento della soppressione dellidentificazione della linea chiamante da parte dei servizi abilitati a ricevere chiamate demergenza.[12]
Capo X -COPERTURA FINANZIARIA ED ENTRATA IN VIGORE
[1] Ai sensi dellart. 24 D.Lgvo 467/2001, le modifiche introdotte dal decreto stesso al presente articolo si applicano a decorrere dall1 marzo 2002.
Le disposizioni di cui ai commi 3,4,5,5-bis,5-ter,5-quater e 5-quinquies del presente articolo, saranno abrogate a decorrere dalla data di entrata in vigore delle modifiche apportate al regolamento di cui allart. 33, comma 3, della presente legge, in applicazione del comma 1 del presente articolo.
[2] Ai sensi dellart. 24 D.Lgvo 467/2001, le modifiche introdotte dal decreto stesso al presente articolo si applicano a decorrere dall1 marzo 2002.
[3] I provvedimenti attuativi della presente disposizione, in sede di prima applicazione del D.lgvo 467/2001, sono adottati entro centoventi giorni a decorrere dal 1 ottobre 2002.
[4] Questa disposizione sarà abrogata a decorrere dalla data di entrata in vigore delle modifiche apportate al regolamento di cui allart. 33, comma 3, della presente legge, in applicazione dellart. 7, comma 1, della presente legge.
[5] In sede di prima applicazione della presente disposizione, introdotta dal D.lgvo 467/2001, le garanzie dalla stessa previste, sono determinate dallassociazione, dallente o dallorganismo entro il 30.06.2002.
[6] I provvedimenti attuativi della presente disposizione, in sede di prima applicazione del D.lgvo 467/2001, sono adottati entro centoventi giorni a decorrere dal 1 ottobre 2002.
[7] Questa disposizione sarà abrogata a decorrere dalla data di entrata in vigore delle modifiche apportate al regolamento di cui allart. 33, comma 3, della presente legge, in applicazione dellart. 7, comma 1 della presente legge.
[8] Al fine di garantire la piena attuazione dei principi di cui al presente articolo, il Garante promuove, entro il 30 giugno 2002, la sottoscrizione di codici di deontologia e di buona condotta per i soggetti pubblici e privati interessati al trattamento dei dati personali nei settori di seguito indicati, tenendo conto della specificità dei trattamenti nei diversi ambiti, nonché dei criteri direttivi delle Raccomandazioni del Consiglio dEuropa indicate nellarticolo 1, comma 1, lettera b), della legge 31 dicembre 1996 n. 676. I suddetti codici riguardano il trattamento dei dati personali:
a) effettuati da fornitori di servizi di comunicazione e informazione offerti per via telematica, con particolare riguardo ai criteri per assicurare ed uniformare una più adeguata informazione e consapevolezza degli utenti delle reti di telecomunicazione gestite da soggetti pubblici e privati rispetto ai tipi di dati personali trattati e alle modalità del loro trattamento, in particolare attraverso informative fornite in linea in modo agevole ed interattivo, per favorire una più ampia trasparenza e correttezza nei confronti dei medesimi utenti e il pieno rispetto dei principi di cui allarticolo 9 della presente legge, anche ai fini delleventuale rilascio di certificazioni attestanti la qualità delle modalità prescelte ed il livello di sicurezza assicurato;
b) necessari per finalità previdenziali o per la gestione del rapporto di lavoro, prevedendo anche specifiche modalità per linformativa allinteressato e per leventuale prestazione del consenso relativamente alla pubblicazione di annunci per finalità di occupazione e alla ricezione di curricula contenenti dati personali anche sensibili;
c) effettuato ai fini di invio di materiale pubblicitario o di vendita diretta, ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva, prevedendo anche, per i casi in cui il trattamento non presuppone il consenso dellinteressato, forme semplificate per manifestare e rendere meglio conoscibile leventuale dichiarazione di non voler ricevere determinate comunicazioni;
d) svolto a fini di informazione commerciale, prevedendo anche, correlazione con quanto previsto allarticolo 10, comma 4 della presente legge, modalità semplificate per linformativa allinteressato e idonei meccanismi per favorire la qualità e lesattezza dei dati raccolti e comunicati;
e) effettuato nellambito di sistemi informativi di cui sono titolari soggetti privati, utilizzati a fini di concessione di crediti al consumo o comunque riguardanti laffidabilità e la puntualità nei pagamenti da parte degli interessati, individuando anche specifiche modalità per favorire la comunicazione di dati personali esatti e aggiornati nel rispetto dei diritti dellinteressato;
f) provenienti da archivi, registri, elenchi, atti o documenti tenuti da soggetti pubblici, anche individuando i casi in cui debba essere indicata la fonte di acquisizione dei dati e prevedendo garanzie appropriate per lassociazione di dati provenienti da più archivi, tenendo presente quanto previsto dalla Raccomandazione del Consiglio dEuropa N.R (91) 10 in relazione allarticolo 9 della presente legge;
g) effettuato con strumenti automatizzati di rilevazione di immagini, prevedendo specifiche modalità di trattamento e forme semplificate di informativa allinteressato per garantirne la liceità e la correttezza anche in riferimento a quanto previsto dallarticolo 9 della presente legge.
Il rispetto delle disposizioni contenute nei codici deontologici costituisce condizione essenziale per la liceità del trattamento dei dati.
I codici sono pubblicati nella Gazzetta Ufficiale delle Repubblica Italiana a cura del Garante e riportati in allegato al testo unico delle disposizioni in materia previsto dallart. 1, comma 4, della legge 24 marzo n. 127.
[9] Alle violazioni dellart. 34 della legge 31 dicembre 1996, n. 675 commesse prima dellentrata in vigore del decreto 467/2001 che ha modificato detto articolo, si applicano, in quanto compatibili, le disposizioni di cui agli articoli 100, 101 e 102 del decreto legislativo 30 dicembre 1999, n. 507.
[10] Per i procedimenti penali in corso per il reato di cui allart. 36, alla data di entrata in vigore del decreto 28.12.2001 n.467, lautore del reato può fare richiesta, entro quaranta giorni dallentrata in vigore del decreto, di essere ammesso alla procedura indicata nellarticolo 36 nuova dizione. LAutorità giudiziaria dispone la sospensione del procedimento e trasmette gli atti al Garante per la protezione dei dati personali che provvede ai sensi del medesimo articolo 36, comma 2.
[11] Ai sensi dellart. 24 D.Lgvo 467/2001, le modifiche introdotte dal decreto stesso al presente articolo si applicano a decorrere dall1 marzo 2002.
[12] Ai sensi dellart. 24 D.Lgvo 467/2001, le modifiche introdotte dal decreto stesso al presente articolo si applicano a decorrere dall1 marzo 2002.

References: Art. 2

Art. 6

Art. 7

Art. 10

Art. 12

Art. 13

Art. 15

Art. 17

Art. 19

Art. 21

Art. 24

Art. 24

Art. 28

Art. 31

Art. 34

Art. 36

Art. 37

Art. 37

Art. 38

Art. 42
 articolo 36