Serie Generale n. 78 del 3-4-2013
DECRETI E DELIBERE DI ALTRE AUTORITA'
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
DELIBERA 14 marzo 2013
Autorizzazione al trasferimento di dati personali dal territorio dello Stato verso la Nuova Zelanda. (Delibera n. 123). (13A02830) (GU Serie Generale n.78 del 03-04-2013)

IL GARANTE PER LA PROTEZIONE
DEI DATI PERSONALI

Nella riunione odierna, in presenza del dott. Antonello Soro,
presidente, della dott.ssa Augusta Iannini, vice presidente, della
dott.ssa Giovanna Bianchi Clerici, componente, e del dott. Giuseppe
Busia, segretario generale;
Visto l'art. 25, paragrafi 1 e 2, della direttiva 95/46/CE del
Parlamento europeo e del Consiglio del 24 ottobre 1995 secondo cui i
dati personali possono essere trasferiti in un paese non appartenente
all'Unione europea qualora il paese terzo garantisca un livello di
protezione adeguato, secondo quanto previsto nel paragrafo 2 del
medesimo articolo;
Visto il paragrafo 6 del medesimo art. 25 secondo il quale la
Commissione europea può constatare che un paese terzo garantisce un
livello di protezione adeguato ai sensi del citato paragrafo 2, ai
fini della tutela della vita privata o dei diritti e delle libertà
fondamentali della persona;
Vista la decisione della Commissione europea del 19 dicembre 2012
n. 2013/65/UE (pubblicata nella Gazzetta Ufficiale delle Comunità
europee L 28/12 del 30 gennaio 2013), con la quale si è ritenuto che
la Nuova Zelanda garantisce un livello adeguato di protezione dei
dati personali trasferiti dall'Unione europea;
Considerato che gli Stati membri europei devono adottare le misure
necessarie per conformarsi alla decisione della commissione, ai sensi
del citato art. 25, paragrafo 6 della direttiva;
Visto l'art. 44, comma 1, lettera b) del Codice in materia di
protezione dei dati personali (decreto legislativo n. 196/2003),
secondo il quale il trasferimento dei dati personali diretto verso
paesi non appartenenti all'Unione europea può avvenire quando sia
autorizzato dal Garante sulla base di adeguate garanzie per i diritti
dell'interessato individuate con le decisioni della Commissione
previste dagli articolo 25, paragrafo 6, e 26, paragrafo 4, della
direttiva 95/46/CE;
Considerata l'esigenza di adottare un provvedimento necessario per
l'applicazione della decisione della Commissione in conformità al
citato art. 44, comma 1, lettera b);
Ritenuto che le norme vigenti nella Nuova Zelanda relative alla
protezione dei dati personali, in base alla valutazione svolta dalla
Commissione europea, prevedono garanzie per i diritti
dell'interessato che, in conformità al diritto comunitario, vanno
ritenute adeguate ai sensi del citato art. 44, comma 1, lettera b);
Visto l'art. 2 della decisione in tema di controlli e provvedimenti
delle autorità di garanzia degli Stati membri sulla liceità e
correttezza dei trasferimenti, anche in relazione a quanto previsto
dall'art. 4 della direttiva 95/46/CE sul diritto nazionale
applicabile;
Ritenuta la necessità di assicurare ulteriore pubblicità alla
predetta decisione della Commissione europea disponendo la sua
pubblicazione nella Gazzetta Ufficiale della Repubblica italiana in
allegato alla presente autorizzazione;
Vista la documentazione d'ufficio;
Viste le osservazioni dell'ufficio, formulate dal segretario
generale ai sensi dell'art. 15 del regolamento del Garante, n.
1/2000;
Relatore la dott.ssa Augusta Iannini;

Tutto ciò premesso il garante:

1. Fatta salva l'applicazione delle ulteriori disposizioni previste
dal codice in materia di protezione dei dati personali, autorizza i
trasferimenti di dati personali dal territorio dello Stato verso la
Nuova Zelanda, in conformità alla decisione della Commissione
europea del 19 dicembre 2012, n. 2013/65/UE.
2. Si riserva, in conformità alla normativa comunitaria, al Codice
in materia di protezione dei dati personali e all'art. 2 della
decisione della Commissione, di svolgere i necessari controlli sulla
liceità e correttezza dei trasferimenti di dati e di adottare
eventuali provvedimenti di blocco o di divieto di trasferimento.
3. Dispone la trasmissione del presente provvedimento e
dell'allegata decisione della Commissione all'ufficio pubblicazione
leggi e decreti del Ministero della giustizia per la sua
pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.
Roma, 14 marzo 2013

Il presidente
Soro


Il relatore
Iannini


Il segretario generale
Busia

Allegato


DECISIONI


DECISIONE DI ESECUZIONE DELLA COMMISSIONE del 19 dicembre 2012

a norma della direttiva 95/46/CE del Parlamento europeo e del
Consiglio sull'adeguata protezione dei dati personali da parte della
Nuova Zelanda

[notificata con il numero C(2012) 9557]

(Testo rilevante ai fini del SEE)

(2013/65/UE)



LA COMMISSIONE EUROPEA,

visto il trattato sul funzionamento dell'Unione europea,

vista la direttiva 95/46/CE del Parlamento europeo e del Consiglio,
del 24 ottobre 1995, relativa alla tutela delle persone fisiche con
riguardo al trattamento dei dati personali, nonchè alla libera
circolazione di tali dati (1), in particolare l'articolo 25,
paragrafo 6,

---------
(1) GU L 281 del 23,11.1995, pag. 31.

sentito il Garante europeo della protezione dei dati,

considerando quanto segue:

(1) Ai sensi della direttiva 95/46/CE gli Stati membri devono far sì
che il trasferimento di dati personali a un paese terzo abbia luogo
solo se il paese in questione garantisce adeguati livelli di tutela e
dopo aver accertato, prima del trasferimento, che siano soddisfatte
le norme degli Stati membri che attuano altre disposizioni della
direttiva.

(2) La Commissione può constatare che un paese terzo garantisca
adeguati livelli di tutela. In tal caso, gli Stati membri possono
trasferirvi dati personali senza la necessità di ulteriori garanzie.

(3) A norma della direttiva 95/46/CE è necessario valutare il
livello di protezione dei dati riguardo a tutte le circostanze
relative a un trasferimento o a una categoria di trasferimenti di
dati, prendendo in considerazione in particolare alcuni determinati
elementi rilevanti ai fini del trasferimento.

(4) Data la diversità degli approcci alla protezione dei dati nei
paesi terzi, è opportuno effettuare la valutazione dell'adeguatezza,
nonchè adottare e applicare ogni decisione ai sensi della direttiva
95/46/CE, senza discriminazioni ingiustificate o arbitrarie contro o
tra paesi terzi in cui esistono condizioni simili e senza creare
barriere occulte al libero scambio, nel rispetto degli attuali
impegni internazionali assunti dall'Unione europea.

(5) La Nuova Zelanda è una ex colonia britannica che ha acquisito lo
status di dominion indipendente nel 1907, ma ha reciso formalmente il
legame costituzionale con il Regno Unito solo nel 1947. La Nuova
Zelanda è uno Stato unitario e non dispone di una costituzione
scritta nel senso convenzionale di documento costitutivo consolidato.
Il paese è una monarchia costituzionale e una democrazia
parlamentare basato sullo Statuto di Westminster, con la regina della
Nuova Zelanda a capo dello Stato.

(6) Lo Stato neozelandese poggia sul principio della sovranità
parlamentare. Tuttavia, per convenzione, ad alcune leggi aventi
particolare rilevanza costituzionale è attribuito il rango di
‹(leggi di livello superiore. Ciò significa che sono parte del
contesto o del paesaggio costituzionale e informano la prassi
governativa e l'applicazione delle altre normative. Inoltre, la
modifica o l'abrogazione di queste leggi richiederebbe verosimilmente
un consenso trasversale a livello politico. Diverse di queste leggi -
Bill of Rights Act del 28 agosto 1990 (Public Act n. 109 del 1990),
Human Rights Act del 10 agosto 1993 (Public Ari n. 82 del 1993), e
Privacy Act del 17 maggio 1993 (Public Ad n. 28 del 1993) -
riguardano la protezione dei dati. L'importanza costituzionale di
tali disposizioni legislative trova eco nella convenzione secondo la
quale esse devono essere prese in considerazione quando vengono
elaborate o proposte nuove leggi.

(7) Le norme giuridiche a protezione dei dati personali della Nuova
Zelanda sono principalmente enunciate nel Privacy Act, modificato dal
Privacy (Cross-border Information) Ammendement Act del 7 settembre
2010 (Public Act n. 113 del 2010). L'atto, anteriore alla direttiva
95/46/CE, non si limita a dati elaborati automaticamente o a dati
strutturati contenuti in un archivio, ma si applica a tutte le
informazioni personali, qualunque sia la loro forma. Il suo campo di
applicazione ricomprende integralmente i settori pubblico e privato,
fatte salve alcune particolari deroghe di interesse pubblico, come è
consueto nelle società democratiche.

(8) In Nuova Zelanda esistono diversi quadri regolamentari che
permettono di trattare le questioni inerenti la sfera privata in
termini di politiche, nonne, o giurisdizioni di ricorso; alcuni sono
di matrice normativa, mentre altri sono corpora di
autoregolamentazione settoriale, compresi i settori dei mezzi di
comunicazione, del marketing diretto, dei messaggi di posta
elettronica indesiderati, delle ricerche di mercato, della salute e
delle disabilità, dei servizi bancari e assicurativi e del
risparmio.

Oltre alla legislazione adottata dal Parlamento neozelandese, esiste
un considerevole corpus di common law modellato sul common law
inglese, contenente principi e norme di diritto consuetudinario
concernenti la protezione dei dati. Uno dei principi portanti di
common law è quello che pone la dignità della persona tra gli
obiettivi primari del diritto. Tale principio di common law è un
elemento fondamentale del contesto generale in cui si svolge il
processo decisionale giudiziario in Nuova Zelanda. La giurisprudenza
della Nuova Zelanda modellata sul common law concerne anche una serie
di altri aspetti inerenti alla riservatezza della vita privata,
compresi la violazione della privacy, la violazione dell'obbligo di
riservatezza e i dispositivi di protezione accessoria nel contesto,
tra l'altro, di diffamazione, turbative, molestie, falsità dolosa e
colpa.

(10) Le norme giuridiche neozelandesi applicabili in materia di
protezione dei dati contemplano tutti i principi relativi a un
adeguato livello di tutela delle persone fisiche, prevedendo
eccezioni e restrizioni a salvaguardia di rilevanti interessi
pubblici. Tali norme in materia di protezione dei dati e le relative
eccezioni riflettono i principi contenuti nella direttiva 95/46/CE.

(11) L'applicazione di dette norme è garantita da mezzi di ricorso
amministrativi e giurisdizionali e dal controllo indipendente
esercitato dall'autorità di controllo - il Privacy Commissioner -
che è dotato del tipo di poteri enunciati nell'articolo 28 della
direttiva 95/46/CE, e che agisce in piena indipendenza. Inoltre,
chiunque vi abbia interesse può adire le vie legali per ottenere il
risarcimento del danno subito in conseguenza del trattamento illecito
dei propri dati personali.

(12) È pertanto opportuno considerare che la Nuova Zelanda fornisce
adeguati livelli di tutela dei dati personali ai sensi della
direttiva 95/46/CE.

La presente decisione dovrebbe riguardare l'adeguatezza della
protezione assicurata in Nuova Zelanda ai fini della sua conformità
ai requisiti di cui all'articolo 25, paragrafo 1, della direttiva
95/46/CE, ferme restando altre condizioni o restrizioni che attuano
altre disposizioni della direttiva attinenti al trattamento di dati
personali negli Stati membri.

(14) Nell'interesse della trasparenza e per salvaguardare la
capacità delle competenti autorità degli Stati membri di garantire
la tutela delle persone riguardo al trattamento dei dati personali,
è necessario precisare le circostanze eccezionali che giustificano
la sospensione di particolari flussi di dati, nonostante l'esistenza
di un'adeguata protezione.

(15) Il gruppo per la tutela delle persone con riguardo al
trattamento dei dati personali, istituito dall'articolo 29 della
direttiva 95/46/CE, ha espresso parere favorevole circa il livello di
adeguatezza della protezione dei dati personali in Nuova Zelanda (1),
di cui si è tenuto conto nella stesura della presente decisione di
esecuzione.

---------
(1) Parere 11/2011 del 4 aprile 2011 sul livello di protezione dei
dati personali in Nuova Zelanda. Disponibile al seguente indirizzo:

http://
ec.europa.eu/justice/data-protection/article-29/docurrtntation/opinio
n-recommendation/files/ 2011 /wp182 it.pdf

(16) Le misure previste dalla presente decisione sono conformi al
parere del comitato istituito ai sensi dell'articolo 31, paragrafo 1,
della direttiva 95/46/CE,

HA ADOTTATO LA PRESENTE DECISIONE:

Articolo 1

1. Per le finalità di cui all'articolo 25, paragrafo 2, della
direttiva 95/46/CE, si ritiene che la Nuova Zelanda fornisca un
adeguato livello di protezione dei dati personali trasferiti
dall'Unione europea.

2. L'autorità di controllo competente per l'applicazione delle norme
sulla protezione dei dati in Nuova Zelanda figura nell'allegato della
presente decisione.

Articolo 2

1. Fatti salvi i poteri di intervento volti a garantire il rispetto
delle disposizioni nazionali adottate in applicazione di disposizioni
diverse dall'articolo 25 della direttiva 95/46/CE, le autorità
competenti degli Stati membri possono esercitare i poteri di cui
dispongono per sospendere i trasferimenti di dati verso destinatari
in Nuova Zelanda al fine di tutelare i cittadini nell'ambito del
trattamento dei loro dati personali nei casi in cui:
a) un'autorità competente neozelandese abbia constatato che il
destinatario non rispetta le norme applicabili relative alla
protezione; o
b) sia fortemente probabile una violazione delle nonne di protezione,
esistano fondati motivi per credere che l'autorità competente della
Nuova Zelanda non prenda o non prenderà provvedimenti adeguati e
tempestivi per risolvere la questione, il persistere del
trasferimento dia luogo a rischi imminenti di danno grave per gli
interessati e le autorità competenti dello Stato membro abbiano
compiuto ragionevoli sforzi per avvisare i responsabili del
trattamento in Nuova Zelanda e dar loro l'opportunità di rispondere.

2. La sospensione cessa non appena sia garantito il rispetto delle
norme di protezione e ne sia informata l'autorità competente dello
Stato membro interessato.

Articolo 3

1. Gli Stati membri informano immediatamente la Commissione
dell'adozione di provvedimenti ai sensi dell'articolo 2.

2. Gli Stati membri e la Commissione si comunicano a vicenda i casi
in cui l'azione degli organismi neozelandesi responsabili di
assicurare il rispetto delle norme di protezione non sia sufficiente
a garantire tale rispetto.

3. Ove risulti provato, dalle informazioni di cui all'articolo 2,
paragrafo 1, e ai paragrafi 1 e 2 del presente articolo, che gli
organismi incaricati di garantire il rispetto delle norme di
protezione in Nuova Zelanda non svolgono la loro funzione in Triodo
efficace, la Commissione avverte le competenti autorità neozelandesi
e, se necessario, presenta proposte di misure, secondo la procedura
di cui all'articolo 31, paragrafo 2, della direttiva 95/46/CE, in
vista di abrogare o sospendere la presente decisione o di limitarne
il campo d'applicazione.

Articolo 4

La Commissione controlla l'attuazione della presente decisione e
comunica qualsiasi informazione utile al comitato di cui all'articolo
31 della direttiva 95/46/CE, in particolare ogni elemento rilevante
ai fini della valutazione di cui all'articolo 1 della presente
decisione circa l'adeguatezza della protezione in Nuova Zelanda ai
sensi dell'articolo 25 della direttiva 95/46/CE e ogni elemento che
dimostri che la presente decisione è applicata in modo
discriminatorio.

Articolo 5

Gli Stati membri adottano le misure necessarie per conformarsi alla
presente decisione entro il 20 marzo 2013.

Articolo 6

Gli Stati membri sono destinatari della presente decisione.



Fatto a Bruxelles, il 19 dicembre 2012



Per la Commissione
Viviane REDING
Vicepresidente

ALLEGATO

Autorità di controllo competente di cui all'articolo 1, paragrafo 2,
della presente decisione:

Privacy Commissioner:
Te Mana Matapono Matatapu
Level 4
109-111 Featherston Street
Wellington 6143
Nuova Zelanda
Tel.: + 64-4-474 7590
e-mail: enquiries@privacy.org.nz
Sito web: http://privacy.org.nz/