Tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonchè alla libera circolazione di tali dati (Direttiva CE 24 Ottobre 1995 n. 46)
DIRETTIVA N. 95/46/CE
DEL PARLAMENTO EUROPEO E DEL CONSIGLIO
del 24 ottobre 1995
relativa alla “tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonchè’ alla libera circolazione di tali dati”
IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL”UNIONE EUROPEA,
Visto il trattato che istituisce la Comunità’ europea, in particolare l”Art. 100 A,
vista la proposta della Commissione (1),
visto il parere del Comitato economico e sociale (2),
deliberando conformemente alla procedura di cui all”articolo 189 B del trattato (3),
(1) considerando che gli obiettivi della Comunità’, enunciati nel trattato, come è’ stato modificato dal trattato sull”Unione europea, consistono nel realizzare un”unione sempre piè’ stretta tra i popoli europei, nell”istituire relazioni piè’ strette tra gli Stati che la Comunità’ riunisce, nell”assicurare mediante un”azione comune il progresso economico e sociale eliminando le barriere che dividono l”Europa, nel promuovere il miglioramento costante delle condizioni di vita delle sue popolazioni, nel preservare e rafforzare la pace e la libertà’ e nel promuovere la democrazia basandosi sui diritti fondamentali sanciti dalle costituzioni e dalle leggi degli Stati membri nonchè’ dalla convenzione europea di salvaguardia dei diritti dell”uomo e delle libertà’ fondamentali;
(2) considerando che i sistemi di trattamento dei dati sono al servizio dell”uomo; che essi, indipendentemente dalla nazionalità’ o dalla residenza delle persone fisiche, debbono rispettare le libertà’ e i diritti fondamentali delle stesse, in particolare la vita privata, e debbono contribuire al progresso economico e sociale, allo sviluppo degli scambi nonchè’ al benessere degli individui;
(3) considerando che l”instaurazione e il funzionamento del mercato interno, nel quale, conformemente all”articolo 7 A del trattato, è’ assicurata la libera circolazione delle merci, delle persone, dei servizi e dei capitali, esigono non solo che i dati personali possano circolare liberamente da uno Stato membro all”altro, ma che siano altresì’ salvaguardati i diritti fondamentali della persona;
(4) considerando che nella Comunità’ si ricorre sempre piè’ frequentemente al trattamento di dati personali nei vari settori delle attività’ economiche e sociali; che i progressi registrati dalle tecnologie dell”informazione facilitano notevolmente il trattamento e lo scambio di tali dati;
(5) considerando che l”integrazione economica e sociale derivante dall”instaurazione e dal funzionamento del mercato interno ai sensi dell”articolo 7A del trattato comporterà’ necessariamente un sensibile aumento dei flussi transfrontalieri di dati personali tra tutti i soggetti della vita economica e sociale degli Stati membri, siano essi privati o pubblici; che lo scambio di dati personali tra imprese stabilite in Stati membri differenti è’ destinato ad aumentare; che le amministrazioni nazionali dei vari Stati membri debbono collaborare, in applicazione del diritto comunitario, e scambiarsi i dati personali per poter svolgere la loro funzione o esercitare compiti per conto di un”amministrazione di un altro Stato membro, nell”ambito dello spazio senza frontiere costituito dal mercato interno;
(6) considerando, inoltre, che il rafforzamento della cooperazione scientifica e tecnica e la messa in opera coordinata di nuove reti di telecomunicazioni nella Comunità’ richiedono e facilitano la circolazione transfrontaliera di dati personali;
(7) considerando che il divario nei livelli di tutela dei diritti e delle libertà’ personali, in particolare della vita privata, garantiti negli Stati membri relativamente al trattamento di dati personali può’ impedire la trasmissione dei dati stessi fra territori degli Stati membri e che tale divario può’ pertanto costituire un ostacolo all”esercizio di una serie di attività’ economiche su scala comunitaria, falsare la concorrenza e ostacolare, nell”adempimento dei loro compiti, le amministrazioni che intervengono nella applicazione del diritto comunitario; che detto divario nel grado di tutela deriva dalla diversità’ disposizioni legislative, regolamentari ed amministrative nazionali;
(8) considerando che, per eliminare gli ostacoli alla circolazione dei dati personali, il livello di tutela dei diritti e delle libertà’ delle persone relativamente al trattamento di tali dati deve essere equivalente in tutti gli Stati membri; che tale obiettivo, fondamentale per il mercato interno, non può’ essere conseguito esclusivamente attraverso l”azione degli Stati membri, tenuto conto in particolare dell”ampia divergenza esistente attualmente tra le norme nazionali in materia e della necessità’ di coordinarle affinchè’ il flusso transfrontaliero di dati personali sia disciplinato in maniera coerente e conforme all”obiettivo del mercato interno ai sensi dell”articolo 7A del trattato; che risulta pertanto necessario un intervento della Comunità’ ai fini di un ravvicinamento delle legislazioni;
(9) considerando che, data la protezione equivalente derivante dal ravvicinamento delle legislazioni nazionali, gli Stati membri non potranno piè’ ostacolare la libera circolazione tra loro di dati personali per ragioni inerenti alla tutela dei diritti e delle libertà’ delle persone fisiche, segnatamente del diritto alla vita privata; che gli Stati membri disporranno di un margine di manovra di cui potranno valersi, nell”applicazione della Direttiva, i partner economici e sociali; che potranno quindi precisare nella loro legislazione nazionale le condizioni generali di liceità’ dei trattamenti; così’ facendo gli Stati membri si adopereranno per migliorare la protezione attualmente prevista dalle loro leggi; che, nei limiti di tale margine di manovra e conformemente al diritto comunitario, potranno verificarsi divergenze nell”applicazione della Direttiva e che queste potranno ripercuotersi sulla circolazione dei dati sia all”interno dello Stato membro che nelle Comunità’;
(10) considerando che le legislazioni nazionali relative al trattamento dei dati personali hanno lo scopo di garantire il rispetto dei diritti e delle libertà’ fondamentali, in particolare del diritto alla vita privata, riconosciuto anche dall”articolo 8 della Convenzione europea per la salvaguardia dei diritti dell”uomo e delle libertà’ fondamentali e dai principi generali del diritto comunitario; che pertanto il riavvicinamento di dette legislazioni non deve avere per effetto un indebolimento della tutela da esse assicurata ma deve anzi mirare a garantire un elevato grado di tutela nella Comunità’;
(11) considerando che i principi della tutela dei diritti e delle libertà’ delle persone, in particolare del rispetto della vita privata, contenuti dalla presente Direttiva precisano ed ampliano quelli enunciati dalla convenzione del 28 gennaio 1981 del Consiglio d”Europa sulla protezione delle persone con riferimento al trattamento automatizzato dei dati di carattere personale;
(12) considerando che i principi di tutela si devono applicare a tutti i trattamenti di dati personali quando le attività’ del responsabile del trattamento rientrano nel campo d”applicazione del diritto comunitario; che deve essere escluso il trattamento di dati effettuato da una persona fisica nell”esercizio di attività’ a carattere esclusivamente personale o domestico quali la corrispondenza e la compilazione di elenchi di indirizzi;
(13) considerando che le attività’ previste dai titoli V e VI del trattato sull”Unione europea attinenti alla pubblica sicurezza, alla difesa, alla sicurezza dello Stato o alle attività’ dello Stato in materia di diritto penale non rientrano nel campo d”applicazione del diritto comunitario, fatti salvi gli obblighi che incombono agli Stati membri a norma dell”articolo 56, paragrafo 2, dell”articolo 57 e 100A del trattato; che il trattamento di dati personali che è’ necessario alla salvaguardia del benessere economico dello Stato non rientra nell”ambito della presente Direttiva qualora il trattamento sia legato a questioni di sicurezza dello Stato;
(14) considerando che la presente Direttiva dovrebbe applicarsi al trattamento dei dati in forma di suoni e immagini relativi a persone fisiche, vista la notevole evoluzione in corso nella società’ dell”informazione delle tecniche per captare, trasmettere, manipolare, registrare, conservare o comunicare siffatti dati;
(15) considerando che il trattamento de suddetti dati rientra nella presente Direttiva soltanto se è’ automatizzato o se riguarda dati contenuti, o destinati ad essere contenuti, in un archivio strutturato secondo criteri specifici relativi alle persone, in modo da consentire un facile accesso ai dati personali di cui trattasi;
(16) considerando che nel campo d”applicazione della presente Direttiva non rientra il trattamento di dati in forma di suoni e immagini, quali i dati di controllo video, finalizzato alla pubblica sicurezza, alla difesa, alla sicurezza dello Stato o all”esercizio di attività’ dello Stato nella sfera del diritto penale o di altre attività’ che esulano dal campo d”applicazione del diritto comunitario;
(17) considerando che, per quanto attiene al trattamento di suoni e immagini finalizzato all”attività’ giornalistica o all”espressione letteraria o artistica, in particolare del settore audiovisivo, i principi della Direttiva hanno un”applicazione limitata, conformemente a quanto dispone l”articolo 9;
(18) considerando che, onde evitare che una persona venga privata della tutela cui ha diritto in forza della presente Direttiva, è’ necessario che qualsiasi trattamento di dati personali effettuato nella Comunità’ rispetti la legislazione di uno degli Stati membri; che, a questo proposito, è’ opportuno assoggettare i trattamenti effettuati da una persona che opera sotto l”autorità’ del responsabile del trattamento stabilito in uno Stato membro alla legge di tale Stato;
(19) considerando che lo stabilimento nel territorio di uno Stato membro implica l”esercizio effettivo e reale dell”attività’ mediante un”organizzazione stabile; che la forma giuridica di siffatto stabilimento, si tratti di una semplice succursale o di una filiale dotata di personalità’ giuridica, non è’ il fattore determinante a questo riguardo; che quando un unico responsabile del trattamento è’ stabilito nel territorio di diversi Stati membri, in particolare per mezzo di filiali, esso deve assicurare, segnatamente per evitare che le disposizioni vengano eluse, che ognuno degli stabilimenti adempia gli obblighi previsti dalla legge nazionale applicabile alle attività’ di ciascuno di essi;
(20) considerando che la tutela delle persone prevista dalla presente Direttiva non deve essere impedita dal fatto che il responsabile del trattamento sia stabilito in un paese terzo; che, in tal caso, è’ opportuno che i trattamenti effettuati siano disciplinati dalla legge dello Stato membro nel quale sono ubicati i mezzi utilizzati per il trattamento in oggetto e che siano prese le garanzie necessarie per consentire l”effettivo rispetto dei diritti e degli obblighi previsti dalla presente Direttiva;
(21) considerando che la presente Direttiva lascia impregiudicate le norme di territorialità’ applicabili in materia penale;
(22) considerando che gli Stati membri preciseranno, nella loro legislazione o in sede di applicazione delle norme di attuazione della presente Direttiva, i requisiti generali di liceità’ del trattamento dei dati; che in particolare l”articolo 5, in combinato disposto con gli articoli 7 e 8, consente agli Stati membri di prevedere, indipendentemente dalle norme generali, condizioni particolari per il trattamento dei dati in settori specifici e per le varie categorie di dati di cui all”articolo 8;
(23) considerando che gli Stati membri sono autorizzati ad assicurare la messa in opera della tutela delle persone sia mediante una legge generale relativa alla tutela delle persone contro il trattamento dei dati personali, sia mediante leggi settoriali, quali quelle relative ad esempio agli istituti di statistica;
(24) considerando che la presente Direttiva lascia impregiudicate le norme relative alla tutela delle persone giuridiche riguardo al trattamento dei dati che le riguardano;
(25) considerando che i principi di tutela si esprimono, da un lato, nei vari obblighi a carico delle persone, autorità’ pubbliche, imprese, agenzie o altri organismi responsabili del trattamento, obblighi relativi in particolare alla qualità’ dei dati, alla sicurezza tecnica, alla notificazione all”autorità’ di controllo, alle circostanze in cui il trattamento può’ essere effettuato e, dall”altro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere ai dati, e chiederne la rettifica, o di opporsi al trattamento in talune circostanze;
(26) considerando che i principi della tutela si devono applicare ad ogni informazione concernente una persona identificata o identificabile; che, per determinare se una persona è’ identificabile, è’ opportuno prendere in considerazione l”insieme dei mezzi che possono essere ragionevolmente utilizzati dal responsabile del trattamento o da altri per identificare detta persona; che i principi della tutela non si applicano a dati resi anonimi in modo tale che la persona interessata non è’ piè’ identificabile; che i codici di condotta ai sensi dell”articolo 27 possono costituire uno strumento utile di orientamento sui mezzi grazie ai quali dati possano essere resi anonimi e registrati in modo da rendere impossibile l”identificazione della persona interessata;
(27) considerando che la tutela delle persone fisiche deve essere applicata al trattamento dei dati sia automatizzato sia manuale; che la portata della tutela non deve infatti dipendere dalle tecniche impiegate poichè’, in caso contrario, sussisterebbero gravi rischi di elusione delle disposizioni; che nondimeno, riguardo al trattamento manuale, la presente Direttiva si applica soltanto agli archivi e non ai fascicoli non strutturati; che, in particolare, il contenuto di un archivio deve essere strutturato secondo criteri specifici relativi alle persone che consentano un facile accesso ai dati personali; che, in conformità’ alla definizione dell”articolo 2, lettera c), i diversi criteri che determinano gli elementi che costituiscono un insieme strutturato di dati personali, nonchè’ i diversi criteri in virtè’ dei quali un siffatto insieme è’ accessibile, possono essere precisati dai singoli Stati membri; che i fascicoli o le serie di fascicoli, nonchè’ le rispettive copertine, non strutturati secondo criteri specifici, non rientrano in nessun caso nel campo di applicazione della presente Direttiva;
(28) considerando che qualsivoglia trattamento di dati personali deve essere eseguito lealmente e lecitamente nei confronti delle persone interessate; che esso deve in particolare avere per oggetto dati adeguati, pertinenti e non eccedenti rispetto alle finalità’ perseguite; che tali finalità’ devono essere esplicite e legittime e specificate al momento della raccolta dei dati; che le finalità’ dei trattamenti successivi alla raccolta non possono essere incompatibili con quelle originariamente specificate;
(29) considerando che l”ulteriore trattamento di dati personali per scopi storici, statistici o scientifici non è’ generalmente considerato incompatibile con le finalità’ per le quali i dati erano stati preventivamente raccolti, purchè’ gli Stati membri forniscano adeguate garanzie; che tali garanzie devono soprattutto impedire l”uso dei dati per l”adozione di misure o decisioni nei confronti di singole persone;
(30) considerando che, per essere lecito, il trattamento di dati personali deve essere inoltre basato sul consenso della persona interessata oppure deve essere necessario ai fini della conclusione o dell”esecuzione di un contratto vincolante per la persona interessata, oppure deve essere previsto dalla legge, per l”esecuzione di un compito nell”interesse pubblico o per l”esercizio dell”autorità’ pubblica, o nell”interesse legittimo di un singolo individuo, a condizione che gli interessi o i diritti e le libertà’ della persona interessata non abbiano la prevalenza; che, segnatamente, per garantire un equilibrio degli interessi in causa, pur assicurando una concorrenza effettiva, gli Stati membri possono precisare le condizioni alle quali dati personali possono essere usati e comunicati a terzi nell”ambito di attività’ lecite di gestione corrente delle imprese o di altri organismi; che essi possono parimenti precisare le condizioni alle quali può’ essere effettuata la comunicazione a terzi di dati personali a fini di prospezione, sia che si tratti di invio di materiale pubblicitario che di invio di materiale promosso da un”associazione a scopo benefico o da altre associazioni o fondazioni, ad esempio a carattere politico, nel rispetto delle disposizioni volte a consentire alle persone interessate di opporsi senza dover fornire una motivazione e senza spese al trattamento dei dati che le riguardano;
(31) considerando che un trattamento di dati personali deve essere ugualmente considerato lecito quando è’ effettuato per tutelare un interesse essenziale alla vita della persona interessata;
(32) considerando che spetta alle legislazioni nazionali stabilire se il responsabile del trattamento investito di un compito di interesse pubblico o connesso all”esercizio di pubblici poteri debba essere una pubblica amministrazione o un altro soggetto di diritto pubblico o di diritto privato, quale un”associazione professionale;
(33) considerando che i dati che possono per loro natura ledere le libertà’ fondamentali o la vita privata non dovrebbero essere oggetto di trattamento, salvo esplicito consenso della persona interessata; che tuttavia le deroghe a questo divieto devono essere espressamente previste nei casi di necessità’ specifiche, segnatamente laddove il trattamento di tali dati viene eseguito da persone assoggettate per legge all”obbligo del segreto professionale per taluni fini connessi alla sanità’ o per le legittime attività’ di talune associazioni o fondazioni il cui scopo consista nel permettere l”esercizio delle libertà’ fondamentali;
(34) considerando che gli Stati membri devono anche essere autorizzati, quando un motivo di interesse pubblico rilevante lo giustifichi, a derogare al divieto di trattamento di categorie di dati di natura delicata in settori quali la pubblica sanità’ e la protezione sociale – soprattutto al fine di assicurare la qualità’ e la redditività’ per quanto riguarda le procedure per rispondere alle richieste di prestazioni e servizi nell”ambito del regime di assicurazione sanitaria -, la ricerca scientifica nonchè’ le statistiche pubbliche; che spetta loro tuttavia prevedere le garanzie appropriate e specifiche per tutelare i diritti fondamentali e la vita privata delle persone;
(35) considerando inoltre che il trattamento di dati personali da parte di pubbliche autorità’ per la realizzazione degli scopi, previsti dal diritto costituzionale o dal diritto internazionale pubblico, di associazioni religiose ufficialmente riconosciute viene effettuato per motivi di rilevante interesse pubblico;
(36) considerando che, se nelle attività’ connesse con le elezioni il funzionamento del sistema democratico rende necessaria, in alcuni Stati membri, la raccolta da parte di partiti politici di dati sulle opinioni politiche delle persone, può’ essere consentito il trattamento di siffatti dati per motivi di interesse pubblico rilevante, purchè’ siano stabilite garanzie appropriate;
(37) considerando che il trattamento di dati personali a scopi giornalistici o di espressione artistica o letteraria, in particolare nel settore audiovisivo deve beneficiare di deroghe o di limitazioni a determinate disposizioni della presente Direttiva ove sia necessario per conciliare i diritti fondamentali della persona con la libertà’ di espressione ed in particolare la libertà’ di ricevere o di comunicare informazioni, quale garantita in particolare dall”articolo 10 della Convenzione europea per la salvaguardia dei diritti dell”uomo e delle libertà’ fondamentali; che pertanto, al fine di stabilire un equilibrio fra i diritti fondamentali, gli Stati membri devono prevedere le deroghe e le limitazioni necessarie in materia di misure generali concernenti la legittimità’ del trattamento di dati, di misure relative al trasferimento di dati nei paesi terzi nonchè’ di competenze degli uffici preposti al controllo; che tuttavia ciò’ non dovrebbe permettere agli Stati membri di prevedere deroghe alle misure di garanzia della sicurezza del trattamento; che agli uffici preposti al controllo in tale settore dovrebbero essere parimenti conferite almeno determinate competenze a posteriori, ad esempio la competenza di pubblicare periodicamente una relazione o di adire l”autorità’ giudiziaria;
(38) considerando che il trattamento leale dei dati presuppone che le persone interessate possano conoscere l”esistenza del trattamento e disporre, quando i dati che le riguardano sono forniti direttamente da loro, di un”informazione effettiva e completa in merito alle circostanze della raccolta;
(39) considerando che alcuni trattamenti riguardano dati che il responsabile non ha raccolto direttamente presso la persona interessata; che è’ peraltro possibile che taluni dati siano legittimamente comunicati a terzi anche se tale comunicazione non era stata prevista all”atto della raccolta dei dati presso la persona interessata; che, in tutti questi casi, la persona interessata deve essere informata al momento della registrazione dei dati o al massimo quando essi sono comunicati per la prima volta a terzi;
(40) considerando che non è’ tuttavia necessario imporre tale obbligo se la persona interessata è’ già’ informata; che, inoltre, tale obbligo non è’ previsto se la registrazione o la comunicazione sono espressamente previste dalla legge ovvero se informare la persona interessata risulta impossibile o implica uno sforzo eccessivo, come può’ verificarsi per i trattamenti a fini storici, statistici o scientifici; che in questo caso si può’ tener conto del numero di persone interessate, dell”antichità’ dei dati e delle eventuali misure di compensazione;
(41) considerando che una persona deve godere del diritto d”accesso ai dati che la riguardano e che sono oggetto di trattamento, per poter verificare, in particolare, la loro esattezza e la liceità’ del trattamento; che, per le stesse ragioni, le persone devono avere inoltre il diritto di conoscere la logica su cui si basa il trattamento automatizzato dei dati che le riguardano, perlomeno nel caso delle decisioni automatizzate di cui all”articolo 15, paragrafo 1; che tale diritto deve lasciare impregiudicati il segreto industriale e aziendale e la proprietà’ intellettuale, segnatamente i diritti d”autore che tutelano il software; che ciò’ non dovrebbe comunque tradursi nel rifiuto di fornire qualsiasi informazione alla persona interessata;
(42) considerando che gli Stati membri possono, a beneficio della persona interessata o a tutela dei diritti e delle libertà’ altrui, limitare il diritto d”accesso e d”informazione; che possono, ad esempio, precisare che l”accesso ai dati medici è’ possibile soltanto per il tramite del personale sanitario;
(43) considerando che gli Stati membri possono altresì’ imporre analoghe restrizioni al diritto di accesso e di informazione e ad alcuni obblighi del responsabile del trattamento nella misura in cui tali restrizioni siano necessarie per salvaguardare, ad esempio, la sicurezza nazionale, la difesa, la pubblica sicurezza, importanti interessi economici o finanziari di uno Stato membro o dell”Unione, nonchè’ per indagini e procedimenti penali e in caso di violazioni dell”etica delle professioni regolamentate; che occorre elencare, a titolo di deroghe e restrizioni, i compiti di controllo, di indagine o di regolamentazione necessari negli ultimi tre settori suindicati relativamente alla pubblica sicurezza, agli interessi economici o finanziari e alla repressione penale; che l”elenco dei compiti relativi a questi tre settori lascia impregiudicata la legittimità’ delle deroghe e restrizioni giustificate da ragioni di sicurezza di Stato e di difesa;
(44) considerando che gli Stati membri possono essere indotti, in forza di disposizioni di diritto comunitario, a derogare alle disposizioni della presente Direttiva in materia di diritto d”accesso, di informazione delle persone e di qualità’ dei dati, onde salvaguardare alcune delle finalità’ di cui sopra;
(45) considerando che, in caso di dati che potrebbero essere oggetto di un trattamento lecito per ragioni di interesse pubblico, di esercizio dell”autorità’ pubblica o di interesse legittimo di un singolo, qualsiasi persona interessata dovrebbe comunque avere il diritto, per ragioni preminenti e legittime connesse alla sua situazione particolare, di opporsi al trattamento dei dati che la riguardano; che gli Stati membri hanno tuttavia la facoltà’ di prevedere disposizioni nazionali contrarie;
(46) considerando che la tutela dei diritti e delle libertà’ delle persone interessate relativamente al trattamento di dati personali richiede l”adozione di adeguate misure tecniche ed organizzative sia al momento della progettazione che a quello dell”esecuzione del trattamento, in particolare per garantirne la sicurezza ed impedire in tal modo qualsiasi trattamento non autorizzato; che spetta agli Stati membri accertarsi che il responsabile del trattamento osservi tali misure; che queste devono assicurare un adeguato livello di sicurezza, tenuto conto delle conoscenze tecniche e dei costi dell”esecuzione rispetto ai rischi che i trattamenti presentano e alla natura dei dati da proteggere;
(47) considerando che, laddove un messaggio contenente dati personali sia trasmesso tramite un servizio di telecomunicazioni o di posta elettronica, finalizzato unicamente alla trasmissione di siffatti messaggi, si considera, di norma, responsabile del trattamento dei dati personali contenuti del messaggio la persona che lo ha emanato e non la persona che presta il servizio di trasmissione; che tuttavia le persone che prestano tali servizi sono di norma considerate responsabili del trattamento dei dati personali supplementari necessari per il funzionamento del servizio;
(48) considerando che la notificazione all”autorità’ di controllo ha lo scopo di dare pubblicità’ alle finalità’ del trattamento ed alle sul principali caratteristiche, per consentirne il controllo secondo le norme nazionali di attuazione della presente Direttiva;
(49) considerando che, al fine di evitare formalità’ amministrative improprie, possono essere previste dagli Stati membri misure di esenzione dall”obbligo di notificazione o di semplificazione di quest”ultima per i trattamenti che non sono tali da recare pregiudizio ai diritti e alle libertà’ delle persone interessate, purchè’ siano conformi ad un atto adottato dallo Stato membro che ne precisi i limiti; che gli Stati membri possono analogamente prevedere esenzioni o semplificazioni qualora una persona incaricata dal responsabile del trattamento si accerti che i trattamenti effettuati non sono tali da ledere i diritti e le libertà’ delle persone interessate; che detto incaricato della protezione dei dati, dipendente o meno del responsabile del trattamento, deve essere in grado di esercitare le sue funzioni in modo del tutto indipendente;
(50) considerando che potrebbero essere previste esenzioni o semplificazioni per i trattamenti il cui unico scopo sia la tenuta di registri finalizzati, ai sensi del diritto nazionale, all”informazione del pubblico e aperti alla consultazione del pubblico o di chiunque dimostri un interesse legittimo;
(51) considerando che il responsabile del trattamento beneficiario della semplificazione o dell”esenzione dall”obbligo di notificazione non è’ tuttavia dispensato da nessuno degli altri obblighi che gli incombono a norma della presente Direttiva;
(52) considerando che, in questo contesto, il controllo a posteriori da parte delle autorità’ competenti deve essere ritenuto di norma sufficiente;
(53) considerando che, tuttavia, alcuni trattamenti possono presentare rischi particolari per i diritti e le libertà’ delle persone interessate, per natura, portata o finalità’, quali quello di escludere una persona dal beneficio di un diritto, di una prestazione o di un contratto, ovvero a causa dell”uso particolare di una tecnologia nuova; che spetta agli Stati membri, se lo vorranno, precisare tali rischi nella legislazione nazionale;
(54) considerando che il numero dei trattamenti che presentano tali rischi particolari dovrebbe essere molto esiguo rispetto al totale dei trattamenti effettuati nella società’; che, per siffatti trattamenti, gli Stati membri devono prevedere, prima che inizi il trattamento, un esame da parte dell”autorità’ di controllo, o dell”incaricato della protezione dei dati in collaborazione con essa; che a seguito di tale esame preliminare l”autorità’ di controllo può’ , in base al diritto nazionale d”applicazione, formulare un parere o autorizzare il trattamento dei dati; che detto esame può’ aver luogo anche durante il processo di elaborazione di un provvedimento del Parlamento nazionale ovvero di un provvedimento basato su tale provvedimento legislativo, in cui si definisca la natura del trattamento e si precisino le garanzie appropriate;
(55) considerando che, in caso di violazione dei diritti delle persone interessate da parte del responsabile del trattamento, le legislazioni nazionali devono prevedere vie di ricorso giurisdizionale; che i danni cagionati alle persone per effetto di un trattamento illecito devono essere riparati dal responsabile del trattamento, il quale può’ essere esonerato dalla propria responsabilità’ se prova che l”evento dannoso non gli è’ imputabile, segnatamente quando dimostra l”esistenza di un errore della persona interessata o un caso di forza maggiore; che sanzioni debbono essere applicate nei confronti di qualsiasi soggetto di diritto privato o di diritto pubblico che non rispetti le norme nazionali di attuazione della presente Direttiva;
(56) considerando che lo sviluppo degli scambi internazionali comporta necessariamente il trasferimento oltre frontiera di dati personali; che la tutela delle persone garantita nella Comunità’ dalla presente Direttiva non osta al trasferimento di dati personali verso paesi terzi che garantiscano un livello di protezione adeguato; che l”adeguatezza della tutela offerta da un paese terzo deve essere valutata in funzione di tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti;
(57) considerando, per contro, che deve essere vietato il trasferimento di dati personali verso un paese terzo che non offre un livello di protezione adeguato;
(58) considerando che devono essere previste, in talune circostanze, deroghe a tale divieto a condizione che la persona interessata vi abbia consentito, che il trasferimento sia necessario in relazione ad un contratto o da un”azione legale, oppure qualora il trasferimento sia necessario per la salvaguardia di un interesse pubblico rilevante, per esempio in casi di scambi internazionali di dati tra le amministrazioni fiscali o doganali oppure tra i servizi competenti per la sicurezza sociale, o qualora il trasferimento avvenga da un registro previsto dalla legge e destinato ad essere consultato dal pubblico o dalle persone aventi un interesse legittimo; che tale trasferimento non deve riguardare la totalità’ dei dati o delle categorie di dati contenuti nel registro suddetto; che il trasferimento di un registro destinato ad essere consultato dalle persone aventi un interesse legittimo dovrebbe essere possibile soltanto su richiesta di tali persone o qualora esse ne siano i destinatari;
(59) considerando che possono essere adottate misure particolari per rimediare al livello di protezione insufficiente di un paese terzo, qualora il responsabile del trattamento offra le opportune garanzie; che inoltre debbono essere previste procedure di negoziato fra la Comunità’ e i paesi terzi in questione;
(60) considerando che comunque i trasferimenti di dati verso i paesi terzi possono aver luogo soltanto nel pieno rispetto delle disposizioni prese dagli Stati membri in applicazione della presente Direttiva, in particolare dell”articolo 8;
(61) considerando che gli Stati membri e la Commissione, nei rispettivi settori di competenza, devono incoraggiare gli ambienti professionali interessati a elaborare codici di condotta destinati a favorire, secondo le caratteristiche specifiche dei trattamenti effettuati in taluni settori, l”attuazione della presente Direttiva nel rispetto delle disposizioni nazionali di applicazione della stessa;
(62) considerando che la designazione di autorità’ di controllo che agiscano in modo indipendente in ciascuno Stato membro è’ un elemento essenziale per la tutela delle persone con riguardo al trattamento di dati personali;
(63) considerando che tali autorità’ devono disporre dei mezzi necessari all”adempimento dei loro compiti, siano essi poteri investigativi o di intervento, segnatamente in caso di reclami di singoli individui, nonchè’ poteri di avviare azioni legali; che esse debbono contribuire alla trasparenza dei trattamenti effettuati nello Stato membro da cui dipendono;
(64) considerando che le autorità’ dei vari Stati membri sono tenute a collaborare nello svolgimento dei propri compiti in modo tale da assicurare che le norme relative alla tutela vengano pienamente rispettate in tutta l”Unione europea;
(65) considerando che, a livello comunitario, deve essere istituito un gruppo per la tutela delle persone con riguardo al trattamento dei dati personali e che esso deve esercitare le sue funzioni in piena indipendenza; che, tenuto conto di tale carattere specifico, esso deve consigliare la Commissione e contribuire in particolare all”applicazione omogenea delle norme nazionali di attuazione della presente Direttiva;
(66) considerando che, in ordine al trasferimento di dati verso i paesi terzi, l”applicazione della presente Direttiva richiede l”attribuzione alla Commissione di competenze d”esecuzione nonchè’ l”istituzione di una procedura secondo le modalità’ fissate nella decisione 87/373/CEE del Consiglio (4);
(67) considerando che il 20 dicembre 1994 è’ stato raggiunto un accordo su un “modus vivendi” tra Parlamento europeo, Consiglio e Commissione sulle misure di attuazione degli atti adottati in base alla procedura stabilita all”articolo 189 B del trattato CE;
(68) considerando che i principi della tutela dei diritti e delle libertà’ delle persone, in particolare del rispetto della vita privata, con riguardo al trattamento di dati personali, oggetto della presente Direttiva, potranno essere completati o precisati, soprattutto per taluni settori, da norme specifiche ad essi conformi;
(69) considerando che è’ opportuno concedere agli Stati membri un termine non superiore a tre anni a decorrere dall”entrata in vigore delle disposizioni nazionali di recepimento della presente Direttiva, per consentire loro di applicare progressivamente a tutti i trattamenti già’ realizzati dette nuove disposizioni nazionali; che per agevolare un”applicazione efficiente in termini di costi sarà’ concesso agli Stati membri un ulteriore periodo che si concluderà’ dodici anni dopo la data di adozione della presente Direttiva, in modo tale che venga assicurata la conformità’ degli archivi manuali esistenti con alcune disposizioni della Direttiva; che i dati contenuti in detti archivi e oggetto di un trattamento manuale effettivo nel corso di questo periodo di transizione supplementare devono essere resi conformi con le presenti disposizioni all”atto di tale trattamento attivo;
(70) considerando che non occorre che la persona interessata dia nuovamente il suo consenso affinchè’ il responsabile possa proseguire, dopo l”entrata in vigore delle disposizioni nazionali di attuazione della presente Direttiva, i trattamenti dei dati di natura delicata necessari all”esecuzione di un contratto concluso in base ad un consenso libero e con cognizione di causa prima dell”entrata in vigore delle suddette disposizioni;
(71) considerando che la presente Direttiva non osta alla disciplina da parte uno Stato membro delle attività’ di invio di materiale pubblicitario destinato ai consumatori residenti nel proprio territorio, purchè’ detta disciplina non riguardi la tutela delle persone relativamente al trattamento dei dati personali;
(72) considerando che la presente Direttiva consente che, nell”applicazione dei principi in essa stabiliti si tenga conto del principio dell”accesso del pubblico ai documenti ufficiali, HANNO ADOTTATO LA PRESENTE DIRETTIVA
CAPO I
DISPOSIZIONI GENERALI
Art. 1
Oggetto della direttiva
1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente Direttiva, la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.
2. Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1.
Articolo 2
Definizioni
Ai fini della presente Direttiva si intende per:
a) “dati personali”: qualsiasi informazione concernente una persona fisica identificata o identificabile (“persona interessata”); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o piè elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;
b) “trattamento di dati personali” (“trattamento”): qualsiasi operazione o insieme di operazioni compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l’ organizzazione, la conservazione, l’elaborazione o la modifica, l’estrazione, la consultazione, l’impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’ interconnessione, nonchè il congelamento, la cancellazione o la distruzione;
c) “archivio di dati personali” (“archivio”): qualsiasi insieme strutturato di dati personali accessibili, secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico:
d) “responsabile del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali. Quando le finalità e i mezzi del trattamento sono determinati da disposizioni legislative o regolamentari nazionali o comunitarie, il responsabile del trattamento o i criteri specifici per al sua designazione possono essere fissati dal diritto nazionale o comunitario;
e) “incaricato del trattamento”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del responsabile del trattamento;
f) “terzi”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che non sia la persona interessata, il responsabile del trattamento, l’incaricato del trattamento e le persone autorizzate all’elaborazione dei dati sotto la loro autorità diretta;
g) “destinatario”: la persona fisica o giuridica, l’autorità pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati, che si tratti o meno di un terzo. Tuttavia, le autorità che possono ricevere comunicazione di dati nell’ambito di una missione d’inchiesta specifica non sono considerate destinatari;
h) “consenso della persona interessata”: qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento.
Articolo 3
Campo d’applicazione
1. Le disposizioni della presente Direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonchè al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.
2. Le disposizioni della presente Direttiva non si applicano ai trattamenti di dati personali:
– effettuati per l’esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste dai titoli V e VI del trattato sull’Unione europea e comunque ai trattamenti aventi come oggetto la pubblica sicurezza, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale;
– effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico.
Art. 4
Diritto nazionale applicabile
1. Ciascuno Stato membro applica le disposizioni nazionali adottate per l’attuazione della presente Direttiva al trattamento di dati personali:
a) effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro; qualora uno stesso responsabile del trattamento sia stabilito nel territorio di piè Stati membri, esso deve adottare le misure necessarie per assicurare l’osservanza, da parte di ciascuno di detti stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile;
b) il cui responsabile non è stabilito nel territorio dello Stato membro, ma in un luogo in cui si applica la sua legislazione nazionale, a norma del diritto internazionale pubblico;
c) il cui responsabile, non stabilito nel territorio della Comunità, ricorre, ai fini del trattamento di dati personali, a strumenti, automatizzati o non automatizzati, situati nel territorio di detto Stato membro, a meno che questi non siano utilizzati ai soli fini di transito nel territorio della Comunità europea.
2. Nella fattispecie di cui al paragrafo 1, lettera c), il responsabile del trattamento deve designare un rappresentante stabilito nel territorio di detto Stato membro, fatte salve le azioni che potrebbero essere promosse contro lo stesso responsabile del trattamento.
CAPO II
CONDIZIONI GENERALI DI LICEIT?DEI TRATTAMENTI DI DATI PERSONALI
Art. 5
Gli Stati membri precisano, nei limiti delle disposizioni del presente capo, le condizioni alle quali i trattamenti di dati personali sono leciti.
Sezione I
Principi relativi alla qualita’ dei dati
Art. 6
1. Gli Stati membri dispongono che i dati personali devono essere:
a) trattati lealmente e lecitamente;
b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità.Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purchè gli Stati membri forniscano garanzie appropriate;
c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati;
d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati;
e) conservati in modo da consentire l’identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati.
Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici.
2. Il responsabile del trattamento e tenuto a garantire il rispetto delle disposizioni del paragrafo 1.
Sezione II
Principi relativi alla legittimazione del trattamento dei dati
Art. 7
Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:
a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile,
oppure
b) è necessario all’esecuzione del contratto concluso con la persona interessata o all’esecuzione di misure precontrattuali prese su richiesta di tale persona,
oppure
c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento,
oppure
d) è necessario per la salvaguardia dell’interesse vitale della persona interessata,
oppure
e) è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati,
oppure
f) è necessario per il perseguimento dell’interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l’interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell’articolo 1, paragrafo 1.
Sezione III
Categorie particolari di trattamenti
Art. 8
Trattamenti riguardanti categorie particolari di dati
1. Gli Stati membri vietano il trattamento di dati personali che rivelano l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l’appartenenza sindacale, nonchè il trattamento di dati relativi alla salute e alla vita sessuale.
2. Il paragrafo 1 non si applica qualora:
? a) la persona interessata abbia dato il proprio consenso esplicito a tale trattamento, salvo nei casi in cui la legislazione dello Stato membro preveda che il consenso della persona interessata non sia sufficiente per derogare al divieto di cui al paragrafo 1,
?oppure
b) il trattamento sia necessario, per assolvere gli obblighi e i diritti specifici del responsabile del trattamento in materia di diritto del lavoro, nella misura in cui il trattamento stesso sia autorizzato da norme nazionali che prevedono adeguate garanzie,
???
?oppure
c) il trattamento sia necessario per salvaguardare un interesse vitale della persona interessata o di un terzo nel caso in cui la persona interessata è nell’incapacità fisica o giuridica di dare il proprio consenso;
?? o
d) il trattamento sia effettuato, con garanzie adeguate, da una fondazione, un’associazione o qualsiasi altro organismo che non persegua scopi di lucro e rivesta carattere politico, filosofico, religioso o sindacale, nell’ambito del suo scopo lecito e a condizione che riguardi unicamente i suoi membri o le persone che abbiano contatti regolari con la fondazione, l’associazione o l’organismo a motivo del suo oggetto e che i dati non vengano comunicati a terzi senza il consenso delle persone interessate;
? o
e) il trattamento riguardi dati resi manifestamente pubblici dalla persona interessata o sia necessario per costituire, esercitare o difendere un diritto per via giudiziaria.
3. Il paragrafo 1 non si applica quando il trattamento dei dati è necessario alla prevenzione o alla diagnostica medica, alla somministrazione di cure o alla gestione di centri di cura e quando il trattamento dei medesimi dati viene effettuato da un professionista in campo sanitario soggetto al segreto professionale sancito dalla legislazione nazionale, comprese le norme stabilite dagli organi nazionali competenti, o da un’altra persona egualmente soggetta a un obbligo di segreto equivalente.
4. purchè siano previste le opportune garanzie, gli Stati membri possono, per motivi di interesse pubblico rilevante, stabilire ulteriori deroghe oltre a quelle previste dal paragrafo 2 sulla base della legislazione nazionale o di una decisione dell’autorità di controllo.
5. I trattamenti riguardanti i dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza possono essere effettuati solo sotto controllo dell’autorità pubblica, o se vengono fornite opportune garanzie specifiche, sulla base del diritto nazionale, fatte salve le deroghe che possono essere fissate dallo Stato membro in base ad una disposizione nazionale che preveda garanzie appropriate e specifiche.
Tuttavia un registro completo delle condanne penali può essere tenuto solo sotto il controllo dell’autorità pubblica.
Gli Stati membri possono prevedere che i trattamenti di dati riguardanti sanzioni amministrative o procedimenti civili siano ugualmente effettuati sotto controllo dell’autorità pubblica.
6. Le deroghe al paragrafo 1 di cui ai paragrafi 4 e 5 sono notificate alla Commissione.
7. Gli Stati membri determinano a quali condizioni un numero nazionale di identificazione o qualsiasi altro mezzo identificativo di portata generale può essere oggetto di trattamento.
Art. 9
Trattamento di dati personali e liberta’ d’espressione
Gli Stati membri prevedono, per il trattamento di dati personali effettuato esclusivamente a scopi giornalistici o di espressione artistica o letteraria, le esenzioni o le deroghe alle disposizioni del presente capo e dei capi IV e VI solo qualora si rivelino necessarie per conciliare il diritto alla vita privata con le norme sulla libertà d’espressione.
Sezione IV
Informazione della persona interessata
Art. 10
Informazione in caso di raccolta dei dati presso la persona interessata
Gli Stati membri dispongono che il responsabile del trattamento, o il suo rappresentante, debba fornire alla persona presso la quale effettua la raccolta dei dati che la riguardano almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
a) l’identità del responsabile del trattamento ed eventualmente del suo rappresentante;
b) le finalità del trattamento cui sono destinati i dati;
c) ulteriori informazioni riguardanti quanto segue:
– i destinatari o le categorie di destinatari dei dati,
– se rispondere alle domande è obbligatorio o volontario, nonchè le possibili conseguenze di una mancata risposta,
– se esistono diritti di accesso ai dati e di rettifica in merito ai dati che la riguardano nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata.
Art. 11
Informazione in caso di dati non raccolti presso la persona interessata
1. In caso di dati non raccolti presso la persona interessata, gli Stati membri dispongono che, al momento della registrazione dei dati o qualora sia prevista una comunicazione dei dati a un terzo, al piè tardi all’atto della prima comunicazione dei medesimi, il responsabile del trattamento o il suo rappresentante debba fornire alla persona interessata almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:
a) l’identità del responsabile del trattamento ed eventualmente del suo rappresentante,
b) ?le finalità del trattamento,
c) ulteriori informazioni riguardanti quanto segue:
– le categorie di dati interessate,
– i destinatari o le categorie di destinatari dei dati,
– se esiste un diritto di accesso ai dati e di rettifica in merito ai dati che la riguardano, nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata.
2. Le disposizioni del paragrafo 1 non si applicano quando, in particolare nel trattamento di dati a scopi statistici, o di ricerca storica o scientifica, l’informazione della persona interessata si rivela impossibile o richiede sforzi sproporzionati o la registrazione o la comunicazione è prescritta per legge. In questi casi gli Stati membri prevedono garanzie appropriate.
Sezione V
Diritto di accesso ai dati da parte della persona interessata
Art. 12
Diritto di accesso
Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:
1. liberamente e senza costrizione, ad intervalli ragionevoli e senza ritardi o spese eccessivi:
– la conferma dell’esistenza o meno di trattamenti di dati che la riguardano, e l’informazione almeno sulle finalità dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;
– la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonchè di tutte le informazioni disponibili sull’origine dei dati;
– la conoscenza della logica applicata nei trattamenti automatizzati dei dati che lo interessano, per lo meno nel caso delle decisioni automatizzate di cui all’articolo 15, paragrafo 1;
2. a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non è conforme alle disposizioni della presente Direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;
3. la notificazione ai terzi, ai quali sono stati comunicati i dati, di qualsiasi rettifica, cancellazione o congelamento, effettuati conformemente alla lettera b), se non si dimostra che è impossibile o implica uno sforzo sproporzionato.
Sezione VI
Deroghe e restrizioni
Art. 13
Deroghe e restrizioni
1. Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell’articolo 6, paragrafo 1, dell’articolo 10, dell’articolo 11, paragrafo 1 e degli articoli 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia:
a) della sicurezza dello Stato;
b) ?della difesa;
c) ?della pubblica sicurezza;
d) della prevenzione, della ricerca, dell’accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate;
e) di un rilevante interesse economico o finanziario di uno Stato membro o dell’Unione europea, anche in materia monetaria, di bilancio e tributaria;
f) di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l’esercizio dei pubblici poteri nei casi di cui alle lettere c), d) ed e);
g) della protezione della persona interessata o dei diritti e delle libertà altrui.
2. Fatte salve adeguate garanzie legali, che escludano in particolare che i dati possano essere utilizzati a fini di misure o di specifiche decisioni che si riferiscono a persone, gli Stati membri possono, nel caso in cui non sussista manifestamente alcun rischio di pregiudizio alla vita privata della persona interessata, limitare con un provvedimento legislativo i diritti di cui all’articolo 12, qualora i dati siano trattati esclusivamente ai fini della ricerca scientifica o siano memorizzati sotto forma di dati personali per un periodo che non superi quello necessario alla sola finalità di elaborazione delle statistiche.
Sezione VII
Diritto di opposizione della persona interessata
Art. 14
Diritto di opposizione della persona interessata
Gli Stati membri riconoscono alla persona interessata il diritto:
a) almeno nei casi di cui all’articolo 7, lettere e) e f), di opporsi in qualsiasi momento, per motivi preminenti e legittimi, derivanti dalla sua situazione particolare, al trattamento di dati che la riguardano, salvo disposizione contraria prevista dalla normativa nazionale. In caso di opposizione giustificata il trattamento effettuato dal responsabile non può piè riguardare tali dati;
b) di opporsi, su richiesta e gratuitamente, al trattamento dei dati personali che la riguardano previsto dal responsabile del trattamento a fini di invio di materiale pubblicitario ovvero di essere informata prima che i dati personali siano, per la prima volta, comunicati a terzi o utilizzati per conto di terzi, a fini di invio di materiale pubblicitario;
oppure:
la persona interessata deve essere informata in modo esplicito del diritto di cui gode di opporsi gratuitamente alla comunicazione o all’utilizzo di cui sopra.
Gli Stati membri prendono le misure necessarie per garantire che le persone interessate siano consapevoli che esiste il diritto di cui al primo comma della lettera b).
Art. 15
Decisioni individuali automatizzate
1. Gli Stati membri riconoscono a qualsiasi persona il diritto di non essere sottoposta ad una decisione che produca effetti giuridici o abbia effetti significativi nei suoi confronti fondata esclusivamente su un trattamento automatizzato di dati destinati a valutare taluni aspetti della sua personalità, quali il rendimento professionale, il credito, l’affidabilità, il comportamento, ecc.
2. Gli Stati membri dispongono, salve le altre disposizioni della presente Direttiva, che una persona può essere sottoposta a una decisione di cui al paragrafo 1, qualora una tale decisione:
a) sia presa nel contesto della conclusione o dell’esecuzione di un contratto, a condizione che la domanda relativa alla conclusione o all’esecuzione del contratto, presentata dalla persona interessata sia stata accolta, oppure che misure adeguate, fra le quali la possibilità di far valere il proprio punto di vista garantiscano la salvaguardia del suo interesse legittimo,
oppure
?????? b) sia autorizzata da una legge che precisi i provvedimenti atti a salvaguardare un interesse legittimo della persona interessata.
Sezione VIII
Riservatezza e sicurezza dei trattamenti
Art. 16
Riservatezza dei trattamenti
L’incaricato del trattamento o chiunque agisca sotto la sua autorità o sotto quella del responsabile del trattamento non deve elaborare i dati personali ai quali ha accesso, se non dietro istruzione del responsabile del trattamento oppure in virtè di obblighi legali.
Art. 17
Sicurezza dei trattamenti
1. Gli Stati membri dispongono che il responsabile del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall’alterazione, dalla diffusione o dall’accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all’interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.
Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell’applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.
2. Gli Stati membri dispongono che il responsabile del trattamento, quando quest’ultimo sia eseguito per suo conto, deve scegliere un incaricato del trattamento che presenti garanzie sufficienti in merito alle misure di sicurezza tecnica e di organizzazione dei trattamenti da effettuare e deve assicurarsi del rispetto di tali misure.
3. L’esecuzione dei trattamenti su commissione deve essere disciplinata da un contratto o da un atto giuridico che vincoli l’incaricato del trattamento al responsabile del trattamento e che preveda segnatamente:
– che l’incaricato del trattamento operi soltanto su istruzioni del responsabile del trattamento;
– che gli obblighi di cui al paragrafo 1, quali sono definiti dalla legislazione dello Stato membro nel quale è stabilito l’incaricato del trattamento, vincolino anche quest’ultimo.
4. A fini di conservazione delle prove, gli elementi del contratto o dell’atto giuridico relativi alla protezione dei dati e i requisiti concernenti le misure di cui al paragrafo 1 sono stipulati per iscritto o in altra forma equivalente.
Sezione IX
Notificazione
Art. 18
Obbligo di notificazione all’autorita’ di controllo
1. Gli Stati membri prevedono un obbligo di notificazione a carico del responsabile del trattamento, od eventualmente del suo rappresentante, presso l’autorità di controllo di cui all’articolo 28, prima di procedere alla realizzazione di un trattamento, o di un insieme di trattamenti, interamente o parzialmente automatizzato, destinato al conseguimento di una o piè finalità correlate.
2. Gli Stati membri possono prevedere una semplificazione o l’esonero dall’obbligo di notificazione soltanto nei casi e alle condizioni seguenti:
– qualora si tratti di categorie di trattamento che, in considerazione dei dati oggetto di trattamento, non siano tali da recare pregiudizio ai diritti e alle libertà della persona interessata, essi precisano le finalità dei trattamenti, i dati o le categorie dei dati trattati, la categoria o le categorie di persone interessate, i destinatari o le categorie di destinatari cui sono comunicati i dati e il periodo di conservazione dei dati,
e/o
– qualora il responsabile del trattamento designi, conformemente alla legislazione nazionale applicabile, un incaricato della protezione dei dati, a cui è demandato in particolare:
– di assicurare in maniera indipendente l’applicazione interna delle disposizioni nazionali di attuazione della presente Direttiva;
– di tenere un registro dei trattamenti effettuati dal responsabile del trattamento in cui figurino le informazioni di cui all’articolo 21, paragrafo 2, Garantendo in tal modo che il trattamento non sia tale da recare pregiudizio ai diritti e alle libertà della persona interessata.
3. Gli Stati membri possono prevedere che le disposizioni del paragrafo 1 non si applichino ai trattamenti la cui unica finalità è la compilazione di registri i quali, in forza di disposizioni legislative o regolamentari, siano predisposti per l’informazione del pubblico e siano aperti alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo.
4. Gli Stati membri possono prevedere una deroga all’obbligo della notificazione o una semplificazione della notificazione per i trattamenti di cui all’articolo 8, paragrafo 2, lettera d).
5. Gli Stati membri possono prevedere che i trattamenti non automatizzati di dati personali, o alcuni di essi, siano oggetto di una notificazione eventualmente semplificata.
Art. 19
Oggetto della notificazione
1. Gli Stati membri definiscono le informazioni che devono essere contenute nella notificazione.
Esse comprendono almeno:
a) il nome e l’indirizzo del responsabile del trattamento e, eventualmente, del suo rappresentante;
b) la o le finalità del trattamento;
c) una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime;
d) i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;
e) i trasferimenti di dati previsti verso paesi terzi;
f) una descrizione generale che permetta di valutare in via preliminare l’adeguatezza delle misure adottate per garantire la sicurezza del trattamento in applicazione dell’articolo 17.
2. Gli Stati membri precisano le modalità di notificazione all’autorità di controllo dei mutamenti relativi alle informazioni di cui al paragrafo 1.
Art. 20
Controllo preliminare
1. Gli Stati membri precisano i trattamenti che potenzialmente presentano rischi specifici per i diritti e le libertà delle persone e provvedono a che tali trattamenti siano esaminati prima della loro messa in opera.
2. Tali esami preliminari sono effettuati dall’autorità di controllo una volta ricevuta la notificazione del responsabile del trattamento, oppure dalla persona incaricata della protezione dei dati che, nei casi dubbi, deve consultare l’autorità di controllo medesima.
3. Gli Stati membri possono effettuare tale esame anche durante il processo di elaborazione di un provvedimento del Parlamento nazionale, o in base ad un provvedimento fondato su siffatto provvedimento legislativo, in cui si definisce il tipo di trattamento e si stabiliscono appropriate garanzie.
Art. 21
Pubblicita’ dei trattamenti
1. Gli Stati membri adottano misure intese ad assicurare la pubblicità dei trattamenti.
2. Gli Stati membri devono prevedere che l’autorità di controllo tenga un registro dei trattamenti notificati in virtè dell’articolo 18. Il registro riprende almeno le informazioni enumerate all’articolo 19, paragrafo 1, lettere da a) ad e). Il registro può essere consultato da chiunque.
3. Gli Stati membri prevedono che i responsabili dei trattamenti o un altro organismo designato dagli Stati membri comunichino nelle opportune forme, a chiunque ne faccia richiesta, almeno le informazioni di cui all’articolo 19, paragrafo 1, lettere da a) a e), relative ai trattamenti esenti da notificazione.
Gli Stati membri possono prevedere che questa disposizione non si applichi ai trattamenti la cui unica finalità è la compilazione di registri i quali, in forza di disposizioni legislative o regolamentari, siano predisposti per l’informazione del pubblico e siano aperti alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo.
CAPO III
RICORSI GIURISDIZIONALI, RESPONSABILITA’ E SANZIONI
Art. 22
Ricorsi
Fatti salvi ricorsi amministrativi che possono essere promossi, segnatamente dinanzi all’autorità di controllo di cui all’articolo 28, prima che sia adita l’autorità giudiziaria, gli Stati membri stabiliscono che chiunque possa disporre di un ricorso giurisdizionale in caso di violazione dei diritti garantitigli dalle disposizioni nazionali applicabili al trattamento in questione.
Art. 23
Responsabilita’
1. Gli Stati membri dispongono che chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della presente Direttiva abbia il diritto di ottenere il risarcimento del pregiudizio subito dal responsabile del trattamento.
2. Il responsabile del trattamento può essere esonerato in tutto o in parte da tale responsabilità se prova che l’evento dannoso non gli è imputabile.
Art. 24
Sanzioni
Gli Stati membri adottano le misure appropriate per garantire la piena applicazione delle disposizioni della presente Direttiva e in particolare stabiliscono le sanzioni da applicare in caso di violazione delle disposizioni di attuazione della presente Direttiva.
CAPO IV
TRASFERIMENTO DI DATI PERSONALI VERSO PAESI TERZI
Articolo 25
Principi
1. Gli Stati membri dispongono che il trasferimento verso un paese terzo di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento può aver luogo soltanto se il paese terzo di cui trattasi garantisce un livello di protezione adeguato, fatte salve le misure nazionali di attuazione delle altre disposizioni della presente Direttiva.
2. L’adeguatezza del livello di protezione garantito da un paese terzo è valutata con riguardo a tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti di dati; in particolare sono presi in considerazione la natura dei dati, le finalità del o dei trattamenti previsti, il paese d’origine e il paese di destinazione finale, le norme di diritto, generali o settoriali, vigenti nel paese terzo di cui trattasi, nonchè le regole professionali e le misure di sicurezza ivi osservate.
3. Gli Stati membri e la Commissione si comunicano a vicenda i casi in cui, a loro parere, un paese terzo non garantisce un livello di protezione adeguato ai sensi del paragrafo 2.
4. Qualora la Commissione constati, secondo la procedura dell’articolo 31, paragrafo 2, che un paese terzo non garantisce un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, gli Stati membri adottano le misure necessarie per impedire ogni trasferimento di dati della stessa natura verso il paese terzo in questione.
5. La Commissione avvia, al momento opportuno, negoziati per porre rimedio alla situazione risultante dalla constatazione di cui al paragrafo 4.
6. La Commissione può constatare, secondo la procedura di cui all’articolo 31, paragrafo 2, che un paese terzo garantisce un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, in considerazione della sua legislazione nazionale o dei suoi impegni internazionali, in particolare di quelli assunti in seguito ai negoziati di cui al paragrafo 5, ai fini della tutela della vita privata o delle libertà e dei diritti fondamentali della persona.
Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.
Art. 26
Deroghe
1. In deroga all’articolo 25 e fatte salve eventuali disposizioni contrarie della legislazione nazionale per casi specifici, gli Stati membri dispongono che un trasferimento di dati personali verso un paese terzo che non garantisce una tutela adeguata ai sensi dell’articolo 25, paragrafo 2 può avvenire a condizione che:
a) la persona interessata abbia manifestato il proprio consenso in maniera inequivocabile al trasferimento previsto,
oppure
b) il trasferimento sia necessario per l’esecuzione di un contratto tra la persona interessata ed il responsabile del trattamento o per l’esecuzione di misure precontrattuali prese a richiesta di questa,
oppure
c) il trasferimento sia necessario per la conclusione o l’esecuzione di un contratto, concluso o da concludere nell’interesse della persona interessata, tra il responsabile del trattamento e un terzo,
oppure
d) il trasferimento sia necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante, oppure per costatare, esercitare o difendere un diritto per via giudiziaria,
oppure
e) il trasferimento sia necessario per la salvaguardia dell’interesse vitale della persona interessata,
oppure
f) il trasferimento avvenga a partire da un registro pubblico il quale, in forza di disposizioni legislative o regolamentari, sia predisposto per l’informazione del pubblico e sia aperto alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo, nella misura in cui nel caso specifico siano rispettate le condizioni che la legge prevede per la consultazione.
2. Salvo il disposto del paragrafo 1, uno Stato membro può autorizzare un trasferimento o una categoria di trasferimenti di dati personali verso un paese terzo che non garantisca un livello di protezione adeguato ai sensi dell’articolo 25, paragrafo 2, qualora il responsabile del trattamento presenti garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonchè per l’esercizio dei diritti connessi; tali garanzie possono segnatamente risultare da clausole contrattuali appropriate.
3. Lo Stato membro informa la Commissione e gli altri Stati membri in merito alle autorizzazioni concesse a norma del paragrafo 2.
In caso di opposizione notificata da un altro Stato membro o dalla Commissione, debitamente motivata sotto l’aspetto della tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, la Commissione adotta le misure appropriate secondo la procedura di cui all’articolo 31, paragrafo 2.
Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.
4. Qualora la Commissione decida, secondo la procedura di cui all’articolo 31, paragrafo 2, che alcune clausole contrattuali tipo offrono le garanzie sufficienti di cui al paragrafo 2, gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.
CAPO V
CODICI DI CONDOTTA
Art. 27
1. Gli Stati membri e la Commissione incoraggiano l’elaborazione di codici di condotta destinati a contribuire, in funzione delle specificità settoriali, alla corretta applicazione delle disposizioni nazionali di attuazione della presente Direttiva, adottate dagli Stati membri.
2. Gli Stati membri dispongono che le associazioni professionali e gli altri organismi rappresentanti altre categorie di responsabili del trattamento, che hanno elaborato i progetti di codice nazionali o intendono modificare o prorogare i codici nazionali esistenti, possano sottoporli all’esame dell’autorità nazionale.
Gli Stati membri prevedono che tale autorità accerti, in particolare, la conformità dei progetti che le sono sottoposti alle disposizioni nazionali di attuazione della presente Direttiva.
Qualora lo ritenga opportuno, l’autorità nazionale raccoglie le osservazioni delle persone interessate o dei loro rappresentanti.
3. I progetti di codici comunitari, nonchè le modifiche o proroghe di codici comunitari esistenti, possono essere sottoposti al gruppo di cui all’articolo 29, il quale si pronuncia, in particolare, sulla conformità dei progetti che gli sono sottoposti alle disposizioni nazionali di attuazione della presente Direttiva.
Qualora lo ritenga opportuno, esso raccoglie le osservazioni delle persone interessate o dei loro rappresentanti.
La Commissione può provvedere ad un’appropriata divulgazione dei codici che sono stati approvati dal gruppo.
CAPO VI
AUTORITA’ DI CONTROLLO E GRUPPO PER LA TUTELA DELLE PERSONE
CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI
Art. 28
Autorita’ di controllo
1. Ogni Stato membro dispone che una o piè autorità pubbliche siano incaricate di sorvegliare, nel suo territorio, l’applicazione delle disposizioni di attuazione della presente Direttiva, adottate dagli Stati membri.
Tali autorità sono pienamente indipendenti nell’esercizio delle funzioni loro attribuite.
2. Ciascuno Stato membro dispone che le autorità di controllo siano consultate al momento dell’elaborazione delle misure regolamentari o amministrative relative alla tutela dei diritti e delle libertà della persona con riguardo al trattamento dei dati personali.
3. Ogni autorità di controllo dispone in particolare:
– di poteri investigativi, come il diritto di accesso ai dati oggetto di trattamento e di raccolta di qualsiasi informazione necessaria all’esercizio della sua funzione di controllo;
– di poteri effettivi d’intervento, come quello di formulare pareri prima dell’avvio di trattamenti, conformemente all’articolo 20, e di dar loro adeguata pubblicità o quello di ordinare il congelamento, la cancellazione o la distruzione dei dati, oppure di vietare a titolo provvisorio o definitivo un trattamento, ovvero quello di rivolgere un avvertimento o un monito al responsabile del trattamento o quello di adire i Parlamenti o altre istituzioni politiche nazionali;
– del potere di promuovere azioni giudiziarie in caso di violazione delle disposizioni nazionali di attuazione della presente Direttiva ovvero di adire per dette violazioni le autorità giudiziarie.
È possibile un ricorso giurisdizionale avverso le decisioni dell’autorità di controllo recanti pregiudizio.
4. Qualsiasi persona, o associazione che la rappresenti, può presentare a un’autorità di controllo una domanda relativa alla tutela dei suoi diritti e libertà con riguardo al trattamento di dati personali.
La persona interessata viene informata del seguito dato alla sua domanda.
Qualsiasi persona può, in particolare, chiedere a un’autorità di controllo di verificare la liceità di un trattamento quando si applicano le disposizioni nazionali adottate a norma dell’articolo 13 della presente Direttiva.
La persona viene ad ogni modo informata che una verifica ha avuto luogo.
5. Ogni autorità di controllo elabora a intervalli regolari una relazione sulla sua attività.
La relazione viene pubblicata.
6. Ciascuna autorità di controllo, indipendentemente dalla legge nazionale applicabile al trattamento in questione, è competente per esercitare, nel territorio del suo Stato membro, i poteri attribuitile a norma del paragrafo 3.
Ciascuna autorità può essere invitata ad esercitare i suoi poteri su domanda dell’autorità di un altro Stato membro.
Le autorità di controllo collaborano tra loro nella misura necessaria allo svolgimento dei propri compiti, in particolare scambiandosi ogni informazione utile.
7. Gli Stati membri dispongono che i membri e gli agenti delle autorità di controllo sono soggetti, anche dopo la cessazione delle attività, all’obbligo del segreto professionale in merito alle informazioni riservate cui hanno accesso.
Art. 29
Gruppo per la tutela delle persone con riguardo al trattamento dei dati personali
1. È istituito un gruppo per la tutela della persone con riguardo al trattamento dei dati personali, in appresso denominato “il gruppo”.
Il gruppo ha carattere consultivo e indipendente.
2. Il gruppo è composto da un rappresentante della o delle autorità di controllo designate da ciascuno Stato membro e da un rappresentante della o delle autorità create per le istituzioni e gli organismi comunitari, nonchè da un rappresentante della Commissione.
Ogni membro del gruppo è designato dall’istituzione oppure dalla o dalle autorità che rappresenta.
Qualora uno Stato membro abbia designato piè autorità di controllo, queste procedono alla nomina di un rappresentante comune.
Lo stesso vale per le autorità create per le istituzioni e gli organismi comunitari.
3. Il gruppo adotta le sue decisioni alla maggioranza semplice dei rappresentanti delle autorità di controllo.
4. Il gruppo elegge il proprio presidente. La durata del mandato del presidente è di due anni. Il mandato è rinnovabile.
5. Al segretariato del gruppo provvede la Commissione.
6. Il gruppo adotta il proprio regolamento interno.
7. Il gruppo esamina le questioni iscritte all’ordine del giorno dal suo presidente, su iniziativa di questo o su richiesta di un rappresentante delle autorità di controllo oppure su richiesta della Commissione.
Art. 30
1. Il gruppo ha i seguenti compiti:
a) esaminare ogni questione attinente all’applicazione delle norme nazionali di attuazione della presente Direttiva per contribuire alla loro applicazione omogenea;
b) formulare, ad uso della Commissione, un parere sul livello di tutela nella Comunità e nei paesi terzi;
c) consigliare la Commissione in merito a ogni progetto di modifica della presente Direttiva, ogni progetto di misure addizionali o specifiche da prendere ai fini della tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di dati personali, nonchè in merito a qualsiasi altro progetto di misure comunitarie che incidano su tali diritti e libertà;
d) formulare un parere sui codici di condotta elaborati a livello comunitario.
2. Il gruppo, qualora constati che tra le legislazioni o prassi degli Stati membri si manifestano divergenze che possano pregiudicare l’equivalenza della tutela delle persone in materia di trattamento dei dati personali nella Comunità, ne informa la Commissione.
3. Il gruppo può formulare di propria iniziativa raccomandazioni su qualsiasi questione riguardante la tutela delle persone nei confronti del trattamento di dati personali nella Comunità.
4. I pareri e le raccomandazioni del gruppo vengono trasmessi alla Commissione e al comitato di cui all’articolo 31.
5. La Commissione informa il gruppo del seguito da essa dato ai pareri e alle raccomandazioni.
A tal fine redige una relazione che viene trasmessa anche al Parlamento europeo e al Consiglio.
La relazione è oggetto di pubblicazione.
6. Il gruppo redige una relazione annuale sullo stato della tutela delle persone fisiche con riguardo al trattamento dei dati personali nella Comunità e nei paesi terzi e la trasmette alla Commissione, al Parlamento europeo e al Consiglio.
La relazione è oggetto di pubblicazione.
CAPO VII
MISURE COMUNITARIE D’ESECUZIONE
Art. 31
Comitato
1. La Commissione è assistita da un comitato composto dai rappresentanti degli Stati membri e presieduto dal rappresentante della Commissione.
2. Il rappresentante della Commissione sottopone al comitato un progetto delle misure da adottare.
Il comitato, entro un termine che il presidente può fissare in funzione dell’urgenza della questione in esame, formula il suo parere sul progetto.
Il parere è formulato alla maggioranza prevista all’articolo 148, paragrafo 2 del trattato.
Nelle votazioni in seno al comitato, ai voti dei rappresentanti degli Stati membri è attribuita la ponderazione fissata nell’articolo precitato.
Il presidente non partecipa al voto.
La Commissione adotta misure che sono applicabili immediatamente.
Tuttavia, se queste misure non sono conformi al parere del comitato saranno subito comunicate dalla Commissione al Consiglio.
In tal caso:
– la Commissione rinvia l’applicazione delle misure da essa decise per un periodo di tre mesi, a decorrere dalla data della comunicazione;
– il Consiglio, deliberando a maggioranza qualificata, può prendere una decisione diversa entro il termine di cui al comma precedente.
DISPOSIZIONI FINALI
Art. 32
1. Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari ed amministrative necessarie per conformarsi alla presente Direttiva al piè tardi alla scadenza del terzo anno successivo alla sua adozione.
Quando gli Stati membri adottano tali disposizioni, queste contengono un riferimento alla presente Direttiva o sono corredate da un siffatto riferimento all’atto della pubblicazione ufficiale.
Le modalità di tale riferimento sono decise dagli Stati membri.
2. Gli Stati membri provvedono affinchè i trattamenti avviati prima della data di entrata in vigore delle disposizioni nazionali di attuazione della presente Direttiva si conformino a dette disposizioni entro i tre anni successivi alla data summenzionata.
In deroga al comma precedente, gli Stati membri possono prevedere che, per quanto riguarda gli articoli 6, 7 ed 8, la messa in conformità dei trattamenti di dati già contenuti in archivi manuali alla data dell’entrata in vigore delle disposizioni nazionali di attuazione della presente Direttiva sia effettuata man mano che si procede a successive operazioni di trattamento di tali dati, diverse dalla semplice memorizzazione.
Questa messa in conformità deve, tuttavia, essere terminata entro il dodicesimo anno a decorrere dalla data di adozione della presente Direttiva.
Gli Stati membri consentono comunque alla persona interessata di ottenere a sua richiesta e in particolare in sede di esercizio del diritto di accesso, la rettifica, la cancellazione o il congelamento dei dati incompleti, inesatti o conservati in modo incompatibile con i fini legittimi perseguiti dal responsabile del trattamento.
3. In deroga al paragrafo 2, gli Stati membri possono prevedere, con riserva di garanzie adeguate, che i dati conservati esclusivamente per ricerche storiche non siano resi conformi alle disposizioni degli articoli 6, 7 e 8 della presente Direttiva.
4. Gli Stati membri comunicano alla Commissione le disposizioni di diritto interno che adottano nel settore disciplinato dalla presente Direttiva.
Art. 33
La Commissione presenta periodicamente al Consiglio e al Parlamento europeo, per la prima volta entro tre anni dalla data di cui all’articolo 32, paragrafo 1, una relazione sull’applicazione della presente Direttiva, accompagnata, se del caso, dalle opportune proposte di modifica. La relazione è oggetto di pubblicazione.
La Commissione esaminerà in particolare l’applicazione della presente Direttiva al trattamento dei dati sotto forma di suoni o immagini relativi a persone fisiche e presenterà le eventuali proposte necessarie, tenuto conto dell’evoluzione della tecnologia dell’informazione e alla luce dei progressi della società dell’informazione.
Art. 34
Gli Stati membri sono destinatari della presente Direttiva.
Note
________________
(1) G.U. n. C 277 del 5. 11. 1990, pag. 3; G.U. n. C 311 del 27. 11. 1992, pag.30.
(2) G.U. n. C 159 del 17. 6. 1991, pag. 38.
(3) Parere del Parlamento europeo dell’11 marzo 1992 (G.U. n. C 94 del 13.4.1992, pag. 198), confermato il 2 dicembre 1993 (G.U. n. C 342 del 20.12.1993, pag. 30); posizione comune del Consiglio del 20 febbraio 1995 (G.U. n. C 93 del 13.4.1995, pag. 1) e decisione del Parlamento europeo del 15 giugno 1995 (G.U. n. C 166 del 3.7.1995).
(4) G.U. n. L 197 del 18.7.1987, pag. 33.
LEGGE 31 dicembre 1996 N. 675
Tutela delle persone e di altri soggetti rispetto al trattamento dei dati personali
?Testo coordinato con le modifiche introdotte dai D.Lvi 9/5/1997 n.123, 28/7/1997 n.255, 8/5/1998 n.135, 13/5/1998 n.171, 6/11/1998 n.389, 26/2/1999 n.51, 11/5/1999 n.135, 30/7/1999 n.281, 30/7/1999 n.282 e 28/12/2001 n.467.
Le modifiche sono in corsivo.
Capo I
PRINCIPI GENERALI
Art. 1
Finalita’ e definizioni
1. La presente legge garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali, nonchè della dignità delle persone fisiche, con particolare riferimento alla riservatezza e all’identità personale; garantisce altresì i diritti delle persone giuridiche e di ogni altro ente o associazione.
2. Ai fini della presente legge si intende:
a) per -banca di dati- qualsiasi complesso di dati personali, ripartito in una o piè unità dislocate in uno o piè siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento;
b) per -trattamento- qualunque operazione o complesso di operazioni, svolti con o senza l’ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il raffronto, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati;
c) per -dato personale- qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;
d) per -titolare- la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza;
e) per -responsabile- la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali;
f) per -interessato- la persona fisica, la persona giuridica, l’ente o l’associazione cui si riferiscono i dati personali;
g) per -comunicazione- il dare conoscenza dei dati personali a uno o piè soggetti determinati diversi dall’interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione;
h) per -diffusione- il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione;
i) per -dato anonimo- il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile;
j) per -blocco- la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento
k) per -Garante- l’autorità istituita ai sensi dell’articolo 30.
Art. 2
Ambito di applicazione
1. La presente legge si applica al trattamento di dati personali da chiunque effettuato nel territorio dello Stato.
1-bis. La presente legge si applica anche al trattamento di dati personali effettuato da chiunque è stabilito nel territorio di un Paese non appartenente all’Unione europea e impiega, per il trattamento, mezzi situati nel territorio dello Stato anche diversi da quelli elettronici o comunque automatizzati, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell’Unione europea. (*)
1-ter. Nei casi di cui al comma 1-bis il titolare stabilito nel territorio di un Paese non appartenente all’Unione europea deve designare ai fini dell’applicazione della presente legge un proprio rappresentante stabilito nel territorio dello Stato. (*)
Art. 3
Trattamento di dati per fini esclusivamente personali
1. Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali non è soggetto all’applicazione della presente legge, semprechè i dati non siano destinati ad una comunicazione sistematica o alla diffusione.
2. Al trattamento di cui al comma 1 si applicano in ogni caso le disposizioni in tema di sicurezza dei dati di cui all’articolo 15, nonchè l’articolo 18 (*).
Art. 4
Particolari trattamenti in ambito pubblico
1. La presente legge non si applica al trattamento di dati personali effettuato:
a) dal Centro elaborazione dati di cui all’articolo 8 della legge 1. aprile 1981, n. 121, come modificato dall’articolo 43, comma 1, della presente legge, ovvero sui dati destinati a confluirvi in base alla legge, nonchè in virtè dell’accordo di adesione alla Convenzione di applicazione dell’Accordo di Schengen, reso esecutivo con legge 30 settembre 1993, n. 388;
b) dagli organismi di cui agli articoli 3, 4 e 6 della legge 24 ottobre 1977, n. 801, ovvero sui dati coperti da segreto di Stato ai sensi dell’articolo 12 della medesima legge;
c) nell’ambito del servizio del casellario giudiziale di cui al titolo IV del libro decimo del codice di procedura penale e al regio decreto 18 giugno 1931, n. 778, e successive modificazioni, o, in base alla legge, nell’ambito del servizio dei carichi pendenti nella materia penale;
d) in attuazione dell’articolo 371-bis, comma 3, del codice di procedura penale o, per ragioni di giustizia, nell’ambito di uffici giudiziari, del Consiglio superiore della magistratura e del Ministero di grazia e giustizia;
e) da altri soggetti pubblici per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione dei reati, in base ad espresse disposizioni di legge che prevedano specificamente il trattamento.
2. Ai trattamenti di cui al comma 1 si applicano in ogni caso le disposizioni di cui agli articoli 9, 15, 17, 18, 31, 32, commi 6 e 7, e 36, nonchè, fatta eccezione per i trattamenti di cui alla lettera b) del comma 1, le disposizioni di cui agli articoli 7 e 34.
Art. 5
Trattamento di dati svolto senza l’ausilio di mezzi elettronici
1. Il trattamento di dati personali svolto senza l’ausilio di mezzi elettronici o comunque automatizzati è soggetto alla medesima disciplina prevista per il trattamento effettuato con l’ausilio di tali mezzi.
Art. 6
Trattamento di dati detenuti all’estero
1. Il trattamento nel territorio dello Stato di dati personali detenuti all’estero è soggetto alle disposizioni della presente legge.
2. Se il trattamento di cui al comma 1 consiste in un trasferimento di dati personali fuori dal territorio nazionale si applicano in ogni caso le disposizioni dell’articolo 28.
Capo II
OBBLIGHI PER IL TITOLARE DEL TRATTAMENTO
Art. 7
Notificazione
1. Il titolare che intenda procedere ad un trattamento di dati personali soggetto al campo di applicazione della presente legge è tenuto a darne notificazione al Garante se il trattamento, in ragione delle relative modalità o della natura dei dati personali, sia suscettibile di recare pregiudizio ai diritti e alle libertà dell’interessato, e nei soli casi e con le modalità individuati con il regolamento di cui all’articolo 33, comma 3(*).
2. La notificazione è effettuata preventivamente ed una sola volta, a mezzo di lettera raccomandata ovvero con altro mezzo idoneo a certificarne la ricezione, a prescindere dal numero delle operazioni da svolgere, nonchè dalla durata del trattamento e può riguardare uno o piè trattamenti con finalità correlate. Una nuova notificazione è richiesta solo se muta taluno degli elementi che devono essere indicati (*) e deve precedere l’effettuazione della variazione.
Le disposizioni di cui ai successivi commi 3, 4, 5, 5-bis, 5-ter, 5-quater e 5-quinquies, sono abrogate a decorrere dalla data di entrata in vigore delle
modifiche apportate al regolamento di cui all’articolo 33, comma 3, in applicazione del comma 1 del presente articolo.
3. La notificazione è sottoscritta dal notificante e dal responsabile del trattamento.
4. La notificazione contiene:
a) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare;
b) le finalità e modalità del trattamento;
c) la natura dei dati, il luogo ove sono custoditi e le categorie di interessati cui i dati si riferiscono;
d) l’ambito di comunicazione e di diffusione dei dati;
e) i trasferimenti di dati previsti verso Paesi non appartenenti all’Unione europea o, qualora, riguardino taluno dei dati di cui agli articoli 22 e 24, fuori del territorio nazionale;
f) una descrizione generale che permetta di valutare l’adeguatezza delle misure tecniche ed organizzative adottate per la sicurezza dei dati;
g) l’indicazione della banca di dati o delle banche di dati cui si riferisce il trattamento, nonchè l’eventuale connessione con altri trattamenti o banche di dati, anche fuori del territorio nazionale;
h) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del rappresentante del titolare nel territorio dello Stato e di almeno un responsabile, da indicare nel soggetto eventualmente designato ai fini di cui all’articolo 13 (**); in mancanza di tale indicazione si considera responsabile il notificante;
i) la qualità e la legittimazione del notificante.
5. I soggetti tenuti ad iscriversi o che devono essere annotati nel registro delle imprese di cui all’articolo 2188 del codice civile, nonchè coloro che devono fornire le informazioni di cui all’articolo 8, comma 8, lettera d), della legge 29 dicembre 1993, n. 580, alle camere di commercio, industria, artigianato e agricoltura, possono effettuare la notificazione per il tramite di queste ultime, secondo le modalità stabilite con il regolamento di cui all’articolo 33, comma 3. I piccoli imprenditori e gli artigiani possono effettuare la notificazione anche per il tramite delle rispettive rappresentanze di categoria; gli iscritti agli albi professionali anche per il tramite dei rispettivi ordini professionali. Resta in ogni caso ferma la disposizione di cui al comma 3.
5-bis. La notificazione in forma semplificata può non contenere taluno degli elementi di cui al comma 4, lettere b), c), e) e g), individuati dal Garante ai
sensi del regolamento di cui all’articolo33, comma 3, quando il trattamento è effettuato:
a) da soggetti pubblici, esclusi gli enti pubblici economici, sulla base di espressa disposizione di legge ai sensi degli articoli 22, comma 3 e 24, ovvero del provvedimento di cui al medesimo articolo 24;
b) ?nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità, ovvero dai soggetti indicati nel comma 4-bis dell’articolo 25, nel rispetto del codice di deontologia di cui al medesimo articolo;
c) ?temporaneamente senza l’ausilio di mezzi elettronici o comunque automatizzati, ai soli fini e con le modalità strettamente collegate all’organizzazione interna dell’attività esercitata dal titolare, relativamente a dati non registrati in una banca di dati e diversi da quelli di cui agli articoli 22 e 24.
c-bis) per scopi storici, di ricerca scientifica e di statistica in conformità alle leggi, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31.
5-ter. Fuori dei casi di cui all’articolo 4, il trattamento non è soggetto a notificazione quando:
a) è necessario per l’assolvimento di un compito previsto dalla legge, da un regolamento o dalla normativa comunitaria, relativamente a dati diversi da quelli indicati negli articoli 22 e 24;
b) ?riguarda dati contenuti o provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità di cui all’articolo 20, comma 1, lettera b);
c) è effettuato per esclusive finalità di gestione del protocollo, relativamente ai dati necessari per la classificazione della corrispondenza inviata per fini diversi da quelli di cui all’articolo 13, comma 1, lettera e), con particolare riferimento alle generalità e ai recapiti degli interessati, alla loro qualifica e all’organizzazione di appartenenza;
d) ?riguarda rubriche telefoniche o analoghe non destinate alla diffusione, utilizzate unicamente per ragioni d’ufficio e di lavoro e comunque per fini diversi da quelli di cui all’articolo 13, comma 1, lettera e);
e) ?è finalizzato unicamente all’adempimento di specifici obblighi contabili, retributivi, previdenziali, assistenziali e fiscali, ed è effettuato con riferimento alle sole categorie di dati, di interessati e di destinatari della comunicazione e diffusione strettamente collegate a tale adempimento, conservando i dati non oltre il periodo necessario all’adempimento medesimo;
f) è effettuato, salvo quanto previsto dal comma 5-bis, lettera b) da liberi professionisti iscritti in albi o elenchi professionali, per le sole finalità strettamente collegate all’adempimento di specifiche prestazioni e fermo restando il segreto professionale;
g) ?è effettuato dai piccoli imprenditori di cui all’articolo 2083 del Codice civile per le sole finalità strettamente collegate allo svolgimento dell’attività professionale esercitata, e limitatamente alle categorie di dati di interessati, di destinatari della comunicazione e diffusione e al periodo di conservazione dei dati necessari per il perseguimento delle finalità medesime;
h) è finalizzato alla tenuta di albi o elenchi professionali in conformità alle leggi a ai regolamenti;
i) ?è effettuato per esclusive finalità dell’ordinaria gestione di biblioteche, musei e mostre, in conformità alle leggi e ai regolamenti, ovvero per la organizzazione di iniziative culturali o sportive o per la formazione di cataloghi e bibliografie;
l) è effettuato da associazioni, fondazioni, comitati anche a carattere politico, filosofico, religioso o sindacale, ovvero da loro organismi rappresentativi, istituiti per scopi non di lucro e per il perseguimento di finalità lecite, relativamente a dati inerenti agli associati e ai soggetti che in relazione a tali finalità hanno contatti regolari con l’associazione, la fondazione, il comitato o l’organismo, fermi restando gli obblighi di informativa degli interessati e di acquisizione del consenso, ove necessario;
m) ?è effettuato dalle organizzazioni di volontariato di cui alla legge 11 agosto 1991, n. 266, nei limiti di cui alla lettera l) e nel rispetto delle autorizzazioni e delle prescrizioni di legge di cui agli articoli 22 e 23;
n) ?è effettuato temporaneamente ed è finalizzato esclusivamente alla pubblicazione o diffusione occasionale di articoli, saggi e altre manifestazioni del pensiero, nel rispetto del Codice di cui all’articolo 25;
o) è effettuato, anche con mezzi elettronici o comunque automatizzati, per la redazione di periodici o pubblicazioni aventi finalità di informazione giuridica, relativamente a dati desunti da provvedimenti dell’autorità giudiziaria o di altre autorità;
p) è effettuato temporaneamente per esclusive finalità di raccolta di adesioni a proposte di legge d’iniziativa popolare, a richieste di referendum, a petizioni o ad appelli;
q) ?è finalizzato unicamente all’amministrazione dei condomini di cui all’articolo 1117 e seguenti del Codice civile, limitatamente alle categorie di dati, di interessati e di destinatari della comunicazione necessarie per l’amministrazione dei beni comuni, conservando i dati non oltre il periodo necessario per la tutela dei corrispondenti diritti.
q-bis) è compreso nel programma statistico nazionale o in atti di programmazione statistica previsti dalla legge ed è effettuato in conformità alle leggi, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31.
5-quater. Il titolare si può avvalere della notificazione semplificata o dell’esonero di cui ai commi 5-bis e 5-ter, sempre che il trattamento riguardi unicamente le finalità, le categorie di dati, di interessati e di destinatari della comunicazione e diffusione individuate, unitamente al periodo di conservazione dei dati, dai medesimi commi 5-bis e 5-ter, nonchè:
a) nei casi di cui ai commi 5-bis, lettera a) e 5-ter, lettere a) e m), dalle disposizioni di legge o di regolamento o dalla normativa comunitaria ivi indicate
b) ?nel caso di cui al comma 5-bis, lettera b), dal codice di deontologia ivi indicato;
c) nei casi residui, dal Garante, con le autorizzazioni rilasciate con le modalità previste dall’articolo 41, comma 7, ovvero, per i dati diversi da quelli di cui agli articoli 22 e 24, con provvedimenti analoghi.
5-quinquies. Il titolare che si avvale dell’esonero di cui al comma 5-ter deve fornire gli elementi di cui al comma 4 a chiunque ne faccia richiesta.
Art. 8
Responsabile
1. Il responsabile, se designato, deve essere nominato tra soggetti che per esperienza, capacità ed affidabilità forniscano idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza.
2. Il responsabile procede al trattamento attenendosi alle istruzioni impartite dal titolare il quale, anche tramite verifiche periodiche, vigila sulla puntuale osservanza delle disposizioni di cui al comma 1 e delle proprie istruzioni.
3. Ove necessario per esigenze organizzative, possono essere designati responsabili piè soggetti, anche mediante suddivisione di compiti.
4. I compiti affidati al responsabile devono essere analiticamente specificati per iscritto.
5. Gli incaricati del trattamento devono elaborare i dati personali ai quali hanno accesso attenendosi alle istruzioni del titolare o del responsabile.
Capo III
TRATTAMENTO DEI DATI PERSONALI
Sezione I
Raccolta e requisiti dei dati
Art. 9
Modalita’ di raccolta e requisiti dei dati personali
1. I dati personali oggetto di trattamento devono essere:
a) trattati in modo lecito e secondo correttezza;
b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini non incompatibili con tali scopi;
c) esatti e, se necessario, aggiornati;
d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
e) conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati.
1-bis. Il trattamento di dati personali per scopi storici, di ricerca scientifica o di statistica è compatibile con gli scopi per i quali i dati sono raccolti o successivamente trattati e può essere effettuato anche oltre il periodo necessario a questi ultimi scopi.
Art. 10
Informazioni rese al momento della raccolta
1. L’interessato o la persona presso la quale sono raccolti i dati personali devono essere previamente informati oralmente o per iscritto circa:
a) le finalità e le modalità del trattamento cui sono destinati i dati;
b) la natura obbligatoria o facoltativa del conferimento dei dati;
c) le conseguenze di un eventuale rifiuto di rispondere;
d) i soggetti o le categorie di soggetti ai quali i dati possono essere comunicati e l’ambito di diffusione dei dati medesimi;
e) i diritti di cui all’articolo 13;
f) il nome, la denominazione o la ragione sociale e il domicilio, la residenza o la sede del titolare, del suo rappresentante nel territorio dello Stato e di almeno un responsabile, da indicare nel soggetto eventualmente designato ai fini di cui all’articolo 13, indicando il sito della rete di comunicazione o le modalità attraverso le quali è altrimenti conoscibile in modo agevole l’elenco aggiornato dei responsabili (**).
2. L’informativa di cui al comma 1 può non comprendere gli elementi già noti alla persona che fornisce i dati o la cui conoscenza può ostacolare l’espletamento di funzioni pubbliche ispettive o di controllo, svolte per il perseguimento delle finalità di cui agli articoli 4, comma 1, lettera e), e 14, comma 1, lettera d).
3. Quando i dati personali non sono raccolti presso l’interessato, l’informativa di cui al comma 1 è data al medesimo interessato all’atto della registrazione dei dati o, qualora sia prevista la loro comunicazione, non oltre la prima comunicazione.
4. La disposizione di cui al comma 3 non si applica quando l’informativa all’interessato comporta un impiego di mezzi che il Garante dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si rivela, a giudizio del Garante, impossibile, ovvero nel caso in cui i dati sono trattati in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria. La medesima disposizione non si applica, altresì, quando i dati sono trattati ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397 (*), o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento.
Sezione II
Diritti dell’interessato nel trattamento dei dati
Art. 11
Consenso
1. Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell’interessato.
2. Il consenso può riguardare l’intero trattamento ovvero una o piè operazioni dello stesso.
3. Il consenso è validamente prestato solo se è espresso liberamente, e in forma specifica e documentata per iscritto, e se sono state rese all’interessato le informazioni di cui all’articolo 10.
Art. 12
Casi di esclusione del consenso
1. Il consenso non è richiesto quando il trattamento:
a) riguarda dati raccolti e detenuti in base ad un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
b) è necessario per l’esecuzione di obblighi derivanti da un contratto del quale è parte l’interessato o per l’esecuzione di misure precontrattuali adottate (*) su richiesta di quest’ultimo, ovvero per l’adempimento di un obbligo legale;
c) riguarda dati provenienti da pubblici registri, elenchi, atti o documenti conoscibili da chiunque;
d) è finalizzato unicamente a scopi di ricerca scientifica o di statistica ed è effettuato nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31;
e) è effettuato nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità. In tale caso, si applica il codice di deontologia di cui all’articolo 25;
f) riguarda dati relativi allo svolgimento di attività economiche raccolti anche ai fini indicati nell’articolo 13, comma 1, lettera e), nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
g) è necessario per la salvaguardia della vita o dell’incolumità fisica dell’interessato o di un terzo, nel caso in cui l’interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere;
h) è necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397 (*), o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento.
h-bis) è necessario, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell’interessato (***).
Art. 13
Diritti dell’interessato
1. In relazione al trattamento di dati personali l’interessato ha diritto:
a) di conoscere, mediante accesso gratuito al registro di cui all’articolo 31, comma 1, lettera a), l’esistenza di trattamenti di dati che possono riguardarlo;
Le disposizioni di cui alla successiva lettera b), sono abrogate a decorrere dalla data di entrata in vigore delle modifiche apportate al regolamento di cui all’articolo 33, comma 3, in applicazione del comma 1 dell’articolo 7.
b) di essere informato su quanto indicato all’articolo 7, comma 4, lettere a), b) e h);
c) di ottenere, a cura del titolare o del responsabile, senza ritardo:
1) la conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intellegibile dei medesimi dati e della loro origine, nonchè della logica e delle finalità su cui si basa il trattamento;la richiesta può essere rinnovata, salva l’esistenza di giustificati motivi, con intervallo non minore di novanta giorni;
2) a cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;
3) l’aggiornamento, la rettificazione ovvero, qualora vi abbia interesse, l’integrazione dei dati
4) ?l’attestazione che le operazioni di cui ai numeri 2) e 3) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si riveli impossibile o comporti un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato;
d) di opporsi, in tutto o in parte, per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorchè pertinenti allo scopo della raccolta;
e) di opporsi, in tutto o in parte, al trattamento di dati personali che lo riguardano, previsto a fini di informazioni commerciali o di invio di materiale pubblicitario o di vendita diretta ovvero per il compimento di ricerche di mercato o di comunicazione commerciale interattiva e di essere informato dal titolare, non oltre il momento in cui i dati sono comunicati o diffusi, della possibilità di esercitare gratuitamente tale diritto.
2. Per ciascuna richiesta di cui al comma 1, lettera c), numero 1), può essere chiesto all’interessato, ove non risulti confermata l’esistenza di dati che lo riguardano, un contributo spese, non superiore ai costi effettivamente sopportati, secondo le modalità ed entro i limiti stabiliti dal regolamento di cui all’articolo 33, comma 3.
3. I diritti di cui al comma 1 riferiti ai dati personali concernenti persone decedute possono essere esercitati da chiunque vi abbia interesse.
4. Nell’esercizio dei diritti di cui al comma 1 l’interessato può conferire, per iscritto, delega o procura a persone fisiche o ad associazioni.
5. Restano ferme le norme sul segreto professionale degli esercenti la professione di giornalista, limitatamente alla fonte della notizia.
Art. 14
Limiti all’esercizio dei diritti
1. I diritti di cui all’articolo 13, comma 1, lettere c) e d), non possono essere esercitati nei confronti dei trattamenti di dati personali raccolti:
a) in base alle disposizioni del decreto-legge 3 maggio 1991, n. 143, convertito, con modificazioni, dalla legge 5 luglio 1991, n. 197, e successive modificazioni;
b) in base alle disposizioni del decreto-legge 31 dicembre 1991, n. 419, convertito, con modificazioni, dalla legge 18 febbraio 1992, n. 172, e successive modificazioni;
c) da Commissioni parlamentari di inchiesta istituite ai sensi dell’articolo 82 della Costituzione;
d) da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di legge, per esclusive finalità inerenti la politica monetaria e valutaria, il sistema dei pagamenti, il controllo degli intermediari e dei mercati creditizi e finanziari nonchè la tutela della loro stabilità;
e) ai sensi dell’articolo 12, comma 1, lettera h), limitatamente al periodo durante il quale potrebbe derivarne pregiudizio per lo svolgimento delle investigazioni o per l’esercizio del diritto di cui alla medesima lettera h).
e-bis) da fornitori di servizi di telecomunicazioni accessibili al pubblico, limitatamente ai dati personali identificativi di chiamate telefoniche entranti, salvo che possa derivarne pregiudizio per lo svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397. (*)
2. Nei casi di cui al comma 1 il Garante, anche su segnalazione dell’interessato ai sensi dell’articolo 31, comma 1, lettera d), esegue i necessari accertamenti nei modi di cui all’articolo 32, commi 6 e 7, e indica le necessarie modificazioni ed integrazioni, verificandone l’attuazione.
Sezione III
Sicurezza nel trattamento dei dati, limiti alla utilizzabilita’ dei dati e risarcimento del danno
Art. 15
Sicurezza dei dati
1.I dati personali oggetto di trattamento devono essere custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l’adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
2. Le misure minime di sicurezza da adottare in via preventiva sono individuate con regolamento emanato con decreto del Presidente della Repubblica, ai sensi dell’articolo 17, comma 1, lettera a), della legge 23 agosto 1988, n. 400, entro centottanta giorni dalla data di entrata in vigore della presente legge, su proposta del Ministro di grazia e giustizia, sentiti l’Autorità per l’informatica nella pubblica amministrazione e il Garante.
3. Le misure di sicurezza di cui al comma 2 sono adeguate, entro due anni dalla data di entrata in vigore della presente legge e successivamente con cadenza almeno biennale, con successivi regolamenti emanati con le modalità di cui al medesimo comma 2, in relazione all’evoluzione tecnica del settore e all’esperienza maturata.
4. Le misure di sicurezza relative ai dati trattati dagli organismi di cui all’articolo 4, comma 1, lettera b), sono stabilite con decreto del Presidente del Consiglio dei ministri con l’osservanza delle norme che regolano la materia.
Art. 16
Cessazione del trattamento dei dati
1. In caso di cessazione, per qualsiasi causa, del trattamento dei dati, il titolare deve notificare preventivamente al Garante la loro destinazione.
2. I dati possono essere:
a) distrutti;
b) ceduti ad altro titolare, purchè destinati ad un trattamento per finalità analoghe agli scopi per i quali i dati sono raccolti;
c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione.
c-bis) conservati o ceduti ad altro titolare, per scopi storici, di ricerca scientifica e di statistica, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31.
3. La cessione dei dati in violazione di quanto previsto dalla lettera b) del comma 2 o di altre disposizioni di legge in materia di trattamento dei dati personali è nulla ed è punita ai sensi dell’articolo 39, comma 1.
Art. 17
Limiti all’utilizzabilita’ di dati personali
1. Nessun atto o provvedimento giudiziario o amministrativo che implichi una valutazione del comportamento umano può essere fondato unicamente su un trattamento automatizzato di dati personali volto a definire il profilo o la personalità dell’interessato.
2. L’interessato può opporsi ad ogni altro tipo di decisione adottata sulla base del trattamento di cui al comma 1 del presente articolo, ai sensi dell’articolo 13, comma 1, lettera d), salvo che la decisione sia stata adottata in occasione della conclusione o dell’esecuzione di un contratto, in accoglimento di una proposta dell’interessato o sulla base di adeguate garanzie individuate dalla legge.
Art. 18
Danni cagionati per effetto del trattamento di dati personali
1. Chiunque cagiona danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’articolo 2050 del codice civile.
Sezione IV
Comunicazione e diffusione dei dati
Art. 19
Incaricati del trattamento
1. Non si considera comunicazione la conoscenza dei dati personali da parte delle persone incaricate per iscritto di compiere le operazioni del trattamento dal titolare o dal responsabile, e che operano sotto la loro diretta autorità.
Art. 20
Requisiti per la comunicazione e la diffusione dei dati
1. La comunicazione e la diffusione dei dati personali da parte di privati e di enti pubblici economici sono ammesse:
a) con il consenso espresso dell’interessato;
a-bis) qualora siano necessarie per l’esecuzione di obblighi derivanti da un contratto del quale è parte l’interessato o per l’esecuzione di misure precontrattuali adottate su richiesta di quest’ultimo; (*)
b) se i dati provengono da pubblici registri, elenchi, atti o documenti conoscibili da chiunque, fermi restando i limiti e le modalità che le leggi e i regolamenti stabiliscono per la loro conoscibilità e pubblicità;
c) in adempimento di un obbligo previsto dalla legge, da un regolamento o dalla normativa comunitaria;
d) nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità. Restano fermi i limiti del diritto di cronaca posti a tutela della riservatezza ed in particolare dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico. Si applica inoltre il codice di deontologia di cui all’articolo 25;
e) se i dati sono relativi allo svolgimento di attività economiche, nel rispetto della vigente normativa in materia di segreto aziendale e industriale;
f) qualora siano necessarie per la salvaguardia della vita o dell’incolumità fisica dell’interessato o di un terzo, nel caso in cui l’interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità di intendere o di volere;
g) limitatamente alla comunicazione, qualora questa sia necessaria ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397 (*), o, comunque, per far valere o difendere un diritto in sede giudiziaria, nel rispetto della normativa di cui alla lettera e) del presente comma, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento;
h) limitatamente alla comunicazione, quando questa sia effettuata nell’ambito dei gruppi bancari di cui all’articolo 60 del testo unico delle leggi in materia bancaria e creditizia approvato con D. Lgs. 1. settembre 1993, n. 385, nonchè tra società controllate e società collegate ai sensi dell’articolo 2359 del codice civile, i cui trattamenti con finalità correlate sono stati notificati ai sensi dell’articolo 7, comma 2, per il perseguimento delle medesime finalità per le quali i dati sono stati raccolti;
h-bis) limitatamente alla comunicazione, quando questa sia necessaria, nei casi individuati dal Garante sulla base dei principi sanciti dalla legge, per perseguire un legittimo interesse del titolare o di un terzo destinatario dei dati, qualora non prevalgano i diritti e le libertà fondamentali, la dignità o un legittimo interesse dell’interessato. (*)
2. Alla comunicazione e alla diffusione dei dati personali da parte di soggetti pubblici, esclusi gli enti pubblici economici, si applicano le disposizioni dell’articolo 27.
Art. 21
Divieto di comunicazione e diffusione
1. Sono vietate la comunicazione e la diffusione di dati personali per finalità diverse da quelle indicate nella notificazione di cui all’articolo 7.
2. Sono altresì vietate la comunicazione e la diffusione di dati personali dei quali sia stata ordinata la cancellazione, ovvero quando sia decorso il periodo di tempo indicato nell’articolo 9, comma 1, lettera e).
3. Il Garante può vietare la diffusione di taluno dei dati relativi a singoli soggetti, od a categorie di soggetti, quando la diffusione si pone in contrasto con rilevanti interessi della collettività. Contro il divieto può essere proposta opposizione ai sensi dell’articolo 29, commi 6 e 7.
4. La comunicazione e la diffusione dei dati sono comunque permesse:
a) qualora siano necessarie per finalità di ricerca scientifica o di statistica e siano effettuate nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell’articolo 31;
b) quando siano richieste dai soggetti di cui all’articolo 4, comma 1, lettere b), d) ed e), per finalità di difesa o di sicurezza dello Stato o di prevenzione, accertamento o repressione di reati, con l’osservanza delle norme che regolano la materia.
Capo IV
TRATTAMENTO DI DATI PARTICOLARI
Art. 22
Dati sensibili
1. I dati personali idonei a rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonchè i dati personali idonei a rivelare lo stato di salute e la vita sessuale, possono essere oggetto di trattamento solo con il consenso scritto dell’interessato e previa autorizzazione del Garante.
1-bis. Il comma 1 non si applica ai dati relativi agli aderenti alle confessioni religiose i cui i rapporti con lo Stato siano regolati da accordi o intese ai sensi degli articoli 7 e 8 della Costituzione, nonchè relativi ai soggetti che con riferimento a finalità di natura esclusivamente religiosa hanno contatti regolari con le medesine confessioni, che siano trattati dai relativi organi o enti civilmente riconosciuti, semprechè i dati non siano comunicati o diffusi fuori delle medesime confessioni. Queste ultime determinano idonee garanzie relativamente ai trattamenti effettuati.
1-ter. Il comma 1 non si applica, altresì, ai dati riguardanti l’adesione di associazioni od organizzazioni a carattere sindacale o di categoria ad altre associazioni, organizzazioni o confederazioni a carattere sindacale o di categoria. (*)
2. Il Garante comunica la decisione adottata sulla richiesta di autorizzazione entro trenta giorni, decorsi i quali la mancata pronuncia equivale a rigetto. Con il provvedimento di autorizzazione, ovvero successivamente, anche sulla base di eventuali verifiche, il Garante può prescrivere misure e accorgimenti a garanzia dell’interessato, che il titolare del trattamento è tenuto ad adottare.
3. Il trattamento dei dati indicati al comma 1 da parte di soggetti pubblici, esclusi gli enti pubblici economici, è consentito solo se autorizzato da espressa disposizione di legge, nella quale siano specificati i tipi di dati che possono essere trattati, le operazioni eseguibili e le rilevanti finalità di interesse pubblico perseguite. In mancanza di espressa disposizione di legge, e fuori dai casi previsti dai decreti legislativi di modificazione ed integrazione della presente legge, emanati in attuazione della legge 31 dicembre 1996, n. 676, i soggetti pubblici possono richiedere al Garante, nelle more della specificazione legislativa, l’individuazione delle attività, tra quelle demandate ai medesimi soggetti dalla legge, che perseguono rilevanti finalità di interesse pubblico e per le quali è conseguentemente autorizzato, ai sensi del comma 2, il trattamento dei dati indicati al comma 1.
3-bis. Nei casi in cui è specificata, a norma del comma 3, la finalità di rilevante interesse pubblico, ma non sono specificati i tipi di dati e le operazioni eseguibili, i soggetti pubblici, in applicazione di quanto previsto dalla presente legge e dai decreti legislativi di attuazione della legge 31 dicembre 1996, n. 676, in materia di dati sensibili, identificano e rendono pubblici, secondo i rispettivi ordinamenti, i tipi di dati e di operazioni strettamente pertinenti e necessari in relazione alle finalità perseguite nei singoli casi, aggiornando tale identificazione periodicamente.
4. I dati personali indicati al comma 1 possono essere oggetto di trattamento previa autorizzazione del Garante:(*)
a) qualora il trattamento sia effettuato da associazioni, enti od organismi senza scopo di lucro, anche non riconosciuti, a carattere politico, filosofico, religioso o sindacale, ivi compresi partiti e movimenti politici, confessioni e comunità religiose, per il perseguimento di finalità lecite, relativamente ai dati personali degli aderenti o dei soggetti che in relazione a tali finalità hanno contatti regolari con l’associazione, ente od organismo, sempre che i dati non siano comunicati o diffusi fuori del relativo ambito e l’ente, l’associazione o l’organismo determinino idonee garanzie relativamente ai trattamenti effettuati; (****)
b) qualora il trattamento sia necessario per la salvaguardia della vita o dell’incolumità fisica dell’interessato o di un terzo, nel caso in cui l’interessato non può prestare il proprio consenso per impossibilità fisica, per incapacità di agire o per incapacità d’intendere o di volere; (*)
c) qualora il trattamento sia necessario ai fini dello svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397 o, comunque, per far valere o difendere in sede giudiziaria un diritto, di rango pari a quello dell’interessato quando i dati siano idonei a rivelare lo stato di salute e la vita sessuale, sempre che i dati siano trattati esclusivamente per tali finalità e per il periodo strettamente necessario al loro perseguimento. Il Garante prescrive le misure e gli accorgimenti di cui al comma 2 e promuove la sottoscrizione di un apposito codice di deontologia e di buona condotta secondo le modalità di cui all’articolo 31, comma 1, lettera h). Resta fermo quanto previsto dall’articolo 43, comma 2. (*)
Art. 23
Dati inerenti alla salute
1. Gli esercenti le professioni sanitarie e gli organismi sanitari pubblici possono, anche senza l’autorizzazione del Garante, trattare i dati personali idonei a rivelare lo stato di salute, limitatamente ai dati e alle operazioni indispensabili per il perseguimento di finalità di tutela dell’incolumità fisica e della salute dell’interessato. Se le medesime finalità riguardano un terzo o la collettività, in mancanza del consenso dell’interessato, il trattamento può avvenire previa autorizzazione del Garante.
1-bis. Con decreto del ministro della Sanità adottato ai sensi dell’articolo 17, comma 3, della legge 23 agosto 1988, n. 400, sentiti la Conferenza permanente per i rapporti tra lo Stato, le regioni, e le province autonome di Trento e Bolzano e il Garante, sono individuate modalità semplificate per le informative di cui all’articolo 10 e per la prestazione del consenso nei confronti di organismi sanitari pubblici, di organismi sanitari e di esercenti le professioni sanitarie convenzionati o accreditati dal Servizio sanitario nazionale, nonchè per il trattamento dei dati da parte dei medesimi soggetti, sulla base dei seguenti criteri:
a) previsione di informative effettuate da un unico soggetto, in particolare da parte del medico di medicina generale scelto dall’interessato, per conto di piè titolari di trattamento;
b) validità nei confronti di piè titolari di trattamento, del consenso prestato ai sensi dell’articolo 11, comma 3, per conto di piè titolari di trattamento, anche con riguardo alla richiesta di prestazioni specialistiche, alla prescrizione di farmaci, alla raccolta di dati da parte del medico di medicina generale, detenuti da altri titolari, e alla pluralità di prestazioni mediche effettuate da un medesimo titolare di trattamento;
c) ?identificazione dei casi di urgenza nei quali anche per effetto delle situazioni indicate nel comma 1-ter, l’informativa e il consenso possono intervenire successivamente alla richiesta della prestazione;
d) previsione di modalità di applicazione del comma 2 del presente articolo ai professionisti sanitari, diversi dai medici, che intrattengono rapporti diretti con i pazienti;
e) ?previsione di misure volte ad assicurare che nell’organizzazione dei servizi e delle prestazioni sia garantito il rispetto dei diritti di cui all’articolo 1.
1-ter. Il decreto di cui al comma 1 disciplina anche quanto previsto dall’articolo 22, comma 3-bis, della legge.
1-quater. In caso di incapacità di agire, ovvero di impossibilità fisica o di incapacità di intendere o di volere, il consenso al trattamento dei dati idonei a rivelare lo stato di salute è validamente manifestato nei confronti di esercenti le professioni sanitarie e di organismi sanitari, rispettivamente, da chi esercita legalmente la podestà ovvero da un familiare, da un prossimo congiunto, da un convivente, o, in loro assenza, dal responsabile della struttura presso cui dimori.
2. I dati personali idonei a rivelare lo stato di salute possono essere resi noti all’interessato o ai soggetti di cui al comma 1-ter solo per il tramite di un medico designato dall’interessato o dal titolare.
3. L’autorizzazione di cui al comma 1 è rilasciata, salvi i casi di particolare urgenza, sentito il Consiglio superiore di sanità. è vietata la comunicazione dei dati ottenuti oltre i limiti fissati con l’autorizzazione.
4. La diffusione dei dati idonei a rivelare lo stato di salute è vietata, salvo nel caso in cui sia necessaria per finalità di prevenzione, accertamento o repressione dei reati, con l’osservanza delle norme che regolano la materia.
Art. 24
Dati relativi ai provvedimenti di cui all’articolo 686 del codice di procedura penale
1. Il trattamento di dati personali idonei a rivelare provvedimenti di cui all’articolo 686, commi 1, lettere a) e d), 2 e 3, del codice di procedura penale, è ammesso soltanto se autorizzato da espressa disposizione di legge o provvedimento del Garante che specifichino le rilevanti finalità di interesse pubblico del trattamento, i tipi di dati trattati e le precise operazioni autorizzate.
Art. 24-bis(***)
Altri dati particolari
1. Il trattamento dei dati diversi da quelli di cui agli articoli 22 e 24 che presenta rischi specifici per i diritti e le libertà fondamentali, nonchè per la dignità dell’interessato, in relazione alla natura dei dati o alle modalità del trattamento o agli effetti che può determinare, è ammesso nel rispetto di misure ed accorgimenti a garanzia dell’interessato, ove prescritti.
2. Le misure e gli accorgimenti di cui al comma 1 sono prescritti dal Garante sulla base dei principi sanciti dalla legge nell’ambito di una verifica preliminare all’inizio del trattamento, effettuata anche in relazione a determinate categorie di titolari o di trattamenti, sulla base di un eventuale interpello del titolare.
Art. 25
Trattamento di dati particolari nell’esercizio della professione di giornalista
1. Le disposizioni relative al consenso dell’interessato e all’autorizzazione del Garante,nonchè il limite previsto dall’articolo 24, non si applicano quando il trattamento dei dati di cui agli articoli 22 e 24 è effettuato nell’esercizio della professione di giornalista e per l’esclusivo perseguimento delle relative finalità. Il giornalista rispetta i limiti del diritto di cronaca, in particolare quello dell’essenzialità dell’informazione riguardo a fatti di interesse pubblico,ferma restando la possibiltà di trattare i dati relativi a circostanze o fatti resi noti direttamente dall’interessato o attraverso i suoi comportamenti in pubblico.
2. Il Garante promuove, nei modi di cui all’articolo 31, comma 1, lettera h), l’adozione, da parte del Consiglio nazionale dell’ordine dei giornalisti, di un apposito codice di deontologia relativo al trattamento dei dati di cui al comma 1 del presente articolo, effettuato nell’esercizio della professione di giornalista, che preveda misure ed accorgimenti a garanzia degli interessati rapportate alla natura dei dati, in particolare per quanto riguarda quelli idonei a rivelare lo stato di salute e la vita sessuale. Nella fase di formazione del codice, ovvero successivamente, il Garante, in cooperazione con il Consiglio, prescrive eventuali misure e accorgimenti a garanzia degli interessati, che il Consiglio è tenuto a recepire.? Il codice è pubblicato sulla Gazzetta Ufficiale a cura del Garante, e diviene efficace quindici giorni dopo la sua pubblicazione.
3. Ove entro sei mesi dalla proposta del Garante il codice di deontologia di cui al comma 2 non sia stato adottato dal Consiglio nazionale dell’ordine dei giornalisti, esso è adottato in via sostitutiva dal Garante ed è efficace sino alla adozione di un diverso codice secondo la procedura di cui al comma 2. In caso di violazione delle prescrizioni contenute nel codice di deontologia, il Garante può vietare il trattamento ai sensi dell’articolo 31, comma 1, lettera l).
4. Nel codice di cui ai commi 2 e 3 sono inserite, altresì, prescrizioni concernenti i dati personali diversi da quelli indicati negli articoli 22 e 24.
Il codice può prevedere forme semplificate per le informative di cui all’articolo 10.
4-bis. Le disposizioni della presente legge che attengono all’esercizio della professione di giornalista si applicano anche ai trattamenti effettuati dai soggetti iscritti nell’elenco dei pubblicisti o nel registro dei praticanti di cui agli articoli 26 e 33 della legge 3 febbraio 1963, n. 69, nonchè ai trattamenti temporanei finalizzati esclusivamente alla pubblicazione o diffusione occasionale di articoli