diritto.io

Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio del 18 dicembre 2000 concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati

Testo in vigore al

IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA, considerando quanto segue:

vista la proposta della Commissione1,

visto il parere del Comitato economico e sociale2, deliberando secondo la procedura di cui all'articolo 251 del trattato(3),

L'articolo 286 del trattato stabilisce che gli atti comunitari sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati si applicano alle istituzioni e agli organismi comunitari.

Un sistema di protezione dei dati personali richiede, per esser completo, non solo che si istituiscano diritti per le persone cui tali dati si riferiscono e obblighi per chi li elabora, ma anche adeguate sanzioni per i trasgressori e un'autorità di controllo indipendente.

L'articolo 286, paragrafo 2 del trattato prescrive l'istituzione di un organo di controllo indipendente incaricato di sorvegliare l'applicazione di detti atti alle istituzioni e agli organismi comunitari.

L'articolo 286, paragrafo 2 del trattato prescrive l'adozione, se del caso, di tutte le altre pertinenti disposizioni.

È necessario un regolamento per accordare alle persone fisiche diritti giuridicamente tutelati e per chiarire gli obblighi dei responsabili del trattamento dei dati in seno alle istituzioni e agli organismi comunitari, nonché per istituire un'autorità di controllo indipendente incaricata di sorvegliare il trattamento dei dati personali effettuato dalle istituzioni e dagli organismi comunitari.

Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall'articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati4, è stato consultato.

Le persone che possono essere oggetto di tutela sono quelle i cui dati personali sono trattati da istituzioni o organismi comunitari, in qualsiasi circostanza, ad esempio in quanto impiegate presso tali istituzioni o organismi.

È necessario applicare i principi della protezione dei dati a tutte le informazioni relative ad una persona identificata o identificabile. Per stabilire se una persona è identificabile, occorre tener conto di tutti gli strumenti ragionevolmente impiegati dal responsabile del trattamento dei dati o da chiunque altro al fine d'identificare detta persona. Non occorre applicare detti principi di protezione ai dati resi anonimi in modo sufficiente ad impedire l'identificazione dell'interessato.

La direttiva 95/46/CE fa obbligo agli Stati membri di garantire la tutela delle libertà e dei diritti fondamentali delle persone fisiche e particolarmente del diritto alla vita privata con riguardo al trattamento dei dati personali, al fine di assicurare la libera circolazione dei dati personali nella Comunità.

La direttiva 97/66/CE del Parlamento europeo e del Consiglio, del 15 dicembre 1997, sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni5 precisa e integra la direttiva 95/46/CE quanto al trattamento dei dati personali nel settore delle telecomunicazioni.

Diverse altre misure comunitarie, in particolare quelle in tema di assistenza reciproca tra le amministrazioni nazionali e la Commissione, mirano ugualmente a precisare e integrare la direttiva 95/46/CE nel settore cui esse si riferiscono.

Occorre garantire su tutto il territorio comunitario un'applicazione coerente ed omogenea delle norme relative alla tutela delle libertà e dei diritti fondamentali delle persone fisiche con riguardo al trattamento dei dati personali.

Il risultato perseguito è quello di garantire tanto l'effettivo rispetto delle norme relative alla tutela delle libertà e dei diritti fondamentali delle persone fisiche quanto la libera circolazione dei dati personali tra gli Stati membri e le istituzioni o gli organismi comunitari, nonché fra le istituzioni e gli organismi comunitari stessi ai fini dell'esercizio delle rispettive competenze.

Per meglio conseguire tale risultato occorre adottare norme vincolanti nei confronti delle istituzioni e degli organismi comunitari. È necessario applicare tali norme ad ogni trattamento di dati personali effettuato da tutte le istituzioni e gli organismi comunitari purché esso avvenga nell'esercizio di attività che rientrano in tutto o in parte nel campo di applicazione del diritto comunitario.

Qualora tale trattamento venga effettuato dalle istituzioni e organi comunitari per esercitare attività che esulano dall'ambito di applicazione del presente regolamento, e in particolare quelle di cui ai titoli V e VI del trattato sull'Unione europea, la tutela dei diritti e delle libertà fondamentali delle persone è garantita ai sensi dell'articolo 6 del trattato sull'Unione europea. L'accesso ai documenti, anche contenenti dati personali, è soggetto alle disposizioni adottate in base all'articolo 255 TCE, che si applica anche ai titoli V e VI del TUE.

Dette misure non si applicano ad organismi istituiti al di fuori dell'ambito comunitario e il garante europeo della protezione dei dati non è competente per la sorveglianza del trattamento dei dati personali effettuato da tali organismi.

L'efficacia della tutela delle persone in relazione al trattamento dei dati personali nell'Unione presuppone la coerenza delle norme e delle procedure applicabili in materia ad attività inserite in quadri giuridici diversi. L'elaborazione di principi fondamentali relativi alla protezione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione doganale e di polizia, nonché la creazione di un segretariato per le autorità di controllo comuni, istituite dalla convenzione Europol, la convenzione sull'uso dell'informatica nel settore doganale e la Convenzione Schengen, rappresentano una prima tappa a tale riguardo.

È necessario che il presente regolamento prescinda dai diritti e gli obblighi degli Stati membri a titolo delle direttive 95/46/CE e 97/66/CE. Esso non si prefigge di modificare prassi e procedure legalmente applicate dagli Stati membri in materia di sicurezza nazionale, di tutela dell'ordine pubblico nonché di prevenzione, indagine, accertamento e perseguimento di reati, nel rispetto del Protocollo sui privilegi e sulle immunità delle Comunità europee e del diritto internazionale.

Le istituzioni e gli organismi comunitari si rivolgono alle autorità competenti degli Stati membri se ravvisano l'opportunità di effettuare intercettazioni di comunicazioni sulle loro reti di telecomunicazioni conformemente alle disposizioni nazionali applicabili.

È opportuno che le misure applicabili alle istituzioni e agli organismi comunitari corrispondano alle disposizioni previste per il ravvicinamento delle legislazioni nazionali o l'attuazione di altre politiche comunitarie, segnatamente in materia di assistenza reciproca. Tuttavia può rendersi necessario precisare e integrare tali disposizioni per garantire la protezione dei dati personali sottoposti a trattamento da istituzioni ed organismi comunitari.

Ciò vale ugualmente per i diritti delle persone fisiche i cui dati personali sono sottoposti a trattamento, per gli obblighi delle istituzioni e degli organismi comunitari responsabili del trattamento, nonché per i poteri da conferire all'autorità di controllo indipendente incaricato di verificare la corretta applicazione del presente regolamento.

È necessario che i diritti dell'interessato e il loro esercizio non pregiudichino gli obblighi imposti al responsabile del trattamento.

L'autorità di controllo indipendente esercita il suo incarico in conformità del trattato e nel rispetto dei diritti dell'uomo e delle libertà fondamentali. Esso conduce le sue indagini nel rispetto del protocollo sui privilegi e sulle immunità e nel rispetto dello statuto dei funzionari e del regime applicabile agli altri agenti delle Comunità europee.

Occorrerà adottare le misure tecniche necessarie per consentire l'accesso ai registri dei trattamenti tenuti dai responsabili della protezione dei dati tramite l'autorità di controllo indipendente.

È opportuno che le decisioni dell'autorità di controllo indipendente riguardanti le deroghe, le garanzie, le autorizzazioni e le condizioni relative ai trattamenti di dati, quali definiti dal presente regolamento, siano pubblicate nel rapporto sulle attività svolte. A prescindere dalla pubblicazione annuale del rapporto sulle attività svolte, l'autorità di controllo indipendente può pubblicare relazioni su temi specifici.

Taluni trattamenti che possono presentare rischi particolari per quanto riguarda i diritti e le libertà degli interessati sono soggetti a controllo preventivo dell'autorità di controllo indipendente. È necessario che il parere, anche tacito, emesso nell'ambito di detto controllo preventivo, non pregiudichi l'esercizio ulteriore da parte dell'organo di controllo indipendente delle sue competenze rispetto al trattamento in questione.

Il trattamento di dati personali per l'esercizio delle funzioni svolte dalle istituzioni e dagli organismi comunitari nel pubblico interesse comprende il trattamento dei dati personali necessari alla gestione e al funzionamento di tali istituzioni e organismi.

In certi casi, è necessario prevedere che il trattamento dei dati sia autorizzato da disposizioni comunitarie o atti di recepimento di disposizioni comunitarie. Tuttavia, a titolo transitorio, allorché tali disposizioni non esistono e in attesa della loro adozione, il garante europeo della protezione dei dati può autorizzare il trattamento di tali dati mediante l'adozione di garanzie adeguate. Al riguardo, egli tiene conto in particolare delle disposizioni adottate dagli Stati membri per casi simili.

Tali casi riguardano il trattamento di dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, come pure il trattamento di dati relativi alla salute o alla vita sessuale che siano necessari per rispettare gli obblighi e i diritti specifici del responsabile del trattamento in materia di diritto del lavoro o per un motivo importante d'interesse pubblico. Si tratta anche del trattamento dei dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza, oppure ancora dell'autorizzazione ad applicare all'interessato una decisione che produca effetti giuridici nei suoi confronti o che la danneggi in modo significativo, fondata solo su un trattamento automatizzato dei dati destinato a valutare alcuni aspetti della sua personalità.

Può essere necessario sottoporre a controllo le reti di calcolatori gestite sotto la responsabilità delle istituzioni e degli organismi della Comunità per prevenire un'utilizzazione non autorizzata. Il garante europeo della protezione dei dati stabilisce se e a quali condizioni il controllo può essere esercitato.

La responsabilità per violazione del presente regolamento è disciplinata dall'articolo 288, secondo comma del trattato.

Uno o più responsabili della protezione dei dati provvedono, all'interno di ciascuna istituzione o organismo della Comunità, all'applicazione del presente regolamento e consigliano i responsabili del trattamento nell'assolvimento dei loro obblighi.

L'articolo 21 del regolamento (CE) n. 322/97 del Consiglio, del 17 febbraio 1997, relativo alle statistiche comunitarie6 dispone che il regolamento si applica senza pregiudicare la direttiva 95/46/CE.

L'articolo 8, paragrafo 8 del regolamento (CE) n. 2533/98 del Consiglio, del 23 novembre 1998, sulla raccolta di informazioni statistiche da parte della banca centrale europea7 dispone che il regolamento si applica senza pregiudicare la direttiva 95/46/CE.

L'articolo 1, paragrafo 2 del regolamento (Euratom, CEE) n. 1588/90 del Consiglio, dell'11 giugno 1990 relativo alla trasmissione all'istituto statistico delle Comunità europee di dati statistici protetti dal segreto8 dispone che detto regolamento non deroga alle disposizioni particolari, comunitarie o nazionali, relative alla salvaguardia di segreti diversi da quello statistico.

Il presente regolamento non è diretto a limitare gli ambiti di discrezionalità degli Stati membri per quanto attiene all'elaborazione della legislazione nazionale in materia di protezione dei dati adottata in virtù dell'articolo 32 della direttiva 95/46/CE, conformemente all'articolo 249 del trattato,

HANNO ADOTTATO IL PRESENTE REGOLAMENTO:

Capo I. Disposizioni generali

Art. 1

Oggetto

1. Le istituzioni e gli organismi creati dai trattati che istituiscono le Comunità europee o sulla loro base (in prosieguo "le istituzioni e gli organismi comunitari") garantiscono, conformemente alle disposizioni del presente regolamento, la tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare il diritto alla vita privata per quanto attiene al trattamento di dati personali. Essi non limitano né vietano la libera circolazione dei dati personali tra loro o verso i destinatari soggetti alla normativa nazionale degli Stati membri adottata in attuazione della direttiva 95/46/CE.

2. L'autorità di controllo indipendente istituita dal presente regolamento (in prosieguo "il garante europeo della protezione dei dati") sorveglia l'applicazione delle disposizioni del presente regolamento a tutti i trattamenti dei dati personali eseguiti da un'istituzione o da un organismo comunitario.

Art. 2

Definizioni Ai fini del presente regolamento s'intende per:

  1. a) "dati personali": qualsiasi informazione concernente una persona fisica identificata o identificabile (in prosieguo "interessato"); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero d'identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;

  2. b) "trattamento di dati personali" (in prosieguo "trattamento"): qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione o la modifica, l'estrazione, la consultazione, l'impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, l'allineamento o l'interconnessione, nonché il blocco, la cancellazione o la distruzione;

  3. c) "archivio di dati personali" (in prosieguo "archivio"): qualsiasi insieme strutturato di dati personali accessibili, secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico;

  4. d) "responsabile del trattamento": l'istituzione o l'organismo della Comunità, la direzione generale, l'unità o qualunque altra entità organizzativa che, singolarmente o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali. Quando le finalità e i mezzi del trattamento sono determinati da un atto comunitario specifico, il responsabile del trattamento o i criteri specifici per la sua designazione possono essere fissati da tale atto comunitario;

  5. e) "incaricato del trattamento": la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del responsabile del trattamento;

  6. f) "terzi": la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che non sia l'interessato, il responsabile del trattamento, l'incaricato del trattamento o le persone autorizzate all'elaborazione dei dati sotto l'autorità diretta di questi ultimi;

  7. g) "destinatario": la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati, che si tratti o meno di terzi. Non sono tuttavia considerate destinatari le autorità alle quali i dati possono essere comunicati nell'ambito di una missione d'inchiesta specifica;

  8. h) "consenso dell'interessato": qualsiasi manifestazione di volontà libera, specifica e informata con la quale l'interessato accetta che i dati personali che la riguardano siano oggetto di un trattamento.

Art. 3

Campo d'applicazione

1. Il presente regolamento si applica al trattamento di dati personali da parte di tutte le istituzioni e di tutti gli organismi comunitari, nella misura in cui detto trattamento avviene nell'esercizio di attività che rientrano in tutto o in parte nel campo di applicazione del diritto comunitario.

2. Il presente regolamento si applica al trattamento di dati personali, interamente o parzialmente automatizzato, nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.

Capo II. Condizioni generali di liceità del trattamento di dati personali

Sezione 1. Principi relativi alla qualità dei dati

Art. 4

Qualità dei dati

1. I dati personali devono essere:

  1. a) trattati in modo corretto e lecito;

  2. b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché il responsabile del trattamento fornisca garanzie appropriate, in particolare per assicurare che i dati non siano trattati per altri fini e non siano utilizzati a sostegno di misure o decisioni riguardanti persone specifiche;

  3. c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono raccolti o successivamente trattati;

  4. d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono raccolti o successivamente trattati;

  5. e) conservati in modo da consentire l'identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono raccolti o successivamente trattati. L'istituzione o l'organismo comunitario prevede, per i dati personali che devono essere conservati oltre il suddetto arco di tempo per scopi storici, statistici o scientifici, che siano conservati esclusivamente in una forma che li renda anonimi oppure, laddove non sia possibile, che siano conservati soltanto a condizione che l'identità dell'interessato sia criptata. I dati non devono in alcun caso essere utilizzati per scopi diversi da quelli storici, statistici o scientifici.

2. Il responsabile del trattamento garantisce il rispetto delle disposizioni del paragrafo 1.

Sezione 2. Principi relativi alla legittimazione del trattamento di dati

Art. 5

Liceità del trattamento Il trattamento di dati personali può essere effettuato soltanto quando:

  1. a) è necessario per l'esecuzione di una funzione di interesse pubblico in forza dei trattati che istituiscono le Comunità europee o di altri atti normativi adottati in base ad essi oppure per l'esercizio legittimo di pubblici poteri di cui sono investiti l'istituzione o l'organismo comunitario ovvero i terzi cui vengono comunicati i dati; oppure

  2. b) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento; oppure

  3. c) è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali prese su richiesta dello stesso; oppure

  4. d) l'interessato ha manifestato il proprio consenso in maniera inequivocabile; oppure

  5. e) è necessario per la salvaguardia degli interessi vitali dell'interessato.

Art. 6

Cambiamento di finalità Fatti salvi gli articoli 4, 5 e 10:

1. Il trattamento dei dati personali per fini diversi da quelli per cui sono stati raccolti è consentito soltanto se il cambiamento di finalità è espressamente autorizzato dalla regolamentazione interna dell'istituzione o dell'organismo comunitario;

2. I dati personali raccolti allo scopo esclusivo di garantire la sicurezza o il controllo dei sistemi o del trattamento non possono essere impiegati per altri fini, a eccezione delle attività volte a prevenire, indagare, accertare e perseguire reati gravi.

Art. 7

Trasferimento di dati personali fra istituzioni e organismi comunitari o al loro interno Fatti salvi gli articoli 4, 5, 6 e 10:

1. Il trasferimento di dati personali ad altre istituzioni o ad altri organismi comunitari ovvero al loro interno è consentito unicamente se i dati sono necessari per il legittimo esercizio delle funzioni che rientrano nelle competenze del destinatario.

2.

Se i dati sono trasferiti su richiesta del destinatario, il responsabile del trattamento e il destinatario sono entrambi responsabili della legittimità del trasferimento.

Il responsabile del trattamento è tenuto a verificare le competenze del destinatario e ad effettuare una valutazione provvisoria della necessità del trasferimento dei dati. Qualora emergano dubbi su tale necessità, il responsabile del trattamento chiede ulteriori spiegazioni al destinatario.

Il destinatario provvede a che si possa successivamente verificare la necessità del trasferimento dei dati.

3. Nel procedere al trattamento dei dati personali il destinatario persegue unicamente le finalità per cui questi gli sono stati trasmessi.

Art. 8

Trasferimento di dati personali a destinatari diversi da istituzioni e da organismi comunitari e soggetti alla direttiva 95/46/CE Fatti salvi gli articoli 4, 5, 6 e 10, è consentito trasferire dati personali a destinatari soggetti alla normativa nazionale adottata in attuazione della direttiva 95/46/CE soltanto:

  1. a) se il destinatario dimostra che i dati sono necessari per l'espletamento di compiti nel pubblico interesse o che rientrano nell'esercizio della pubblica autorità; oppure

  2. b) se il destinatario dimostra la necessità di trasmettergli tali dati e se non sussistono ragioni per presumere che possano subire pregiudizio interessi legittimi degli interessati.

Art. 9

Trasferimento di dati personali a destinatari diversi da istituzioni e da organismi comunitari e non soggetti alla direttiva 95/46/CE

1. È consentito trasferire dati personali a destinatari che non siano le istituzioni e gli organismi comunitari né siano soggetti alla normativa nazionale adottata in attuazione della direttiva 95/46/CE se nel paese del destinatario o all'interno dell'organizzazione internazionale destinataria è assicurato un livello adeguato di protezione e se il trasferimento dei dati avviene strettamente nell'ambito dei compiti che rientrano nelle competenze del responsabile del trattamento.

2. L'adeguatezza del livello di protezione garantito dal paese terzo o dall'organizzazione internazionale in questione è valutata tenendo conto di tutte le circostanze relative ad un'operazione o ad un insieme di operazioni di trasferimento dei dati. In particolare sono presi in considerazione la natura dei dati, la finalità e la durata del trattamento previsto, il paese terzo o l'organizzazione internazionale destinatario, la normativa, generale o settoriale, vigente in tale paese o organizzazione internazionale, nonché le regole professionali e le misure di sicurezza osservate in quel paese o dall'organizzazione internazionale.

3. Le istituzioni e gli organismi comunitari informano la Commissione e il garante europeo della protezione dei dati circa i casi in cui a loro parere il paese terzo o l'organizzazione internazionale in questione non assicurano un livello adeguato di protezione ai sensi del paragrafo 2.

4. La Commissione informa gli Stati membri dei casi di cui al paragrafo 3.

5. Le istituzioni e gli organismi comunitari adottano le misure necessarie per conformarsi alle decisioni della Commissione che constatano, in applicazione dell'articolo 25, paragrafi 4 e 6 della direttiva 95/46/CE, che un paese terzo o un'organizzazione internazionale assicura o non assicura un livello adeguato di protezione.

6. In deroga ai paragrafi 1 e 2, le istituzioni e gli organismi comunitari possono trasferire dati personali a condizione che:

  1. a) L'interessato abbia manifestato in maniera inequivocabile il proprio consenso al trasferimento previsto, oppure

  2. b) il trasferimento sia necessario all'esecuzione di un contratto concluso tra l'interessato ed il responsabile del trattamento ovvero all'esecuzione di misure precontrattuali prese a richiesta di tale persona, oppure

  3. c) il trasferimento sia necessario per la conclusione o l'esecuzione di un contratto stipulato tra il responsabile del trattamento e un terzo a favore dell'interessato, oppure

  4. d) il trasferimento sia necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante, ovvero per accertare, esercitare o difendere un diritto in via giudiziale, oppure

  5. e) il trasferimento sia necessario per la salvaguardia di interessi vitali dell'interessato, oppure

  6. f) il trasferimento sia effettuato a partire da un registro che, a norma del diritto comunitario, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, purché sussistano i requisiti per la consultazione previsti dalla normativa comunitaria.

7. Fatto salvo il paragrafo 6, il garante europeo della protezione dei dati può autorizzare un trasferimento, o un insieme di trasferimenti, di dati personali verso un paese terzo o un'organizzazione internazionale che non assicura un adeguato livello di protezione ai sensi dei paragrafi 1 e 2, se il responsabile del trattamento offre garanzie sufficienti per quanto riguarda la protezione della vita privata, delle libertà e dei diritti fondamentali delle persone, nonché per quanto riguarda l'esercizio dei relativi diritti; dette garanzie possono, in particolare, figurare in specifiche clausole contrattuali.

8. Le istituzioni e gli organismi comunitari informano il garante europeo della protezione dei dati in merito alle categorie di casi di applicazione del paragrafo 6 e 7.

Sezione 3. Categorie particolari di trattamento

Art. 10

Trattamento di categorie particolari di dati

1. È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, come pure trattare dati relativi alla salute e alla vita sessuale.

2. Il paragrafo 1 non si applica quando:

  1. a) l'interessato ha dato il proprio consenso esplicito a tale trattamento, eccezion fatta nel caso in cui la regolamentazione interna dell'istituzione o dell'organismo comunitario prevedano che il consenso dell'interessato non possa fare venir meno il divieto di cui al paragrafo 1, oppure

  2. b) il trattamento in questione è necessario per assolvere agli obblighi ed esercitare i diritti specifici del responsabile del trattamento in materia di diritto del lavoro, se ed in quanto esso sia consentito in forza dei trattati che istituiscono le Comunità europee o di altri atti normativi adottati in base ad essi o, se necessario, nella misura in cui sia autorizzato dal garante europeo della protezione dei dati con adeguate misure di salvaguardia, oppure

  3. c) il trattamento in questione è necessario per salvaguardare un interesse vitale dell'interessato o di un'altra persona, qualora l'interessato si trovi nell'incapacità fisica o giuridica di dare il proprio consenso, oppure

  4. d) il trattamento riguarda dati resi manifestamente pubblici dall'interessato o è necessario per accertare, esercitare o difendere un diritto in via giudiziale, oppure

  5. e) il trattamento in questione è eseguito, nell'ambito delle sue legittime attività e con adeguate garanzie, da un organismo senza fini di lucro che costituisca un ente integrato in un'istituzione o in un organismo comunitario cui in virtù dell'articolo 4 della direttiva 95/46/CE non si applica la normativa nazionale sulla protezione dei dati e che si prefigga finalità politiche, filosofiche, religiose o sindacali, purché il trattamento in questione riguardi unicamente i membri di detto organismo ovvero persone che sono in regolare contatto con esso per finalità connesse a quelle dell'organismo stesso e i dati non siano comunicati a terzi senza il consenso dell'interessato.

3. Il paragrafo 1 non si applica quando il trattamento dei dati è necessario in ambito medico per finalità di prevenzione, diagnosi, assistenza sanitaria o terapia ovvero gestione di centri di cura, e quando il trattamento dei medesimi dati è effettuato da un professionista della sanità vincolato al segreto professionale o da un'altra persona del pari soggetta a un equivalente obbligo di segretezza.

4. Purché siano fornite le garanzie del caso, e per motivi di interesse pubblico rilevante, oltre alle deroghe di cui al paragrafo 2, è possibile disporre ulteriori deroghe, previste dai trattati che istituiscono le Comunità europee o da altri atti normativi adottati in base ad essi o, se necessario, con una decisione del garante europeo della protezione dei dati.

5. I dati relativi ad infrazioni, condanne penali o misure di sicurezza possono essere oggetto di trattamento unicamente qualora ciò sia autorizzato dai trattati che istituiscono le Comunità europee o da altri atti normativi adottati in base ad essi, oppure, se necessario, dal garante europeo della protezione dei dati, fatte salve appropriate garanzie specifiche.

6. Il garante europeo della protezione dei dati stabilisce le condizioni alle quali un numero personale o qualsiasi altro mezzo d'identificazione d'uso generale può essere trattato da un'istituzione o un organismo della Comunità.

Sezione 4. Informazione degli interessati

Art. 11

Informazioni da fornire nel caso in cui i dati siano raccolti presso l'interessato

1.

Il responsabile del trattamento deve fornire all'interessato presso il quale effettua la raccolta dei dati che lo riguardano almeno le informazioni elencate qui di seguito, salvo che tale persona non ne disponga già:

  1. a) l'identità del responsabile del trattamento;

  2. b) le finalità del trattamento cui sono destinati i dati richiesti;

  3. c) i destinatari o le categorie di destinatari dei dati;

  4. d) il carattere obbligatorio o facoltativo delle risposte alle domande, nonché le possibili conseguenze di una mancata risposta;

  5. e) l'esistenza di diritti di accesso e di rettifica in merito ai dati che riguardano l'interessato;

  6. f) eventuali informazioni supplementari quali:

  7. i) il fondamento giuridico del trattamento cui sono destinati i dati,

  8. ii) i limiti di tempo per la conservazione dei dati,

  9. iii) il diritto di rivolgersi in qualsiasi momento al garante europeo della protezione dei dati,

nella misura in cui tali informazioni supplementari siano necessarie, considerate le circostanze specifiche della raccolta dei dati, per garantire un corretto trattamento dei dati dell'interessato.

2. In deroga al paragrafo 1 la comunicazione delle informazioni in questione o di una parte di esse, tranne le informazioni di cui al paragrafo 1, lettere a), b) e d) può essere differita per il tempo necessario a fini statistici. Le informazioni devono essere fornite non appena vengano meno i motivi che ne impedivano la divulgazione.

Art. 12

Informazioni da fornire nel caso in cui i dati non siano stati raccolti presso l'interessato

1.

Qualora i dati non siano stati raccolti presso l'interessato, il responsabile del trattamento deve, al momento della registrazione dei dati personali, ovvero, qualora ne sia prevista la comunicazione a terzi, entro la prima comunicazione dei dati stessi fornire all'interessato, almeno le informazioni elencate qui di seguito, salvo che tale persona già non ne disponga:

  1. a) l'identità del responsabile del trattamento;

  2. b) le finalità del trattamento;

  3. c) le categorie di dati in questione;

  4. d) i destinatari o le categorie di destinatari dei dati;

  5. e) l'esistenza di diritti di accesso e di rettifica in merito ai dati che riguardano l'interessato;

  6. f) eventuali informazioni supplementari quali:

  7. i) il fondamento giuridico del trattamento cui sono destinati i dati,

  8. ii) i limiti di tempo per la conservazione dei dati,

  9. iii) il diritto di rivolgersi in qualsiasi momento al garante europeo della protezione dei dati,

  10. iv) l'origine dei dati, a meno che motivi connessi al segreto professionale non impediscano al responsabile del trattamento di renderla nota,

nella misura in cui tali informazioni supplementari siano necessarie, considerate le circostanze specifiche della raccolta dei dati, per garantire un corretto trattamento dei dati dell'interessato.

2. Il paragrafo 1 non si applica qualora, in particolare nel trattamento di dati a scopi statistici ovvero di ricerca storica o scientifica, risulti impossibile o sproporzionatamente difficile informare l'interessato, oppure quando la registrazione o la comunicazione dei dati sia espressamente prescritta dal diritto comunitario. In questi casi le istituzioni o gli organismi comunitari prevedono garanzie appropriate, previa consultazione del garante europeo della protezione dei dati.

Fonti e licenze