diritto.io

Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio del 23 ottobre 2018 sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (Testo rilevante ai fini del SEE)

Testo in vigore al

Sezione 3. Riservatezza delle comunicazioni elettroniche

Art. 36 Riservatezza delle comunicazioni elettroniche

Le istituzioni e gli organi dell’Unione garantiscono la riservatezza delle comunicazioni elettroniche, in particolare proteggendo le proprie reti di comunicazione elettronica.

Art. 37 Tutela delle informazioni trasmesse relative all’apparecchiatura terminale degli utenti, nonché conservate, elaborate e raccolte dalla stessa

Le istituzioni e gli organi dell’Unione tutelano le informazioni trasmesse all’apparecchiatura terminale degli utenti, conservate nell’apparecchiatura terminale degli utenti, relative all’apparecchiatura terminale degli utenti, elaborate dall’apparecchiatura terminale degli utenti e raccolte dall’apparecchiatura terminale degli utenti che accede ai loro siti web e alle applicazioni per dispositivi mobili a disposizione del pubblico, in ottemperanza all’articolo 5, paragrafo 3, della direttiva 2002/58/CE.

Art. 38 Elenchi di utenti

1. I dati personali contenuti in elenchi di utenti e l’accesso a detti elenchi sono limitati allo stretto necessario ai fini specifici degli elenchi.

2. Le istituzioni e gli organi dell’Unione prendono le misure necessarie per impedire che i dati personali contenuti in tali elenchi siano utilizzati a fini di diffusione commerciale diretta, indipendentemente dal fatto che gli elenchi siano o meno accessibili al pubblico.

Sezione 4. Valutazione d’impatto sulla protezione dei dati e consultazione preventiva

Art. 39 Valutazione d’impatto sulla protezione dei dati

1. Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi.

2. Il titolare del trattamento, allorquando svolge una valutazione d’impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati.

3. La valutazione d’impatto sulla protezione dei dati di cui al paragrafo 1 è richiesta in particolare nei casi seguenti:

  1. a) una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;

  2. b) il trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 10, o di dati relativi a condanne penali e a reati di cui all’articolo 11; oppure

  3. c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

4. Il Garante europeo della protezione dei dati redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi del paragrafo 1.

5. Il Garante europeo della protezione dei dati può inoltre redigere e rendere pubblico un elenco delle tipologie di trattamenti per le quali non è richiesta una valutazione d’impatto sulla protezione dei dati.

6. Prima di adottare gli elenchi di cui ai paragrafi 4 e 5 del presente articolo, il Garante europeo della protezione dei dati chiede che il comitato europeo per la protezione dei dati istituito dall’articolo 68 del regolamento (UE) 2016/679 esamini detti elenchi conformemente all’articolo 70, paragrafo 1, lettera e), dello stesso regolamento ove tali elenchi si riferiscano a trattamenti da parte di un titolare del trattamento che agisce congiuntamente a uno o più titolari del trattamento diversi dalle istituzioni e dagli organi dell’Unione.

7. La valutazione contiene almeno:

  1. a) una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento;

  2. b) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;

  3. c) una valutazione dei rischi per i diritti e le libertà degli interessati di cui al paragrafo 1; e

  4. d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

8. Nel valutare l’impatto del trattamento effettuato dai relativi responsabili diversi dalle istituzioni e dagli organi dell’Unione è tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all’articolo 40 del regolamento (UE) 2016/679, in particolare ai fini di una valutazione d’impatto sulla protezione dei dati.

9. Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi pubblici o la sicurezza dei trattamenti.

10. Qualora il trattamento effettuato ai sensi dell’articolo 5, paragrafo 1, lettera a) o b), trovi una base giuridica in un atto giuridico adottato sulla base dei trattati, che disciplina il trattamento specifico o l’insieme di trattamenti in questione, e sia già stata effettuata una valutazione d’impatto sulla protezione dei dati nell’ambito di una valutazione d’impatto generale precedente all’adozione di tale atto giuridico, i paragrafi da 1 a 6 del presente articolo non si applicano, salvo se tale atto giuridico stabilisce altrimenti.

11. Se necessario, il titolare del trattamento procede a un riesame per valutare se il trattamento dei dati personali sia effettuato conformemente alla valutazione d’impatto sulla protezione dei dati almeno quando insorgono variazioni del rischio rappresentato dalle attività relative al trattamento.

Art. 40 Consultazione preventiva

1. Prima di procedere al trattamento, il titolare del trattamento consulta il Garante europeo della protezione dei dati se dalla valutazione d’impatto sulla protezione dei dati a norma dell’articolo 39 risulta che il trattamento, in mancanza delle garanzie, delle misure di sicurezza e dei meccanismi per attenuare il rischio, presenterebbe un rischio elevato per i diritti e le libertà delle persone fisiche e il titolare del trattamento è del parere che il rischio non possa essere ragionevolmente attenuato in considerazione delle tecnologie disponibili e dei costi di attuazione. Il titolare del trattamento chiede il parere del responsabile della protezione dei dati sulla necessità di una consultazione preventiva.

2. Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, il Garante europeo della protezione dei dati fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento e può avvalersi dei poteri di cui all’articolo 58. Tale periodo può essere prorogato di sei settimane, tenendo conto della complessità del trattamento previsto. Il Garante europeo della protezione dei dati informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione. La decorrenza dei termini può essere sospesa fino all’ottenimento da parte del Garante europeo della protezione dei dati delle informazioni richieste ai fini della consultazione.

3. Al momento di consultare il Garante europeo della protezione dei dati ai sensi del paragrafo 1, il titolare del trattamento comunica al Garante europeo della protezione dei dati:

  1. a) ove applicabile, le rispettive responsabilità del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento;

  2. b) le finalità e i mezzi del trattamento previsto;

  3. c) le misure e le garanzie previste per proteggere i diritti e le libertà degli interessati a norma del presente regolamento;

  4. d) i dati di contatto del responsabile della protezione dei dati;

  5. e) la valutazione d’impatto sulla protezione dei dati di cui all’articolo 39; e

  6. f) ogni altra informazione richiesta dal Garante europeo della protezione dei dati.

4. La Commissione può definire, mediante un atto di esecuzione, un elenco dei casi in cui i titolari del trattamento consultano il Garante europeo della protezione dei dati, e ne ottengono l’autorizzazione preliminare, in relazione al trattamento necessario all’esecuzione, da parte del titolare del trattamento di dati personali, di un compito di interesse pubblico, tra cui il trattamento di tali dati in relazione alla protezione sociale e alla sanità pubblica.

Sezione 5. Informazioni e consultazione legislativa

Art. 41 Informazione e consultazione

1. Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati al momento di elaborare provvedimenti amministrativi e norme interne in tema di trattamento di dati personali da parte di un’istituzione o un organo dell’Unione, singolarmente o congiuntamente con altri.

2. Le istituzioni e gli organi dell’Unione consultano il Garante europeo della protezione dei dati al momento di elaborare le norme interne di cui all’articolo 25.

Art. 42 Consultazione legislativa

1. Dopo l’adozione di proposte di atti legislativi e di raccomandazioni o proposte al Consiglio a norma dell’articolo 218 TFUE o durante la stesura di atti delegati o di esecuzione, qualora essi incidano sulla tutela dei diritti e delle libertà delle persone in relazione al trattamento dei dati personali, la Commissione consulta il Garante europeo della protezione dei dati.

2. Se un atto di cui al paragrafo 1 è di particolare rilevanza per la tutela dei diritti e delle libertà fondamentali delle persone in relazione al trattamento di dati personali, la Commissione può consultare anche il comitato europeo per la protezione dei dati. In tali casi, il Garante europeo per la protezione dei dati e il comitato europeo per la protezione dei dati coordinano le proprie attività al fine di emettere un parere congiunto.

3. La consulenza di cui ai paragrafi 1 e 2 è fornita per iscritto entro un termine di otto settimane dal ricevimento della richiesta di consultazione di cui ai paragrafi 1 e 2. In caso di urgenza, o se altrimenti opportuno, la Commissione può abbreviare il termine.

4. Il presente articolo non si applica quando il regolamento (UE) 2016/679 fa obbligo alla Commissione di consultare il comitato europeo per la protezione dei dati.

Sezione 6. Responsabile della protezione dei dati

Art. 43 Designazione del responsabile della protezione dei dati

1. Ogni istituzione od organo dell’Unione designa un responsabile della protezione dei dati.

2. Un unico responsabile della protezione dei dati può essere designato per più istituzioni e organi dell’Unione, tenuto conto della loro struttura organizzativa e dimensione.

3. Il responsabile della protezione dei dati è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 45.

4. Il responsabile della protezione dei dati è un membro del personale dell’istituzione o dell’organo dell’Unione. Tenuto conto della loro dimensione e se l’opzione di cui al paragrafo 2 non è esercitata, le istituzioni e gli organi dell’Unione possono designare un responsabile della protezione dei dati che assolve i suoi compiti in base a un contratto di servizi.

5. Le istituzioni e gli organi dell’Unione pubblicano i dati di contatto del responsabile della protezione dei dati e li comunicano al Garante europeo della protezione dei dati.

Art. 44 Posizione del responsabile della protezione dei dati

1. Le istituzioni e gli organi dell’Unione si assicurano che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.

2. Le istituzioni e gli organi dell’Unione sostengono il responsabile della protezione dei dati nell’esecuzione dei compiti di cui all’articolo 45 fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.

3. Le istituzioni e gli organi dell’Unione si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l’esecuzione di tali compiti. Il responsabile della protezione dei dati non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l’adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento.

4. Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dal presente regolamento.

5. Il responsabile della protezione dei dati e il suo personale sono tenuti al segreto o alla riservatezza in merito all’adempimento dei propri compiti, in conformità del diritto dell’Unione.

6. Il responsabile della protezione dei dati può svolgere altri compiti e funzioni. Il titolare del trattamento o il responsabile del trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi.

7. Il responsabile della protezione dei dati può essere consultato dal titolare del trattamento e dal responsabile del trattamento, dal comitato del personale interessato e da qualsiasi persona su qualsiasi aspetto riguardante l’interpretazione o l’applicazione del presente regolamento, senza seguire la via gerarchica. Nessuno deve subire pregiudizio per una questione portata all’attenzione del responsabile della protezione dei dati competente e riguardante un’asserita violazione delle disposizioni del presente regolamento.

8. Il responsabile della protezione dei dati è designato per un periodo da tre a cinque anni e il suo mandato è rinnovabile. Il responsabile della protezione dei dati può essere destituito dalle sue funzioni dall’istituzione o dall’organo dell’Unione che lo ha designato, se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni, solo con il consenso del Garante europeo della protezione dei dati.

9. La designazione del responsabile della protezione dei dati è comunicata al Garante europeo della protezione dei dati dall’istituzione o dall’organo dell’Unione che lo ha designato.

Art. 45 Compiti del responsabile della protezione dei dati

1. Il responsabile della protezione dei dati è incaricato dei seguenti compiti:

  1. a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell’Unione relative alla protezione dei dati;

  2. b) assicurare in modo indipendente l’applicazione interna del presente regolamento; sorvegliare l’osservanza del presente regolamento, di altre disposizioni dell’Unione applicabili relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, comprese l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;

  3. c) garantire che gli interessati siano informati dei propri diritti e obblighi ai sensi del presente regolamento;

  4. d) fornire, se richiesto, un parere in merito alla necessità di notificare o comunicare una violazione dei dati personali a norma degli articoli 34 e 35;

  5. e) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento a norma dell’articolo 39 e consultare il Garante europeo della protezione dei dati in caso di dubbi sulla necessità di una valutazione d’impatto sulla protezione dei dati;

  6. f) fornire, se richiesto, un parere in merito alla necessità di una consultazione preventiva del Garante europeo della protezione dei dati a norma dell’articolo 40; consultare il Garante europeo della protezione dei dati in caso di dubbi sulla necessità di una consultazione preventiva;

  7. g) rispondere alle richieste del Garante europeo della protezione dei dati; nell’ambito delle sue competenze, cooperare e consultarsi con il Garante europeo della protezione dei dati su richiesta di quest’ultimo o di propria iniziativa;

  8. h) garantire che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati.

2. Il responsabile della protezione dei dati può formulare raccomandazioni al titolare del trattamento e al responsabile del trattamento per il miglioramento concreto della protezione dei dati e consigliare questi ultimi in merito all’applicazione delle disposizioni sulla protezione dei dati. Può inoltre, di propria iniziativa o a richiesta del titolare del trattamento o del responsabile del trattamento, del comitato del personale interessato o di qualsiasi persona, indagare sulle questioni e sui fatti direttamente collegati con l’esercizio delle sue funzioni di cui viene a conoscenza e riferire in merito alla persona che lo ha incaricato dell’indagine o al titolare o al responsabile del trattamento.

3. Altre norme di attuazione relative al responsabile della protezione dei dati sono adottate da ogni istituzione od organo dell’Unione. Tali norme di attuazione riguardano in particolare le funzioni, gli obblighi e le competenze del responsabile della protezione dei dati.

Capo V. Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali

Art. 46 Principio generale per il trasferimento

Qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un’organizzazione internazionale, compresi trasferimenti successivi di dati personali da un paese terzo o un’organizzazione internazionale verso un altro paese terzo o un’altra organizzazione internazionale, ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento. Tutte le disposizioni del presente capo sono applicate al fine di assicurare che il livello di protezione delle persone fisiche garantito dal presente regolamento non sia pregiudicato.

Art. 47 Trasferimento sulla base di una decisione di adeguatezza

1. Il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale è ammesso se la Commissione ha deciso, ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, che il paese terzo, un territorio o uno o più settori specifici all’interno di tale paese terzo o l’organizzazione internazionale in questione assicurano un livello di protezione adeguato, e qualora i dati personali siano trasferiti esclusivamente per consentire lo svolgimento dei compiti che rientrano nelle competenze del titolare del trattamento.

2. Le istituzioni e gli organi dell’Unione informano la Commissione e il Garante europeo della protezione dei dati circa i casi in cui a loro parere un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo o un’organizzazione internazionale in questione non assicurano un livello di protezione adeguato ai sensi del paragrafo 1.

3. Le istituzioni e gli organi dell’Unione adottano le misure necessarie per conformarsi alle decisioni della Commissione che constatano, in applicazione dell’articolo 45, paragrafo 3 o 5, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3 o 5, della direttiva (UE) 2016/680, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo o un’organizzazione internazionale assicurano o non assicurano più un livello di protezione adeguato.

Art. 48 Trasferimento soggetto a garanzie adeguate

1. In mancanza di una decisione ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.

2. Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte del Garante europeo della protezione dei dati:

  1. a) uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorità pubbliche o organismi pubblici;

  2. b) le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d’esame di cui all’articolo 96, paragrafo 2;

  3. c) le clausole tipo di protezione dei dati adottate dal Garante europeo della protezione dei dati e approvate dalla Commissione secondo la procedura d’esame di cui all’articolo 96, paragrafo 2;

  4. d) qualora il responsabile del trattamento non sia un’istituzione o un organo dell’Unione, le norme vincolanti d’impresa, i codici di condotta o i meccanismi di certificazione ai sensi dell’articolo 46, paragrafo 2, lettere b), e) ed f), del regolamento (UE) 2016/679.

3. Fatta salva l’autorizzazione del Garante europeo della protezione dei dati, possono altresì costituire in particolare garanzie adeguate di cui al paragrafo 1:

  1. a) le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il titolare del trattamento, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell’organizzazione internazionale; oppure

  2. b) le disposizioni da inserire in accordi amministrativi tra autorità pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati.

4. Le autorizzazioni rilasciate dal Garante europeo della protezione dei dati in base all’articolo 9, paragrafo 7, del regolamento (CE) 45/2001 restano valide fino a quando non sono modificate, sostituite o abrogate, se necessario, dal Garante europeo della protezione dei dati.

5. Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati in merito alle categorie di casi in cui è stato applicato il presente articolo.

Art. 49 Trasferimento o comunicazione non autorizzati dal diritto dell’Unione

Le sentenze di un’autorità giurisdizionale e le decisioni di un’autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo.

Art. 50 Deroghe in specifiche situazioni

1. In mancanza di una decisione di adeguatezza ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, o di garanzie adeguate ai sensi dell’articolo 48 del presente regolamento, è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale soltanto se si verifica una delle seguenti condizioni:

  1. a) l’interessato ha esplicitamente acconsentito al trasferimento proposto, dopo essere stato informato dei possibili rischi di siffatti trasferimenti per l’interessato, dovuti alla mancanza di una decisione di adeguatezza e di garanzie adeguate;

  2. b) il trasferimento è necessario all’esecuzione di un contratto concluso tra l’interessato e il titolare del trattamento ovvero all’esecuzione di misure precontrattuali adottate su istanza dell’interessato;

  3. c) il trasferimento è necessario per la conclusione o l’esecuzione di un contratto stipulato tra il titolare del trattamento e un’altra persona fisica o giuridica a favore dell’interessato;

  4. d) il trasferimento è necessario per importanti motivi di interesse pubblico;

  5. e) il trasferimento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria;

  6. f) il trasferimento è necessario per tutelare gli interessi vitali dell’interessato o di altre persone, qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso; oppure

  7. g) il trasferimento è effettuato a partire da un registro che, a norma del diritto dell’Unione, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un interesse legittimo, ma solo purché sussistano i requisiti per la consultazione previsti dal diritto dell’Unione.

2. Il paragrafo 1, lettere a), b) e c), non si applica alle attività svolte dalle istituzioni e dagli organi dell’Unione nell’esercizio dei pubblici poteri.

3. L’interesse pubblico di cui al paragrafo 1, lettera d), deve essere riconosciuto dal diritto dell’Unione.

4. Il trasferimento di cui al paragrafo 1, lettera g), non può riguardare la totalità dei dati personali o intere categorie di dati personali contenute nel registro, salvo se autorizzato dal diritto dell’Unione. Se il registro è destinato a essere consultato da persone aventi un interesse legittimo, il trasferimento è ammesso soltanto su richiesta di tali persone o qualora tali persone ne siano i destinatari.

5. In mancanza di una decisione di adeguatezza, il diritto dell’Unione può, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un’organizzazione internazionale.

6. Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati in merito alle categorie di casi in cui è stato applicato il presente articolo.

Art. 51 Cooperazione internazionale per la protezione dei dati personali

In relazione ai paesi terzi e alle organizzazioni internazionali, il Garante europeo della protezione dei dati, in cooperazione con la Commissione e il comitato europeo per la protezione dei dati, adotta misure appropriate per:

  1. a) sviluppare meccanismi di cooperazione internazionale per facilitare l’applicazione efficace della legislazione sulla protezione dei dati personali;

  2. b) prestare assistenza reciproca a livello internazionale nell’applicazione della legislazione sulla protezione dei dati personali, in particolare mediante notificazione, deferimento dei reclami, assistenza alle indagini e scambio di informazioni, fatte salve garanzie adeguate per la protezione dei dati personali e gli altri diritti e libertà fondamentali;

  3. c) coinvolgere le parti interessate pertinenti in discussioni e attività dirette a promuovere la cooperazione internazionale nell’applicazione della legislazione sulla protezione dei dati personali;

  4. d) promuovere lo scambio e la documentazione delle legislazioni e prassi in materia di protezione dei dati personali, compresi i conflitti di giurisdizione con paesi terzi.

Capo VI. Garante europeo della protezione dei dati

Art. 52 Garante europeo della protezione dei dati

1. È istituito il Garante europeo della protezione dei dati.

2. Il Garante europeo della protezione dei dati ha il compito di garantire il rispetto dei diritti e delle libertà fondamentali delle persone fisiche, segnatamente del diritto alla protezione dei dati, in relazione al trattamento dei dati personali da parte delle istituzioni e degli organi dell’Unione.

3. Il Garante europeo della protezione dei dati ha il compito di sorvegliare e assicurare l’applicazione del presente regolamento e di qualunque altro atto dell’Unione relativo alla tutela dei diritti e delle libertà fondamentali delle persone fisiche in relazione al trattamento dei dati personali da parte di un’istituzione o di un organo dell’Unione, e di fornire alle istituzioni e agli organi dell’Unione nonché agli interessati pareri su tutte le questioni relative al trattamento dei dati personali. A tal fine esso assolve ai compiti previsti all’articolo 57 ed esercita i poteri attribuitigli dall’articolo 58.

4. Il regolamento (CE) n. 1049/2001 si applica ai documenti detenuti dal Garante europeo della protezione dei dati. Il Garante europeo della protezione dei dati adotta le modalità di applicazione del regolamento (CE) n. 1049/2001 per quanto riguarda tali documenti.

Art. 53 Nomina del Garante europeo della protezione dei dati

1. Il Parlamento europeo e il Consiglio nominano di comune accordo il Garante europeo della protezione dei dati, per un periodo di cinque anni, in base a un elenco predisposto dalla Commissione dopo un invito pubblico a presentare candidature. Tale invito consente a tutte le parti interessate nell’insieme dell’Unione di presentare la propria candidatura. L’elenco di candidati elaborato dalla Commissione è pubblico e include almeno tre candidati. Sulla base dell’elenco elaborato dalla Commissione, la commissione competente del Parlamento europeo può decidere di organizzare un’audizione per poter esprimere una preferenza.

2. L’elenco di candidati di cui al paragrafo 1 deve essere composto da personalità che offrano ogni garanzia di indipendenza e che possiedano una conoscenza specialistica in materia di protezione dei dati nonché esperienza e competenze per l’esercizio delle funzioni di Garante europeo della protezione dei dati.

3. Il mandato del Garante europeo della protezione dei dati è rinnovabile una volta.

4. Le funzioni del Garante europeo della protezione dei dati cessano nei seguenti casi:

  1. a) se il Garante europeo della protezione dei dati è sostituito;

  2. b) se il Garante europeo della protezione dei dati si dimette;

  3. c) se il Garante europeo della protezione dei dati è rimosso o collocato a riposo d’ufficio.

5. Il Garante europeo della protezione dei dati può essere rimosso o privato del diritto a pensione o di altri vantaggi sostitutivi dalla Corte di giustizia su richiesta del Parlamento europeo, del Consiglio o della Commissione qualora non sia più in possesso dei requisiti necessari all’esercizio delle sue funzioni o abbia commesso una colpa grave.

6. In caso di normale avvicendamento o di dimissioni volontarie, il Garante europeo della protezione dei dati resta comunque in carica fino all’atto della sua sostituzione.

7. Gli articoli da 11 a 14 e l’articolo 17 del protocollo sui privilegi e sulle immunità dell’Unione europea si applicano al Garante europeo della protezione dei dati.

Art. 54 Statuto e condizioni generali di esercizio delle funzioni di Garante europeo della protezione dei dati, risorse umane e finanziarie

1. Il Garante europeo della protezione dei dati è equiparato a un giudice della Corte di giustizia per quanto riguarda la retribuzione, le indennità, il trattamento di quiescenza e ogni altro compenso sostitutivo.

2. L’autorità di bilancio provvede a che il Garante europeo della protezione dei dati disponga delle risorse umane e finanziarie necessarie per l’esercizio delle sue funzioni.

3. Il bilancio assegnato al Garante europeo della protezione dei dati figura su una linea specifica della sezione del bilancio generale dell’Unione relativa alle spese amministrative.

4. Il Garante europeo della protezione dei dati è assistito da un segretariato. I funzionari e gli altri agenti del segretariato sono nominati dal Garante europeo della protezione dei dati, che è il loro superiore gerarchico. Essi sono tenuti a conformarsi esclusivamente alle sue istruzioni. Il loro numero è stabilito ogni anno nell’ambito della procedura di bilancio. L’articolo 75, paragrafo 2, del regolamento (UE) 2016/679 si applica al personale del Garante europeo della protezione dei dati incaricato di svolgere i compiti attribuiti al comitato europeo per la protezione dei dati in virtù del diritto dell’Unione.

5. I funzionari e gli altri agenti del segretariato del Garante europeo della protezione dei dati sono soggetti alla normativa relativa ai funzionari e agli altri agenti dell’Unione.

6. La sede del Garante europeo della protezione dei dati è a Bruxelles.

Art. 55 Indipendenza

1. Il Garante europeo della protezione dei dati agisce in piena indipendenza nell’adempimento dei propri compiti e nell’esercizio dei propri poteri conformemente al presente regolamento.

2. Nell’adempimento dei propri compiti e nell’esercizio dei propri poteri previsti dal presente regolamento, il Garante europeo della protezione dei dati non subisce pressioni esterne, né dirette né indirette, e non sollecita né accetta istruzioni da alcuno.

3. Per tutta la durata del mandato, il Garante europeo della protezione dei dati si astiene da qualunque azione incompatibile con i suoi doveri e non può esercitare alcuna altra attività professionale, remunerata o meno.

4. Al termine del mandato, il Garante europeo della protezione dei dati agisce con integrità e discrezione nell’accettazione di nomine e altri benefici.

Art. 56 Segreto professionale

Durante e dopo il mandato, il Garante europeo della protezione dei dati ed il personale alle sue dipendenze sono tenuti al segreto professionale in merito alle informazioni riservate cui hanno avuto accesso durante l’esercizio delle loro funzioni.

Fonti e licenze