diritto.io

Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio

Testo in vigore al

Art. 7 Distinzione tra i dati personali e verifica della qualità dei dati personali

1. Gli Stati membri dispongono che i dati personali fondati su fatti siano differenziati, nella misura del possibile, da quelli fondati su valutazioni personali.

2. Gli Stati membri dispongono che le autorità competenti adottino tutte le misure ragionevoli per garantire che i dati personali inesatti, incompleti o non più aggiornati non siano trasmessi o resi disponibili. A tal fine, ciascuna autorità competente verifica, per quanto possibile, la qualità dei dati personali prima che questi siano trasmessi o resi disponibili. Per quanto possibile, tutte le trasmissioni di dati personali sono corredate delle informazioni necessarie che consentono all'autorità competente ricevente di valutare il grado di esattezza, completezza e affidabilità dei dati personali, e la misura in cui essi sono aggiornati.

3. Qualora risulti che sono stati trasmessi dati personali inesatti o che sono stati trasmessi dati personali illecitamente, il destinatario deve esserne informato quanto prima. In tal caso, i dati personali devono essere rettificati o cancellati o il trattamento deve essere limitato a norma dell'articolo 16.

Art. 8 Liceità del trattamento

1. Gli Stati membri dispongono che il trattamento sia lecito solo se e nella misura in cui è necessario per l'esecuzione di un compito di un'autorità competente, per le finalità di cui all'articolo 1, paragrafo 1, e si basa sul diritto dell'Unione o dello Stato membro.

2. Il diritto dello Stato membro che disciplina il trattamento nell'ambito di applicazione della presente direttiva specifica quanto meno gli obiettivi del trattamento, i dati personali da trattare e le finalità del trattamento.

Art. 9 Condizioni di trattamento specifiche

1. I dati personali raccolti dalle autorità competenti per le finalità di cui all'articolo 1, paragrafo 1, non possono essere trattati per finalità diverse da quelle di cui all'articolo 1, paragrafo 1, a meno che tale trattamento non sia autorizzato dal diritto dell'Unione o dello Stato membro. Qualora i dati personali siano trattati per tali finalità diverse, si applica il regolamento (UE) 2016/679, a meno che il trattamento non sia effettuato nell'ambito di un'attività che non rientra nell'ambito di applicazione del diritto dell'Unione.

2. Qualora il diritto dello Stato membro affidi alle autorità competenti l'esecuzione di compiti diversi da quelli eseguiti per le finalità di cui all'articolo 1, paragrafo 1, il regolamento (UE) 2016/679 si applica al trattamento per tali finalità, comprese quelle di archiviazione nel pubblico interesse, di ricerca scientifica o storica o per finalità statistiche, a meno che il trattamento non sia effettuato nel contesto di un'attività che non rientra nell'ambito di applicazione del diritto dell'Unione.

3. Gli Stati membri dispongono che, nei casi in cui il diritto dell'Unione o dello Stato membro applicabile all'autorità competente che trasmette i dati preveda condizioni specifiche per il trattamento, l'autorità competente che trasmette i dati informi il destinatario di tali dati personali di tali condizioni e dell'obbligo di rispettarle.

4. Gli Stati membri dispongono che l'autorità competente che trasmette i dati non applichi a destinatari di altri Stati membri o a agenzie, uffici e organi istituiti a norma del titolo V, capi 4 e 5, TFUE condizioni ai sensi del paragrafo 3 diverse da quelle applicabili a trasmissioni di dati analoghe all'interno dello Stato membro dell'autorità competente che trasmette i dati.

Art. 10 Trattamento di categorie particolari di dati personali

Il trattamento di dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati relativi alla salute o di dati relativi alla vita sessuale della persona fisica o all'orientamento sessuale è autorizzato solo se strettamente necessario, soggetto a garanzie adeguate per i diritti e le libertà dell'interessato e soltanto:

  1. a) se autorizzato dal diritto dell'Unione o dello Stato membro;

  2. b) per salvaguardare un interesse vitale dell'interessato o di un'altra persona fisica; o

  3. c) se il suddetto trattamento riguarda dati resi manifestamente pubblici dall'interessato.

Art. 11 Processo decisionale automatizzato relativo alle persone fisiche

1. Gli Stati membri dispongono che una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici negativi o incida significativamente sull'interessato sia vietata salvo che sia autorizzata dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento e che preveda garanzie adeguate per i diritti e le libertà dell'interessato, almeno il diritto di ottenere l'intervento umano da parte del titolare del trattamento.

2. Le decisioni di cui al paragrafo 1 del presente articolo non si basano sulle categorie particolari di dati personali di cui all'articolo 10, a meno che non siano in vigore misure adeguate a salvaguardia dei diritti, delle libertà e dei legittimi interessi dell'interessato.

3. La profilazione che porta alla discriminazione di persone fisiche sulla base di categorie particolari di dati personali di cui all'articolo 10 è vietata, conformemente al diritto dell'Unione.

Capo III. Diritti dell'interessato

Art. 12 Comunicazioni e modalità per l'esercizio dei diritti dell'interessato

1. Gli Stati membri dispongono che il titolare del trattamento adotti misure ragionevoli per fornire all'interessato tutte le informazioni di cui all'articolo 13 e faccia le comunicazioni con riferimento agli articoli 11, da 14 a 18 e 31, relative al trattamento, in forma concisa, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Le informazioni sono fornite con qualsiasi mezzo adeguato, anche per via elettronica. Come regola generale il titolare del trattamento fornisce le informazioni nella stessa forma della richiesta.

2. Gli Stati membri dispongono che il titolare del trattamento faciliti l'esercizio dei diritti di cui agli articoli 11 e da 14 a 18 da parte dell'interessato.

3. Gli Stati membri dispongono che il titolare del trattamento informi senza ingiustificato ritardo l'interessato per iscritto del seguito alla sua richiesta.

4.

Gli Stati membri dispongono che le informazioni fornite ai sensi dell'articolo 13 ed eventuali comunicazioni effettuate o azioni intraprese ai sensi degli articoli 11, da 14 a 18 e 31 siano gratuite. Se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:

  1. a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta, oppure

  2. b) rifiutare di soddisfare la richiesta.

Incombe al titolare del trattamento dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

5. Qualora il titolare del trattamento nutra ragionevoli dubbi circa l'identità della persona fisica che presenta una richiesta di cui agli articoli 14 o 16, può richiedere ulteriori informazioni necessarie per confermare l'identità dell'interessato.

Art. 13 Informazioni da rendere disponibili o da fornire all'interessato

1. Gli Stati membri dispongono che il titolare del trattamento metta a disposizione dell'interessato almeno le seguenti informazioni:

  1. a) l'identità e i dati di contatto del titolare del trattamento;

  2. b) i dati di contatto del responsabile della protezione dei dati, se del caso;

  3. c) le finalità del trattamento cui sono destinati i dati personali;

  4. d) il diritto di proporre reclamo a un'autorità di controllo e i dati di contatto di detta autorità;

  5. e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento l'accesso ai dati e la rettifica o la cancellazione dei dati personali e la limitazione del trattamento dei dati personali che lo riguardano.

2. In aggiunta alle informazioni di cui al paragrafo 1,gli Stati membri dispongono per legge che il titolare del trattamento fornisca all'interessato, in casi specifici, le seguenti ulteriori informazioni per consentire l'esercizio dei diritti dell'interessato:

  1. a) la base giuridica per il trattamento;

  2. b) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

  3. c) se del caso, le categorie di destinatari dei dati personali, anche in paesi terzi o in seno a organizzazioni internazionali;

  4. d) se necessario, ulteriori informazioni, in particolare nel caso in cui i dati personali siano raccolti all'insaputa dell'interessato.

3. Gli Stati membri possono adottare misure legislative intese a ritardare, limitare o escludere la comunicazione di informazioni all'interessato ai sensi del paragrafo 2 nella misura e per il tempo in cui ciò costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata al fine di:

  1. a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;

  2. b) non compromettere la prevenzione, l'indagine, l'accertamento e il perseguimento di reati o l'esecuzione di sanzioni penali;

  3. c) proteggere la sicurezza pubblica;

  4. d) proteggere la sicurezza nazionale;

  5. e) proteggere i diritti e le libertà altrui.

4. Gli Stati membri possono adottare misure legislative al fine di determinare le categorie di trattamenti cui può applicarsi, in tutto o in parte, una delle lettere del paragrafo 3.

Art. 14 Diritto di accesso dell'interessato

Fatto salvo l'articolo 15, gli Stati membri dispongono che l'interessato abbia il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:

  1. a) le finalità e la base giuridica del trattamento;

  2. b) le categorie di dati personali trattati;

  3. c) i destinatari o le categorie di destinatari a cui i dati personali sono stati comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

  4. d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

  5. e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano;

  6. f) il diritto di proporre reclamo all'autorità di controllo e le coordinate di contatto di detta autorità;

  7. g) la comunicazione dei dati personali oggetto del trattamento e di tutte le informazioni disponibili sulla loro origine.

Art. 15 Limitazioni del diritto di accesso

1. Gli Stati membri possono adottare misure legislative volte a limitare, in tutto o in parte, il diritto di accesso dell'interessato nella misura e per il tempo in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata al fine di:

  1. a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;

  2. b) non compromettere la prevenzione, l'indagine, l'accertamento e il perseguimento di reati o l'esecuzione di sanzioni penali;

  3. c) proteggere la sicurezza pubblica;

  4. d) proteggere la sicurezza nazionale;

  5. e) proteggere i diritti e le libertà altrui.

2. Gli Stati membri possono adottare misure legislative al fine di determinare le categorie di trattamenti cui possono applicarsi, in tutto o in parte, le lettere da a) a e) del paragrafo 1.

3. Nei casi di cui ai paragrafi 1 e 2, gli Stati membri dispongono che il titolare del trattamento informi l'interessato, senza ingiustificato ritardo e per iscritto, di ogni rifiuto o limitazione dell'accesso e dei motivi del rifiuto o della limitazione. Detta comunicazione può essere omessa qualora il suo rilascio rischi di compromettere una delle finalità di cui al paragrafo 1. Gli Stati membri dispongono che il titolare del trattamento informi l'interessato della possibilità di proporre reclamo dinanzi a un'autorità di controllo o di proporre ricorso giurisdizionale.

4. Gli Stati membri dispongono che il titolare del trattamento documenti i motivi di fatto o di diritto su cui si basa la decisione. Tali informazioni sono rese disponibili alle autorità di controllo.

Art. 16 Diritto di rettifica o cancellazione di dati personali e limitazione di trattamento

1. Gli Stati membri dispongono che l'interessato abbia il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, gli Stati membri dispongono che l'interessato abbia il diritto di ottenere l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.

2. Gli Stati membri impongono al titolare del trattamento di cancellare i dati personali senza ingiustificato ritardo e stabiliscono il diritto dell'interessato di ottenere dal titolare del trattamento la cancellazione di dati personali che lo riguardano senza ingiustificato ritardo qualora il trattamento violi le disposizioni adottate a norma degli articoli 4, 8 o 10 o qualora i dati personali debbano essere cancellati per conformarsi a un obbligo legale al quale è soggetto il titolare del trattamento.

3.

Anziché cancellare, il titolare del trattamento limita il trattamento quando:

  1. a) l'esattezza dei dati personali è contestata dall'interessato e la loro esattezza o inesattezza non può essere accertata; o

  2. b) i dati personali devono essere conservati a fini probatori.

Quando il trattamento è limitato a norma della lettera a), primo comma, il titolare del trattamento informa l'interessato prima di revocare la limitazione del trattamento.

4.

Gli Stati membri dispongono che il titolare del trattamento informi l'interessato per iscritto di ogni rifiuto di rettifica o cancellazione dei dati personali o limitazione del trattamento e dei motivi del rifiuto. Gli Stati membri possono adottare misure legislative volte a limitare, in tutto o in parte, l'obbligo di fornire tali informazioni nella misura in cui tale limitazione costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e dei legittimi interessi della persona fisica interessata per:

  1. a) non compromettere indagini, inchieste o procedimenti ufficiali o giudiziari;

  2. b) non compromettere la prevenzione, l'indagine, l'accertamento e il perseguimento di reati o l'esecuzione di sanzioni penali;

  3. c) proteggere la sicurezza pubblica;

  4. d) proteggere la sicurezza nazionale;

  5. e) proteggere i diritti e le libertà altrui.

Gli Stati membri dispongono che il titolare del trattamento informi l'interessato delle possibilità di proporre reclamo dinanzi a un'autorità di controllo o di proporre ricorso giurisdizionale.

5. Gli Stati membri dispongono che il titolare del trattamento comunichi le rettifiche dei dati personali inesatti all'autorità competente da cui i dati personali inesatti provengono.

6. Gli Stati membri dispongono che, qualora i dati personali siano stati rettificati o cancellati o il trattamento sia stato limitato a norma dei paragrafi 1, 2 e 3, il titolare del trattamento ne informi i destinatari e che i destinatari rettifichino o cancellino i dati personali o limitino il trattamento dei dati personali sotto la propria responsabilità.

Art. 17 Esercizio dei diritti dell'interessato e verifica da parte dell'autorità di controllo

1. Nei casi di cui all'articolo 13, paragrafo 3, all'articolo 15, paragrafo 3, e all'articolo 16, paragrafo 4, gli Stati membri adottano misure che dispongano che i diritti dell'interessato possano essere esercitati anche tramite l'autorità di controllo competente.

2. Gli Stati membri dispongono che il titolare del trattamento informi l'interessato della possibilità di esercitare i suoi diritti tramite l'autorità di controllo ai sensi del paragrafo 1.

3. Qualora sia esercitato il diritto di cui al paragrafo 1, l'autorità di controllo informa l'interessato, perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame. L'autorità di controllo informa inoltre l'interessato del diritto di quest'ultimo di proporre ricorso giurisdizionale.

Art. 18 Diritti dell'interessato nel corso di indagini e procedimenti penali

Gli Stati membri possono disporre che i diritti di cui agli articoli 13, 14 e 16 siano esercitati conformemente al diritto dello Stato membro qualora i dati personali figurino in una decisione giudiziaria, in un casellario o in un fascicolo giudiziario oggetto di trattamento nel corso di un'indagine e di un procedimento penale.

Capo IV. Titolare del trattamento e responsabile del trattamento

Sezione 1. Obblighi generali

Art. 19 Obblighi del titolare del trattamento

1. Gli Stati membri dispongono che il titolare del trattamento, tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, metta in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato ai sensi della presente direttiva. Tali misure sono riesaminate e aggiornate qualora necessario.

2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l'attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.

Art. 20 Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita

1. Gli Stati membri dispongono che il titolare del trattamento, tenuto conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso, metta in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti della presente direttiva e tutelare i diritti degli interessati.

2. Gli Stati membri dispongono che il titolare del trattamento metta in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, tali misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica.

Art. 21 Contitolari del trattamento

1. Gli Stati membri dispongono che, allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi siano contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all'osservanza della presente direttiva, con particolare riguardo all'esercizio dei diritti dell'interessato, e le rispettive funzioni di comunicazione delle informazioni di cui all'articolo 13, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell'Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo designa il punto di contatto per gli interessati. Gli Stati membri possono designare quale dei contitolari del trattamento possa fungere da punto di contatto unico ai fini dell'esercizio da parte degli interessati dei loro diritti.

2. Indipendentemente dalle disposizioni dell'accordo di cui al paragrafo 1, gli Stati membri possono disporre che l'interessato possa esercitare i propri diritti a norma delle disposizioni adottate ai sensi della presente direttiva nei confronti di e contro ciascun titolare del trattamento.

Art. 22 Responsabile del trattamento

1. Gli Stati membri dispongono che, qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorra unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti della presente direttiva e garantisca la tutela dei diritti dell'interessato.

2. Gli Stati membri dispongono che il responsabile del trattamento non ricorra a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l'opportunità di obiettare a tali modifiche.

3. Gli Stati membri dispongono che l'esecuzione dei trattamenti da parte di un responsabile del trattamento sia disciplinata da un contratto o da altro atto giuridico a norma del diritto dell'Unione o dello Stato membro, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Tale contratto o altro atto giuridico deve prevedere in particolare che il responsabile del trattamento:

  1. a) agisca soltanto su istruzione del titolare del trattamento;

  2. b) garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;

  3. c) assista il titolare del trattamento con ogni mezzo adeguato per garantire la conformità con le disposizioni relative ai diritti dell'interessato;

  4. d) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi di trattamento di dati e cancelli le copie esistenti, salvo che il diritto dell'Unione o dello Stato membro preveda la conservazione dei dati personali;

  5. e) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare la conformità con il presente articolo;

  6. f) soddisfi le condizioni di cui ai paragrafi 2 e 3 per ricorrere a un altro responsabile del trattamento.

4. Il contratto o l'altro atto giuridico di cui al paragrafo 3 è stipulato per iscritto, anche in formato elettronico.

5. Se un responsabile del trattamento determina, in violazione della presente direttiva, le finalità e i mezzi del trattamento, è considerato un titolare del trattamento relativamente al trattamento in questione.

Art. 23 Trattamento sotto l'autorità del titolare del trattamento o del responsabile del trattamento

Gli Stati membri dispongono che il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o dello Stato membro.

Art. 24 Registri delle attività di trattamento

1. Gli Stati membri dispongono che i titolari del trattamento tengano un registro di tutte le categorie di attività di trattamento sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:

  1. a) il nome e i dati di contatto del titolare del trattamento e, se del caso, di ogni contitolare del trattamento e del responsabile della protezione dei dati;

  2. b) le finalità del trattamento;

  3. c) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;

  4. d) una descrizione delle categorie di interessati e delle categorie di dati personali;

  5. e) se del caso, il ricorso alla profilazione;

  6. f) se del caso, le categorie di trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale;

  7. g) un'indicazione della base giuridica del trattamento, compresi i trasferimenti, al quale sono destinati i dati personali;

  8. h) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati personali;

  9. i) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 29, paragrafo 1.

2. Gli Stati membri dispongono che tutti i responsabili del trattamento tengano un registro di tutte le categorie di attività di trattamento svolte per conto di un titolare del trattamento, contenente:

  1. a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce e, se del caso, del responsabile della protezione dei dati;

  2. b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;

  3. c) se del caso, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale ove esplicitamente istruito in tal senso dal titolare del trattamento, compresa l'identificazione del paese terzo o dell'organizzazione internazionale;

  4. d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 29, paragrafo 1.

3.

I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico.

Su richiesta, il titolare del trattamento e il responsabile del trattamento mettono tali registri a disposizione dell'autorità di controllo.

Art. 25 Registrazione

1. Gli Stati membri dispongono che siano registrati in sistemi di trattamento automatizzato almeno i seguenti trattamenti: raccolta, modifica, consultazione, comunicazione, inclusi i trasferimenti, interconnessione e cancellazione. Le registrazioni delle consultazioni e delle comunicazioni consentono di stabilire la motivazione, la data e l'ora di tali operazioni e, nella misura del possibile, di identificare la persona che ha consultato o comunicato i dati personali, nonché di stabilire l'identità dei destinatari di tali dati personali.

2. Le registrazioni sono usate ai soli fini della verifica della liceità del trattamento, dell'autocontrollo, per garantire l'integrità e la sicurezza dei dati personali e nell'ambito di procedimenti penali.

3. Su richiesta, il titolare del trattamento e il responsabile del trattamento mettono le registrazioni a disposizione dell'autorità di controllo.

Art. 26 Cooperazione con l'autorità di controllo

Gli Stati membri dispongono che il titolare del trattamento e il responsabile del trattamento cooperino, su richiesta, con l'autorità di controllo nell'esecuzione dei suoi compiti.

Art. 27 Valutazione d'impatto sulla protezione dei dati

1. Quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'ambito di applicazione, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, gli Stati membri dispongono che il titolare del trattamento effettui, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali.

2. La valutazione di cui al paragrafo 1 contiene almeno una descrizione generale dei trattamenti previsti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per affrontare tali rischi, le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità alla presente direttiva, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

Fonti e licenze