diritto.io

Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio

Testo in vigore al

Art. 42 Indipendenza

1. Ogni Stato membro dispone che ciascuna autorità di controllo agisca in piena indipendenza nell'adempimento dei propri compiti e nell'esercizio dei propri poteri previsti dalla presente direttiva.

2. Gli Stati membri dispongono che, nell'adempimento dei rispettivi compiti e nell'esercizio dei rispettivi poteri previsti dalla presente direttiva, il membro o i membri delle rispettive autorità di controllo non subiscano pressioni esterne, né dirette, né indirette, e non sollecitino né accettino istruzioni da alcuno.

3. I membri delle autorità di controllo degli Stati membri si astengono da qualunque azione incompatibile con le loro funzioni e per tutta la durata del mandato non possono esercitare alcuna altra attività incompatibile, remunerata o meno.

4. Ogni Stato membro provvede affinché ciascuna autorità di controllo sia dotata delle risorse umane, tecniche e finanziarie, dei locali e delle infrastrutture necessari per l'effettivo adempimento dei propri compiti e l'esercizio dei propri poteri, compresi quelli nell'ambito dell'assistenza reciproca, della cooperazione e della partecipazione al comitato.

5. Ogni Stato membro provvede affinché ciascuna autorità di controllo selezioni e disponga di personale proprio, soggetto alla direzione esclusiva del membro o dei membri dell'autorità di controllo in questione.

6. Ogni Stato membro garantisce che ciascuna autorità di controllo sia soggetta a un controllo finanziario che non ne pregiudichi l'indipendenza e disponga di bilanci annuali, separati e pubblici, che possono far parte del bilancio generale statale o nazionale.

Art. 43 Condizioni generali per i membri dell'autorità di controllo

1. Gli Stati membri dispongono che ciascun membro delle rispettive autorità di controllo sia nominato attraverso una procedura trasparente:

dal rispettivo parlamento;

dal rispettivo governo;

dal rispettivo capo di Stato; o

da un organismo indipendente incaricato della nomina ai sensi del diritto dello Stato membro.

2. Ogni membro possiede le qualifiche, l'esperienza e le competenze, in particolare nel settore della protezione dei dati personali, richieste per l'esercizio delle sue funzioni e dei suoi poteri.

3. Il mandato dei membri cessa alla scadenza del termine o in caso di dimissioni o di provvedimento d'ufficio, a norma del diritto dello Stato membro interessato.

4. Un membro è rimosso solo in casi di colpa grave o se non soddisfa più le condizioni richieste per l'esercizio delle sue funzioni.

Art. 44 Norme sull'istituzione dell'autorità di controllo

1. Ogni Stato membro prevede con legge tutte le condizioni seguenti:

  1. a) l'istituzione di ciascuna autorità di controllo;

  2. b) le qualifiche e le condizioni di idoneità richieste per essere nominato membro di ciascuna autorità di controllo;

  3. c) le norme e le procedure per la nomina del membro o dei membri di ciascuna autorità di controllo;

  4. d) la durata del mandato del membro o dei membri di ciascuna autorità di controllo non inferiore a quattro anni, salvo per le prime nomine dopo il 6 maggio 2016, alcune delle quali possono avere una durata inferiore qualora ciò sia necessario per tutelare l'indipendenza dell'autorità di controllo mediante una procedura di nomina scaglionata;

  5. e) l'eventuale rinnovabilità e, in caso positivo, il numero di rinnovi del mandato del membro o dei membri di ciascuna autorità di controllo;

  6. f) le condizioni che disciplinano gli obblighi del membro o dei membri e del personale di ciascuna autorità di controllo, i divieti relativi ad attività, professioni e benefici incompatibili con tali obblighi durante e dopo il mandato e le regole che disciplinano la cessazione del rapporto di lavoro.

2. Il membro o i membri e il personale di ogni autorità di controllo sono tenuti, in virtù del diritto dell'Unione o degli Stati membri, al segreto professionale in merito alle informazioni riservate cui hanno avuto accesso nell'esecuzione dei loro compiti o nell'esercizio dei loro poteri, sia durante che dopo il mandato. Per tutta la durata del loro mandato, tale obbligo del segreto professionale si applica in particolare alle segnalazioni da parte di persone fisiche di violazioni della presente direttiva.

Sezione 2. Competenza, compiti e poteri

Art. 45 Competenza

1. Ogni Stato membro dispone che ciascuna autorità di controllo sia competente a eseguire i compiti assegnati e a esercitare i poteri a essa conferiti, ai sensi della presente direttiva nel territorio del rispettivo Stato membro.

2. Ogni Stato membro dispone che ciascuna autorità di controllo non sia preposta a controllare i trattamenti effettuati dalle autorità giurisdizionali nell'esercizio delle loro funzioni giurisdizionali. Gli Stati membri possono disporre che le rispettive autorità di controllo non siano competenti per il controllo dei trattamenti effettuati da altre autorità giurisdizionali indipendenti nell'esercizio delle loro funzioni giurisdizionali.

Art. 46 Compiti

1. Ogni Stato membro dispone che sul proprio territorio ciascuna autorità di controllo:

  1. a) sorvegli e assicuri l'applicazione delle disposizioni adottate a norma della presente direttiva e delle relative misure di esecuzione;

  2. b) promuova la sensibilizzazione e favorisca la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento;

  3. c) fornisca consulenza, a norma del diritto dello Stato membro, al parlamento nazionale, al governo e ad altri organismi e istituzioni in merito alle misure legislative e amministrative relative alla tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento;

  4. d) promuova la consapevolezza dei titolari del trattamento e dei responsabili del trattamento degli obblighi imposti loro dalla presente direttiva;

  5. e) su richiesta, fornisca informazioni all'interessato in merito all'esercizio dei propri diritti derivanti dalla presente direttiva e, se del caso, cooperi a tal fine con le autorità di controllo di altri Stati membri;

  6. f) tratti i reclami proposti da un interessato, o da un organismo, un'organizzazione o un'associazione ai sensi dell'articolo 55, e svolga le indagini opportune sull'oggetto del reclamo e informi il reclamante dello stato e dell'esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un'altra autorità di controllo;

  7. g) verifichi la liceità del trattamento ai sensi dell'articolo 17 e informi l'interessato entro un termine ragionevole dell'esito della verifica ai sensi del paragrafo 3 di tale articolo, o dei motivi per cui non è stata effettuata;

  8. h) collabori, anche tramite scambi di informazioni, con le altre autorità di controllo e presti assistenza reciproca al fine di garantire l'applicazione e l'attuazione coerente della presente direttiva;

  9. i) svolga indagini sull'applicazione della presente direttiva, anche sulla base di informazioni ricevute da un'altra autorità di controllo o da un'altra autorità pubblica;

  10. j) sorvegli gli sviluppi che presentano un interesse, se ed in quanto incidenti sulla protezione dei dati personali, in particolare l'evoluzione delle tecnologie dell'informazione e della comunicazione;

  11. k) fornisca consulenza in merito ai trattamenti di cui all'articolo 28; e

  12. l) contribuisca alle attività del comitato.

2. Ogni autorità di controllo agevola la proposizione di reclami di cui al paragrafo 1, lettera f), tramite provvedimenti quali, ad esempio, la messa a disposizione di un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.

3. Ogni autorità di controllo svolge i propri compiti senza spese né per l'interessato né per il titolare della protezione dei dati.

4. Qualora una richiesta sia manifestamente infondata o eccessiva, in particolare in quanto ripetitiva, l'autorità di controllo può addebitare un contributo spese ragionevole basato sui propri costi amministrativi o può rifiutare di soddisfare la richiesta. Incombe all'autorità di controllo dimostrare che la richiesta è manifestamente infondata o eccessiva.

Art. 47 Poteri

1. Ogni Stato membro dispone per legge che ciascuna autorità di controllo abbia poteri d'indagine effettivi. Tali poteri comprendono almeno il potere di ottenere, dal titolare del trattamento e dal responsabile del trattamento, l'accesso a tutti i dati personali oggetto del trattamento e a tutte le informazioni necessarie per l'adempimento dei suoi compiti.

2. Ogni Stato membro dispone per legge che ciascuna autorità di controllo abbia poteri correttivi effettivi, come ad esempio:

  1. a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni adottate a norma della presente direttiva;

  2. b) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni adottate a norma della presente direttiva, se del caso, in una determinata maniera ed entro un determinato termine, ordinando in particolare la rettifica o la cancellazione di dati personali o la limitazione del trattamento ai sensi dell'articolo 16;

  3. c) imporre un limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento.

3. Ogni Stato membro dispone per legge che ciascuna autorità di controllo abbia poteri consultivi effettivi per fornire consulenza al titolare del trattamento, secondo la procedura di consultazione preventiva di cui all'articolo 28, e per formulare, di propria iniziativa o su richiesta, pareri destinati al proprio parlamento nazionale e al proprio governo dello Stato membro, oppure, conformemente al proprio diritto nazionale, ad altri istituzioni e organismi nonché al pubblico su questioni riguardanti la protezione dei dati personali.

4. L'esercizio da parte di un'autorità di controllo dei poteri attribuitile dal presente articolo è soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell'Unione e dello Stato membro conformemente alla Carta.

5. Ogni Stato membro dispone per legge che ciascuna autorità di controllo abbia il potere di sottoporre all'attenzione di autorità giudiziarie violazioni delle disposizioni adottate a norma della presente direttiva e, se del caso, di intentare un'azione o di agire in sede giudiziale, per far rispettare le disposizioni adottate a norma della presente direttiva.

Art. 48 Segnalazione di violazioni

Gli Stati membri dispongono che le autorità competenti pongano in essere meccanismi efficaci per incoraggiare la segnalazione riservata di violazioni della presente direttiva.

Art. 49 Relazioni di attività

Ogni autorità di controllo elabora una relazione annuale sulla propria attività, in cui può figurare un elenco delle tipologie di violazioni notificate e di sanzioni imposte. Tali relazioni sono trasmesse al parlamento nazionale, al governo e alle altre autorità designate dal diritto dello Stato membro. Esse sono messe a disposizione del pubblico, della Commissione e del comitato.

Capo VII. Cooperazione

Art. 50 Assistenza reciproca

1. Ogni Stato membro dispone che le rispettive autorità di controllo si scambino le informazioni utili e si prestino assistenza reciproca al fine di attuare e applicare la presente direttiva in maniera coerente, e mettano in atto misure per cooperare efficacemente tra loro. L'assistenza reciproca comprende, in particolare, le richieste di informazioni e le misure di controllo, quali le richieste di effettuare consultazioni, ispezioni e indagini.

2. Ogni Stato membro dispone che ciascuna autorità di controllo adotti tutte le misure opportune necessarie per dare seguito a una richiesta di un'altra autorità di controllo senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Tali misure possono consistere, in particolare, nella trasmissione di informazioni utili sullo svolgimento di un'indagine.

3. Le richieste di assistenza contengono tutte le informazioni necessarie, compresi lo scopo e i motivi della richiesta. Le informazioni scambiate sono utilizzate ai soli fini per cui sono state richieste.

4. L'autorità di controllo cui è presentata la richiesta non deve rifiutare di darvi seguito, salvo che:

  1. a) non sia competente per trattare l'oggetto della richiesta o per le misure cui deve dare esecuzione; o

  2. b) l'intervento richiesto violerebbe la presente direttiva o il diritto dell'Unione o dello Stato membro cui è soggetta l'autorità di controllo che riceve la richiesta.

5. L'autorità di controllo che riceve la richiesta informa l'autorità di controllo richiedente dell'esito o, se del caso, dei progressi delle misure adottate per rispondere alla richiesta. L'autorità di controllo che riceve la richiesta fornisce le motivazioni del rifiuto di darvi seguito ai sensi del paragrafo 4.

6. Di norma, le autorità di controllo che ricevono le richieste forniscono, con mezzi elettronici, usando un modulo standard, le informazioni richieste da altre autorità di controllo.

7. Le autorità di controllo che ricevono le richieste non addebitano un contributo spese per le misure da loro adottate a seguito di una richiesta di assistenza reciproca. Le autorità di controllo possono concordare di concedersi gli indennizzi per spese specifiche risultanti dalla prestazione di assistenza reciproca in circostanze eccezionali.

8. La Commissione può, mediante atti di esecuzione, specificare il formato e le procedure per l'assistenza reciproca di cui al presente articolo e le modalità per lo scambio di informazioni con mezzi elettronici tra autorità di controllo e tra le autorità di controllo e il comitato. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 58, paragrafo 2.

Art. 51 Compiti del comitato

1.

Il comitato istituito dal regolamento (UE) 2016/679 adempie tutti i seguenti compiti in relazione ai trattamenti rientranti nell'ambito di applicazione della presente direttiva:

  1. a) consiglia la Commissione in merito a qualsiasi questione relativa alla protezione dei dati personali nell'Unione, comprese eventuali proposte di modifica della presente direttiva;

  2. b) esamina, di propria iniziativa, su richiesta di uno dei suoi membri o della Commissione, qualsiasi questione relativa all'applicazione della presente direttiva e pubblica linee guida, raccomandazioni e migliori prassi al fine di promuovere l'applicazione coerente della presente direttiva;

  3. c) elabora linee guida per le autorità di controllo concernenti l'applicazione delle misure di cui all'articolo 47, paragrafi 1 e 3;

  4. d) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera b) del presente comma, per accertare la violazione di dati personali e determinare l'ingiustificato ritardo di cui all'articolo 30, paragrafi 1 e 2, e le circostanze particolari in cui il titolare del trattamento o il responsabile del trattamento è tenuto a notificare la violazione dei dati personali;

  5. e) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera b) del presente comma relative alle circostanze in cui una violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche di cui all'articolo 31, paragrafo 1;

  6. f) valuta l’applicazione pratica delle linee guida, raccomandazioni e migliori prassi;

  7. g) trasmette alla Commissione un parere per valutare l'adeguatezza del livello di protezione in un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo o in un'organizzazione internazionale, come pure per valutare se tale paese terzo, territorio, settore specifico o organizzazione internazionale non garantiscano più un livello adeguato di protezione;

  8. h) promuove la cooperazione e l'effettivo scambio di informazioni e migliori prassi tra le autorità di controllo a livello bilaterale e multilaterale;

  9. i) promuove programmi comuni di formazione e facilita lo scambio di personale tra le autorità di controllo e, se del caso, con le autorità di controllo di paesi terzi o con organizzazioni internazionali;

  10. j) promuove lo scambio di conoscenze e documentazione sul diritto e sulle prassi in materia di protezione dei dati tra autorità di controllo di tutto il mondo.

Con riguardo alla lettera g), primo comma, la Commissione fornisce al comitato tutta la documentazione necessaria, inclusa la corrispondenza con il governo del paese terzo, con il territorio o il settore specifico all'interno di tale paese terzo o con l'organizzazione internazionale.

2. Qualora chieda consulenza al comitato, la Commissione può indicare un termine, tenuto conto dell'urgenza della questione.

3. Il comitato trasmette pareri, linee guida, raccomandazioni e migliori prassi alla Commissione e al comitato di cui all'articolo 58, paragrafo 1, e li pubblica.

4. La Commissione informa il comitato del seguito dato ai suoi pareri, linee guida, raccomandazioni e migliori prassi.

Capo VIII. Ricorsi, responsabilità e sanzioni

Art. 52 Diritto di proporre reclamo all'autorità di controllo

1. Gli Stati membri dispongono che, fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento dei dati personali che lo riguardano violi le disposizioni adottate a norma della presente direttiva abbia il diritto di proporre reclamo a un'unica autorità di controllo.

2. Gli Stati membri dispongono che l'autorità di controllo a cui è stato proposto il reclamo lo trasmetta senza ingiustificato ritardo all'autorità di controllo competente qualora il reclamo non sia proposto a quest'ultima ai sensi dell'articolo 45, paragrafo 1,. L'interessato è informato della trasmissione.

3. Gli Stati membri dispongono che l'autorità di controllo a cui sia stato proposto il reclamo fornisca ulteriore assistenza su richiesta dell'interessato.

4. L'autorità di controllo competente informa l'interessato dello stato o dell'esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell'articolo 53.

Art. 53 Diritto a un ricorso giurisdizionale effettivo nei confronti dell'autorità di controllo

1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, gli Stati membri prevedono il diritto di una persona fisica o giuridica a un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell'autorità di controllo che la riguarda.

2. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l'autorità di controllo che sia competente ai sensi dell'articolo 45, paragrafo 1, non tratti un reclamo o non lo informi entro tre mesi dello stato o dell'esito del reclamo proposto ai sensi dell'articolo 52.

3. Gli Stati membri dispongono che le azioni nei confronti dell'autorità di controllo siano promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l'autorità di controllo è stabilita.

Art. 54 Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento

Gli Stati membri dispongono che, fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un'autorità di controllo ai sensi dell'articolo 52, l'interessato abbia il diritto a un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode ai sensi delle disposizioni adottate a norma della presente direttiva siano stati violati a seguito del trattamento dei propri dati personali in violazione di tali disposizioni.

Art. 55 Rappresentanza degli interessati

Gli Stati membri dispongono che, conformemente al diritto processuale dello Stato membro, l'interessato abbia il diritto di dare mandato a un organismo, un'organizzazione o un'associazione senza scopo di lucro, che siano debitamente costituiti secondo il diritto dello Stato membro, abbiano obiettivi statutari che siano di pubblico interesse e siano attivi nel settore della tutela dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali, di proporre il reclamo per suo conto e di esercitare per suo conto i diritti di cui agli articoli 52, 53 e 54.

Art. 56 Diritto al risarcimento

Gli Stati membri dispongono che chiunque subisca un danno materiale o immateriale cagionato da un trattamento illecito o da qualsiasi altro atto che violi le disposizioni adottate a norma della presente direttiva abbia il diritto di ottenere il risarcimento del danno dal titolare del trattamento o da altra autorità competente in base al diritto dello Stato membro.

Art. 57 Sanzioni

Gli Stati membri stabiliscono le norme relative alle sanzioni applicabili in caso di violazione delle disposizioni adottate a norma della presente direttiva e adottano tutti i provvedimenti necessari per assicurarne l'applicazione. Le sanzioni previste devono essere effettive, proporzionate e dissuasive.

Capo IX. Atti di esecuzione

Capo X. Disposizioni finali

Art. 59 Abrogazione della decisione quadro 2008/977/GAI

1. La decisione quadro 2008/977/GAI è abrogata a decorrere dal 6 maggio 2018.

2. I riferimenti alla decisione abrogata di cui al paragrafo 1 si intendono fatti alla presente direttiva.

Art. 60 Atti giuridici dell'Unione già in vigore

Rimangono impregiudicate le disposizioni specifiche per la protezione dei dati personali contenute in atti giuridici dell'Unione che sono entrati in vigore il o anteriormente al 6 maggio 2016 nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia, che disciplinano il trattamento tra Stati membri e l'accesso delle autorità nazionali designate ai sistemi d'informazione istituiti ai sensi dei trattati, nell'ambito di applicazione della presente direttiva.

Art. 61 Rapporto con gli accordi internazionali precedentemente conclusi nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia

Restano in vigore, fino alla loro modifica, sostituzione o revoca, gli accordi internazionali relativi al trasferimento di dati personali verso paesi terzi o organizzazioni internazionali che sono stati conclusi dagli Stati membri anteriormente al 6 maggio 2016 e che sono conformi al diritto dell'Unione applicabile anteriormente a tale data.

Art. 62 Relazioni della Commissione

1. Entro il 6 maggio 2022 e, successivamente, ogni quattro anni, la Commissione trasmette al Parlamento europeo e al Consiglio una relazione di valutazione e sul riesame della presente direttiva. Tale relazione è pubblicata.

2. Nel contesto delle valutazioni e dei riesami di cui al paragrafo 1 la Commissione esamina, in particolare, l'applicazione e il funzionamento del capo V sul trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, con particolare riguardo alle decisioni adottate ai sensi dell'articolo 36, paragrafo 3, e dell'articolo 39.

3. Ai fini dei paragrafi 1 e 2 la Commissione può richiedere informazioni agli Stati membri e alle autorità di controllo.

4. Nello svolgere le valutazioni e i riesami di cui ai paragrafi 1 e 2, la Commissione tiene conto delle posizioni e delle conclusioni del Parlamento europeo, del Consiglio, nonché di altri organismi o fonti pertinenti.

5. Se del caso, la Commissione presenta opportune proposte di modifica della presente direttiva tenuto conto, in particolare, degli sviluppi delle tecnologie dell'informazione e dei progressi della società dell'informazione.

6. Entro il 6 maggio 2019, la Commissione riesamina gli altri atti giuridici adottati dall'Unione che disciplinano il trattamento da parte delle autorità competenti per le finalità di cui all'articolo 1, paragrafo 1, in particolare quelli di cui all'articolo 60, al fine di valutare la necessità di allinearli alla presente direttiva e formulare, ove opportuno, le proposte necessarie per modificarli in modo da garantire un approccio coerente alla protezione dei dati personali nell'ambito della presente direttiva.

Fonti e licenze