diritto.io

Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio del 18 dicembre 2000 concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati

Testo in vigore al

Art. 8

Trasferimento di dati personali a destinatari diversi da istituzioni e da organismi comunitari e soggetti alla direttiva 95/46/CE Fatti salvi gli articoli 4, 5, 6 e 10, è consentito trasferire dati personali a destinatari soggetti alla normativa nazionale adottata in attuazione della direttiva 95/46/CE soltanto:

  1. a) se il destinatario dimostra che i dati sono necessari per l'espletamento di compiti nel pubblico interesse o che rientrano nell'esercizio della pubblica autorità; oppure

  2. b) se il destinatario dimostra la necessità di trasmettergli tali dati e se non sussistono ragioni per presumere che possano subire pregiudizio interessi legittimi degli interessati.

Art. 9

Trasferimento di dati personali a destinatari diversi da istituzioni e da organismi comunitari e non soggetti alla direttiva 95/46/CE

1. È consentito trasferire dati personali a destinatari che non siano le istituzioni e gli organismi comunitari né siano soggetti alla normativa nazionale adottata in attuazione della direttiva 95/46/CE se nel paese del destinatario o all'interno dell'organizzazione internazionale destinataria è assicurato un livello adeguato di protezione e se il trasferimento dei dati avviene strettamente nell'ambito dei compiti che rientrano nelle competenze del responsabile del trattamento.

2. L'adeguatezza del livello di protezione garantito dal paese terzo o dall'organizzazione internazionale in questione è valutata tenendo conto di tutte le circostanze relative ad un'operazione o ad un insieme di operazioni di trasferimento dei dati. In particolare sono presi in considerazione la natura dei dati, la finalità e la durata del trattamento previsto, il paese terzo o l'organizzazione internazionale destinatario, la normativa, generale o settoriale, vigente in tale paese o organizzazione internazionale, nonché le regole professionali e le misure di sicurezza osservate in quel paese o dall'organizzazione internazionale.

3. Le istituzioni e gli organismi comunitari informano la Commissione e il garante europeo della protezione dei dati circa i casi in cui a loro parere il paese terzo o l'organizzazione internazionale in questione non assicurano un livello adeguato di protezione ai sensi del paragrafo 2.

4. La Commissione informa gli Stati membri dei casi di cui al paragrafo 3.

5. Le istituzioni e gli organismi comunitari adottano le misure necessarie per conformarsi alle decisioni della Commissione che constatano, in applicazione dell'articolo 25, paragrafi 4 e 6 della direttiva 95/46/CE, che un paese terzo o un'organizzazione internazionale assicura o non assicura un livello adeguato di protezione.

6. In deroga ai paragrafi 1 e 2, le istituzioni e gli organismi comunitari possono trasferire dati personali a condizione che:

  1. a) L'interessato abbia manifestato in maniera inequivocabile il proprio consenso al trasferimento previsto, oppure

  2. b) il trasferimento sia necessario all'esecuzione di un contratto concluso tra l'interessato ed il responsabile del trattamento ovvero all'esecuzione di misure precontrattuali prese a richiesta di tale persona, oppure

  3. c) il trasferimento sia necessario per la conclusione o l'esecuzione di un contratto stipulato tra il responsabile del trattamento e un terzo a favore dell'interessato, oppure

  4. d) il trasferimento sia necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante, ovvero per accertare, esercitare o difendere un diritto in via giudiziale, oppure

  5. e) il trasferimento sia necessario per la salvaguardia di interessi vitali dell'interessato, oppure

  6. f) il trasferimento sia effettuato a partire da un registro che, a norma del diritto comunitario, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, purché sussistano i requisiti per la consultazione previsti dalla normativa comunitaria.

7. Fatto salvo il paragrafo 6, il garante europeo della protezione dei dati può autorizzare un trasferimento, o un insieme di trasferimenti, di dati personali verso un paese terzo o un'organizzazione internazionale che non assicura un adeguato livello di protezione ai sensi dei paragrafi 1 e 2, se il responsabile del trattamento offre garanzie sufficienti per quanto riguarda la protezione della vita privata, delle libertà e dei diritti fondamentali delle persone, nonché per quanto riguarda l'esercizio dei relativi diritti; dette garanzie possono, in particolare, figurare in specifiche clausole contrattuali.

8. Le istituzioni e gli organismi comunitari informano il garante europeo della protezione dei dati in merito alle categorie di casi di applicazione del paragrafo 6 e 7.

Sezione 3. Categorie particolari di trattamento

Art. 10

Trattamento di categorie particolari di dati

1. È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, come pure trattare dati relativi alla salute e alla vita sessuale.

2. Il paragrafo 1 non si applica quando:

  1. a) l'interessato ha dato il proprio consenso esplicito a tale trattamento, eccezion fatta nel caso in cui la regolamentazione interna dell'istituzione o dell'organismo comunitario prevedano che il consenso dell'interessato non possa fare venir meno il divieto di cui al paragrafo 1, oppure

  2. b) il trattamento in questione è necessario per assolvere agli obblighi ed esercitare i diritti specifici del responsabile del trattamento in materia di diritto del lavoro, se ed in quanto esso sia consentito in forza dei trattati che istituiscono le Comunità europee o di altri atti normativi adottati in base ad essi o, se necessario, nella misura in cui sia autorizzato dal garante europeo della protezione dei dati con adeguate misure di salvaguardia, oppure

  3. c) il trattamento in questione è necessario per salvaguardare un interesse vitale dell'interessato o di un'altra persona, qualora l'interessato si trovi nell'incapacità fisica o giuridica di dare il proprio consenso, oppure

  4. d) il trattamento riguarda dati resi manifestamente pubblici dall'interessato o è necessario per accertare, esercitare o difendere un diritto in via giudiziale, oppure

  5. e) il trattamento in questione è eseguito, nell'ambito delle sue legittime attività e con adeguate garanzie, da un organismo senza fini di lucro che costituisca un ente integrato in un'istituzione o in un organismo comunitario cui in virtù dell'articolo 4 della direttiva 95/46/CE non si applica la normativa nazionale sulla protezione dei dati e che si prefigga finalità politiche, filosofiche, religiose o sindacali, purché il trattamento in questione riguardi unicamente i membri di detto organismo ovvero persone che sono in regolare contatto con esso per finalità connesse a quelle dell'organismo stesso e i dati non siano comunicati a terzi senza il consenso dell'interessato.

3. Il paragrafo 1 non si applica quando il trattamento dei dati è necessario in ambito medico per finalità di prevenzione, diagnosi, assistenza sanitaria o terapia ovvero gestione di centri di cura, e quando il trattamento dei medesimi dati è effettuato da un professionista della sanità vincolato al segreto professionale o da un'altra persona del pari soggetta a un equivalente obbligo di segretezza.

4. Purché siano fornite le garanzie del caso, e per motivi di interesse pubblico rilevante, oltre alle deroghe di cui al paragrafo 2, è possibile disporre ulteriori deroghe, previste dai trattati che istituiscono le Comunità europee o da altri atti normativi adottati in base ad essi o, se necessario, con una decisione del garante europeo della protezione dei dati.

5. I dati relativi ad infrazioni, condanne penali o misure di sicurezza possono essere oggetto di trattamento unicamente qualora ciò sia autorizzato dai trattati che istituiscono le Comunità europee o da altri atti normativi adottati in base ad essi, oppure, se necessario, dal garante europeo della protezione dei dati, fatte salve appropriate garanzie specifiche.

6. Il garante europeo della protezione dei dati stabilisce le condizioni alle quali un numero personale o qualsiasi altro mezzo d'identificazione d'uso generale può essere trattato da un'istituzione o un organismo della Comunità.

Sezione 4. Informazione degli interessati

Art. 11

Informazioni da fornire nel caso in cui i dati siano raccolti presso l'interessato

1.

Il responsabile del trattamento deve fornire all'interessato presso il quale effettua la raccolta dei dati che lo riguardano almeno le informazioni elencate qui di seguito, salvo che tale persona non ne disponga già:

  1. a) l'identità del responsabile del trattamento;

  2. b) le finalità del trattamento cui sono destinati i dati richiesti;

  3. c) i destinatari o le categorie di destinatari dei dati;

  4. d) il carattere obbligatorio o facoltativo delle risposte alle domande, nonché le possibili conseguenze di una mancata risposta;

  5. e) l'esistenza di diritti di accesso e di rettifica in merito ai dati che riguardano l'interessato;

  6. f) eventuali informazioni supplementari quali:

  7. i) il fondamento giuridico del trattamento cui sono destinati i dati,

  8. ii) i limiti di tempo per la conservazione dei dati,

  9. iii) il diritto di rivolgersi in qualsiasi momento al garante europeo della protezione dei dati,

nella misura in cui tali informazioni supplementari siano necessarie, considerate le circostanze specifiche della raccolta dei dati, per garantire un corretto trattamento dei dati dell'interessato.

2. In deroga al paragrafo 1 la comunicazione delle informazioni in questione o di una parte di esse, tranne le informazioni di cui al paragrafo 1, lettere a), b) e d) può essere differita per il tempo necessario a fini statistici. Le informazioni devono essere fornite non appena vengano meno i motivi che ne impedivano la divulgazione.

Art. 12

Informazioni da fornire nel caso in cui i dati non siano stati raccolti presso l'interessato

1.

Qualora i dati non siano stati raccolti presso l'interessato, il responsabile del trattamento deve, al momento della registrazione dei dati personali, ovvero, qualora ne sia prevista la comunicazione a terzi, entro la prima comunicazione dei dati stessi fornire all'interessato, almeno le informazioni elencate qui di seguito, salvo che tale persona già non ne disponga:

  1. a) l'identità del responsabile del trattamento;

  2. b) le finalità del trattamento;

  3. c) le categorie di dati in questione;

  4. d) i destinatari o le categorie di destinatari dei dati;

  5. e) l'esistenza di diritti di accesso e di rettifica in merito ai dati che riguardano l'interessato;

  6. f) eventuali informazioni supplementari quali:

  7. i) il fondamento giuridico del trattamento cui sono destinati i dati,

  8. ii) i limiti di tempo per la conservazione dei dati,

  9. iii) il diritto di rivolgersi in qualsiasi momento al garante europeo della protezione dei dati,

  10. iv) l'origine dei dati, a meno che motivi connessi al segreto professionale non impediscano al responsabile del trattamento di renderla nota,

nella misura in cui tali informazioni supplementari siano necessarie, considerate le circostanze specifiche della raccolta dei dati, per garantire un corretto trattamento dei dati dell'interessato.

2. Il paragrafo 1 non si applica qualora, in particolare nel trattamento di dati a scopi statistici ovvero di ricerca storica o scientifica, risulti impossibile o sproporzionatamente difficile informare l'interessato, oppure quando la registrazione o la comunicazione dei dati sia espressamente prescritta dal diritto comunitario. In questi casi le istituzioni o gli organismi comunitari prevedono garanzie appropriate, previa consultazione del garante europeo della protezione dei dati.

Sezione 5. Diritti dell'interessato

Art. 13

Diritto di accesso Entro tre mesi dalla ricezione della richiesta d'informazioni, ogni interessato ha il diritto di ottenere liberamente, in qualunque momento e gratuitamente dal responsabile del trattamento:

  1. a) la conferma che sia o meno in corso un trattamento di dati che lo riguardano;

  2. b) informazioni almeno sulle finalità del trattamento, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui vengono comunicati i dati;

  3. c) la comunicazione in forma intelligibile dei dati oggetto del trattamento nonché di tutte le informazioni disponibili sulla loro origine;

  4. d) informazioni sulla logica cui risponde qualsiasi trattamento automatizzato dei dati che la riguardano.

Art. 14

Rettifica

L'interessato ha il diritto di ottenere dal responsabile del trattamento la pronta rettifica di dati personali inesatti o incompleti.

Art. 15

Blocco

1. L'interessato ha il diritto di ottenere dal responsabile del trattamento il blocco dei dati nei casi seguenti:

  1. a) quando sono oggetto di contestazione da parte dell'interessato, per un tempo tale da consentire al responsabile del trattamento di verificarne l'esattezza, inclusa la completezza, oppure

  2. b) quando, benché il responsabile del trattamento non ne abbia più bisogno per l'esercizio delle sue funzioni, occorre conservarli in quanto elementi di prova, oppure

  3. c) quando il trattamento cui sono stati sottoposti è illecito e l'interessato si oppone alla loro cancellazione e ne domanda invece il blocco.

2. Nei sistemi automatici di archiviazione, il blocco va assicurato in linea di massima mediante dispositivi tecnici. Il sistema deve indicare che i dati personali sono stati bloccati in modo da rendere evidente che non possono essere utilizzati.

3. I dati personali bloccati in applicazione del presente articolo sono oggetto di trattamento, ad eccezione delle operazioni volte a garantirne la conservazione, soltanto a fini probatori, o con il consenso dell'interessato ovvero per tutelare i diritti di terzi.

4. Prima che i dati siano sbloccati, il responsabile del trattamento ne informa l'interessato che ha chiesto e ottenuto il blocco dei dati che lo riguardano.

Art. 16

Cancellazione

L'interessato ha il diritto di ottenere dal responsabile del trattamento la cancellazione di dati se il trattamento cui sono stati sottoposti si rivela illecito, in particolare in caso di violazione delle disposizioni di cui alle Sezioni 1, 2 e 3 del Capo II.

Art. 17

Notificazione a terzi

L'interessato ha il diritto di ottenere che il responsabile del trattamento notifichi eventuali rettifiche, cancellazioni o blocchi ai sensi degli articoli 13, 14, 15 e 16 ai terzi ai quali sono stati comunicati i dati blocchi, a meno che la notificazione non risulti impossibile o sproporzionatamente difficile.

Art. 18

Diritto di opposizione dell'interessato L'interessato ha il diritto di:

  1. a) opporsi in qualsiasi momento, per motivi preminenti e legittimi connessi alla sua situazione particolare, al trattamento di dati che lo riguardano, salvo nei casi previsti dall'articolo 5, lettere b), c) e d). Qualora l'opposizione si riveli fondata, tali dati non possono più essere oggetto del trattamento;

  2. b) essere informato prima che i dati personali siano comunicati per la prima volta a terzi o siano utilizzati per conto di questi ultimi a fini di propaganda commerciale diretta e di essere messo espressamente al corrente della possibilità di opporsi senza oneri a tale comunicazione o utilizzazione.

Art. 19

Decisioni individuali automatiche

L'interessato ha il diritto di non essere sottoposto a una decisione che produca effetti giuridici o abbia effetti significativi nei suoi confronti basata solo su un trattamento automatizzato di dati per valutare taluni aspetti personali che lo riguardano, quali il rendimento professionale, l'affidabilità o il comportamento, salvo che la decisione sia espressamente autorizzata dalla normativa nazionale o comunitaria o, se necessario, dal garante europeo della protezione dei dati. In entrambi i casi devono essere adottate misure volte a salvaguardare i legittimi interessi dell'interessato, ad esempio facendo in modo che questi possa esprimere il proprio parere.

Sezione 6. Deroghe e limitazioni

Art. 20

Deroghe e limitazioni

1. Le istituzioni e gli organismi comunitari possono limitare l'applicazione dell'articolo 4, paragrafo 1, dell'articolo 11, dell'articolo 12, paragrafo 1, degli articoli 13, 14, 15, 16 e 17 e dell'articolo 37, paragrafo 1 se e in quanto necessario per salvaguardare:

  1. a) le attività volte a prevenire, indagare, accertare e perseguire reati;

  2. b) importanti interessi economici o finanziari di uno Stato membro o dell'Unione europea, anche in campo monetario, fiscale e di bilancio;

  3. c) la tutela dell'interessato o dei diritti e delle libertà altrui;

  4. d) la sicurezza nazionale, la sicurezza pubblica e la difesa degli Stati membri;

  5. e) una funzione di controllo, d'ispezione o di regolamentazione connessa, anche occasionalmente, all'esercizio di pubblici poteri nei casi di cui alle lettere a) e b).

2. Gli articoli da 13 a 16 non si applicano qualora i dati siano trattati unicamente per scopi di ricerca scientifica o siano conservati sotto forma di dati personali per un periodo di tempo non superiore a quello strettamente necessario all'elaborazione di statistiche, a condizione che risulti chiaramente escluso ogni rischio di violazione della vita privata dell'interessato e che il responsabile del trattamento fornisca adeguate garanzie giuridiche, in particolare affinché i dati non siano utilizzati per adottare misure o decisioni concernenti una determinata persona.

3. Qualora si applichi una delle limitazioni di cui al paragrafo 1 l'interessato è informato, conformemente al diritto comunitario, dei principali motivi della limitazione e del suo diritto di adire il garante europeo della protezione dei dati.

4. Qualora si applichino le limitazioni previste al paragrafo 1 per negare all'interessato l'accesso ai dati che lo riguardano, il garante europeo della protezione dei dati, nell'esaminare il reclamo, gli comunica solo se i dati sono stati trattati correttamente ovvero, in caso contrario, se sono state apportate tutte le rettifiche necessarie.

5. L'informazione di cui ai paragrafi 3 e 4 può essere rinviata fino a quando privi d'effetto la limitazione di cui al paragrafo 1.

Sezione 7. Riservatezza e sicurezza del trattamento dei dati

Art. 21

Riservatezza del trattamento

La persona impiegata da un'istituzione o un organismo della Comunità, come pure l'istituzione o organismo comunitario che agisce in quanto incaricato del trattamento, che abbia accesso a dati personali effettua il trattamento degli stessi solo su istruzione del responsabile del trattamento, salvo che la legislazione nazionale o comunitaria lo richieda.

Art. 22

Sicurezza del trattamento

1.

Tenuto conto dell'evoluzione tecnica e dei costi della sua applicazione, il responsabile del trattamento adotta opportune misure tecniche ed organizzative per garantire un livello di sicurezza appropriato, in relazione ai rischi che il trattamento comporta e alla natura dei dati personali da proteggere.

Tali misure sono adottate in particolare per evitare la divulgazione o l'accesso non autorizzati, la distruzione accidentale o illecita o la perdita accidentale o l'alterazione dei dati, nonché per impedire qualsiasi altra forma illecita di trattamento.

2. In caso di trattamento automatizzato dei dati personali sono adottate misure in funzione dei rischi in particolare per:

  1. a) evitare che persone non autorizzate accedano ai sistemi informatici utilizzati per trattare i dati personali;

  2. b) evitare qualunque forma non autorizzata di lettura, riproduzione, alterazione o rimozione dei supporti di memorizzazione;

  3. c) evitare qualsiasi immissione non autorizzata di dati in memoria nonché ogni divulgazione, alterazione o cancellazione non autorizzata di dati personali memorizzati;

  4. d) evitare che persone non autorizzate utilizzino i sistemi di trattamento dei dati avvalendosi d'infrastrutture destinate alla trasmissione dei dati;

  5. e) assicurare che le persone autorizzate ad utilizzare un sistema di trattamento dei dati non possano accedere a dati personali diversi da quelli cui si riferisce il loro diritto di accesso;

  6. f) registrare quali dati personali sono stati comunicati, in quale momento e a chi;

  7. g) assicurare che in un momento successivo sia possibile verificare quali dati personali sono stati trattati, in quale momento e da chi;

  8. h) assicurare che per i trattamenti di dati personali effettuati per conto di terzi possano valere solo le modalità prescritte dall'istituzione o dall'organismo contraente;

  9. i) assicurare che nel corso delle operazioni di comunicazione di dati personali e durante il trasporto dei supporti di memorizzazione i dati non possano essere letti, copiati o cancellati senza autorizzazione;

  10. j) strutturare l'organizzazione interna d'istituzioni o organismi in modo da soddisfare le particolari esigenze connesse alla protezione dei dati.

Art. 23

Trattamento di dati personali per conto del responsabile del trattamento

1. Quando il trattamento viene eseguito per conto del responsabile del trattamento questi sceglie un incaricato che fornisca adeguate garanzie in rapporto alle misure tecniche e organizzative di sicurezza previste dall'articolo 22 e si assicura dell'osservanza di tali misure.

2. Il trattamento per conto terzi è disciplinato da un contratto o da un atto giuridico che vincoli l'incaricato del trattamento al responsabile del trattamento e disponga in particolare che:

  1. a) l'incaricato del trattamento agisca soltanto su istruzioni del responsabile del trattamento;

  2. b) anche l'incaricato del trattamento sia soggetto agli obblighi di cui agli articoli 21 e 22, a meno che, a norma dell'articolo 16 o dell'articolo 17, paragrafo 3, secondo trattino, della direttiva 95/46/CE, l'incaricato del trattamento sia già soggetto agli obblighi di riservatezza e di sicurezza previsti dalla legislazione nazionale di uno degli Stati membri.

3. A fini probatori, le clausole del contratto o le disposizioni dell'atto giuridico inerenti alla protezione dei dati e gli obblighi relativi alle misure di cui all'articolo 22 sono stipulati per iscritto o in altra forma equivalente.

Sezione 8. Responsabile della protezione dei dati

Art. 24

Nomina e mandato del responsabile della protezione dei dati

1.

Ogni istituzione ed organismo della Comunità nomina almeno un responsabile della protezione dei dati personali con il mandato di:

  1. a) garantire che i responsabili del trattamento e gli interessati siano informati dei propri diritti ed obblighi ai sensi del presente regolamento;

  2. b) rispondere alle richieste del garante europeo della protezione dei dati e, nell'ambito delle sue competenze, cooperare con il garante europeo della protezione dei dati su richiesta di quest'ultimo o di propria iniziativa;

  3. c) garantire in maniera indipendente che le disposizioni del presente regolamento vengano applicate all'interno dell'istituzione o organismo di cui fa parte;

  4. d) tenere il registro delle operazioni effettuate dal responsabile del trattamento, riportandovi le informazioni di cui all'articolo 25, paragrafo 2;

  5. e) notificare al garante europeo della protezione dei dati i trattamenti che possono presentare rischi specifici ai sensi dell'articolo 27.

Il responsabile garantisce in tal modo che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati.

2. Il responsabile della protezione dei dati è scelto in funzione delle sue qualità personali e professionali e, in particolare, delle sue conoscenze specifiche in materia di protezione dei dati.

3. La scelta del responsabile della protezione dei dati non deve dar luogo a un possibile conflitto di interessi tra la sua funzione di responsabile ed altre eventuali funzioni di ufficio, in particolare nell'ambito dell'applicazione delle disposizioni del presente regolamento.

4. Il responsabile della protezione dei dati è nominato per un periodo da due a cinque anni. Il suo mandato è rinnovabile; la durata complessiva del mandato non può superare i dieci anni. Può essere destituito dalle sue funzioni di responsabile della protezione dei dati dall'istituzione o organismo comunitario che lo ha nominato solo con il consenso del garante europeo della protezione dei dati, se non soddisfa più le condizioni richieste per l'esercizio delle sue funzioni.

5. La nomina del responsabile della protezione dei dati è comunicata al garante europeo della protezione dei dati dall'istituzione o dall'organismo comunitario che lo ha nominato.

6. Il responsabile della protezione dei dati ottiene dall'istituzione o dall'organismo comunitario che lo ha nominato il personale e le risorse necessarie all'esercizio delle sue funzioni.

7. Il responsabile della protezione dei dati non può ricevere alcuna istruzione per quanto riguarda l'esercizio delle sue funzioni.

8. Altre norme d'attuazione relative al responsabile della protezione dei dati sono adottate da ogni istituzione o organismo della Comunità nel rispetto delle disposizioni che figurano nell'allegato. Tali norme d'attuazione potranno in particolare riguardare le funzioni, gli obblighi e le competenze del responsabile della protezione dei dati.

Art. 25

Notificazione al responsabile della protezione dei dati

1. Prima di eseguire uno o più trattamenti dei dati, destinati al conseguimento di una o più finalità correlate, il responsabile del trattamento ne informa il responsabile della protezione dei dati.

2. Le informazioni da fornire includono:

  1. a) il nome e l'indirizzo del responsabile del trattamento e l'indicazione dei servizi di un'istituzione o un organismo incaricati del trattamento di dati personali per una particolare finalità;

  2. b) la finalità o le finalità del trattamento;

  3. c) una descrizione della categoria o delle categorie di interessati e dei pertinenti dati o categorie di dati;

  4. d) il fondamento giuridico del trattamento al quale sono destinati i dati;

  5. e) i destinatari o le categorie di destinatari ai quali possono essere comunicati i dati;

  6. f) un'indicazione generale dei termini ultimi per bloccare e cancellare le diverse categorie di dati;

  7. g) i trasferimenti di dati previsti verso paesi terzi o organizzazioni internazionali;

  8. h) una descrizione generale che consenta una prima valutazione dell'adeguatezza delle misure adottate in forza dell'articolo 22 per garantire la sicurezza del trattamento.

3. Il responsabile della protezione dei dati deve essere informato senza indugio di ogni modifica relativa alle informazioni di cui al paragrafo 2.

Art. 26

Registro

Ogni responsabile della protezione dei dati tiene un registro dei trattamenti notificati a norma dell'articolo 25.

Il registro riporta almeno le informazioni di cui all'articolo 25, paragrafo 2, lettere da a) a g). Il registro può essere consultato da chiunque direttamente o indirettamente tramite il garante europeo della protezione dei dati.

Sezione 9. Controllo preventivo da parte del garante europeo della protezione dei dati e obbligo di collaborazione

Art. 27

Controllo preventivo

1. I trattamenti che possono presentare rischi specifici per i diritti e le libertà degli interessati, per la loro natura, oggetto o finalità sono soggetti a controllo preventivo da parte del garante europeo della protezione dei dati.

2. Possono presentare tali rischi i seguenti trattamenti:

  1. a) i trattamenti di dati relativi alla salute e quelli relativi a sospetti, infrazioni, condanne penali o misure di sicurezza;

  2. b) i trattamenti destinati a valutare aspetti della personalità degli interessati, inclusi aspetti quali capacità, efficienza e comportamento;

  3. c) i trattamenti che consentono delle interconnessioni tra i dati trattati per finalità diverse e non previste dalla normativa nazionale o comunitaria;

  4. d) i trattamenti volti ad escludere taluno dal beneficio di un diritto, di una prestazione o della conclusione di un contratto.

3. I controlli preventivi sono effettuati dal garante europeo della protezione dei dati previa notificazione da parte del responsabile della protezione dei dati, il quale, in caso di dubbio circa la necessità di un controllo preventivo, consulta il garante europeo della protezione dei dati.

4.

Il garante europeo della protezione dei dati emette un parere entro due mesi dal ricevimento della notificazione. Il periodo può essere sospeso fino a quando il garante europeo della protezione dei dati non abbia ricevuto le ulteriori informazioni richieste. Se la complessità del fascicolo lo richiede, detto termine può essere prorogato per altri due mesi con decisione del garante europeo della protezione dei dati. La decisione in questione è notificata al responsabile del trattamento prima dello scadere del periodo iniziale di due mesi.

La mancata adozione di un parere entro il termine di due mesi, eventualmente prorogato, equivale a un parere favorevole.

Se a giudizio del garante europeo della protezione dei dati il trattamento notificato rischia di comportare una violazione di qualche disposizione del presente regolamento, egli formula ove necessario proposte per evitare tale violazione. Se il responsabile del trattamento non modifica il trattamento stesso di conseguenza, il garante europeo della protezione dei dati può esercitare i poteri che gli conferisce l'articolo 47, paragrafo 1.

5. Il garante europeo della protezione dei dati tiene un registro di tutti i trattamenti che gli sono stati notificati a norma del paragrafo 2. Il registro contiene le informazioni enumerate all'articolo 25. Esso può essere consultato da chiunque.

Art. 28

Consultazione

1. Le istituzioni e gli organismi comunitari informano il garante europeo della protezione dei dati al momento di elaborare provvedimenti amministrativi in tema di trattamento di dati personali che interessino un'istituzione o un organismo della Comunità singolarmente o congiuntamente.

2. Al momento dell'adozione di una proposta legislativa sulla tutela dei diritti e delle libertà fondamentali delle persone in relazione al trattamento di dati personali, la Commissione consulta il garante europeo della protezione dei dati.

Fonti e licenze