Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio del 23 ottobre 2018 sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (Testo rilevante ai fini del SEE)

1. Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’ambito di applicazione, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali operativi.

2. La valutazione di cui al paragrafo 1 contiene almeno una descrizione generale dei trattamenti previsti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per affrontare tali rischi, le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali operativi e dimostrare la conformità alle norme in materia di protezione dei dati, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

1. Il titolare del trattamento consulta il Garante europeo della protezione dei dati prima del trattamento di dati personali che figureranno in un nuovo archivio di prossima creazione se:

1. a) una valutazione d’impatto sulla protezione dei dati a norma dell’articolo 89 indica che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio; oppure

2. b) il tipo di trattamento, in particolare se utilizza tecnologie, procedure o meccanismi nuovi, presenta un rischio elevato per i diritti e le libertà degli interessati.

2. Il Garante europeo della protezione dei dati può stabilire un elenco di trattamenti soggetti a consultazione preventiva ai sensi del paragrafo 1.

3. Il titolare del trattamento trasmette al Garante europeo della protezione dei dati la valutazione d’impatto sulla protezione dei dati di cui all’articolo 89 e, su richiesta, ogni altra informazione, al fine di consentire al Garante europeo della protezione dei dati di effettuare una valutazione della conformità del trattamento, in particolare dei rischi per la protezione dei dati personali operativi dell’interessato e delle relative garanzie.

4. Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento o l’atto giuridico istitutivo dell’organo o dell’organsimo dell’Unione, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, il Garante europeo della protezione dei dati fornisce un parere scritto al titolare del trattamento entro un termine di sei settimane dal ricevimento della richiesta di consultazione. Tale periodo può essere prorogato di un mese, tenendo conto della complessità del trattamento previsto. Il Garante europeo della protezione dei dati informa il titolare del trattamento di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione.

1. Il titolare del trattamento e il responsabile del trattamento, tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato ai rischi, in particolare riguardo al trattamento di categorie particolari di dati personali operativi.

2. In relazione al trattamento automatizzato, titolare del trattamento e il responsabile del trattamento, previa valutazione dei rischi, mettono in atto misure volte a:

1. a) vietare alle persone non autorizzate l’accesso alle attrezzature di trattamento dei dati utilizzate per il trattamento («controllo dell’accesso alle attrezzature»);

2. b) impedire che i supporti di dati siano letti, copiati, modificati o rimossi senza autorizzazione («controllo dei supporti di dati»);

3. c) impedire che dati personali operativi conservati siano introdotti, consultati, modificati o cancellati senza autorizzazione («controllo della conservazione»);

4. d) impedire che persone non autorizzate utilizzino sistemi di trattamento automatizzato mediante attrezzature per la trasmissione di dati («controllo dell’utente»);

5. e) garantire che le persone autorizzate a usare un sistema di trattamento automatizzato abbiano accesso solo ai dati personali operativi cui si riferisce la loro autorizzazione d’accesso («controllo dell’accesso ai dati»);

6. f) garantire la possibilità di verificare e accertare gli organi ai quali siano stati o possano essere trasmessi o resi disponibili i dati personali operativi utilizzando la trasmissione di dati («controllo della trasmissione»);

7. g) garantire la possibilità di verificare e accertare a posteriori quali dati personali operativi sono stati introdotti nei sistemi di trattamento automatizzato dei dati personali operativi, il momento dell’introduzione e la persona che l’ha effettuata («controllo dell’introduzione»);

8. h) impedire che i dati personali possano essere letti, copiati, modificati o cancellati in modo non autorizzato durante i trasferimenti di dati personali operativi o il trasporto di supporti di dati («controllo del trasporto»);

9. i) garantire che, in caso di interruzione, i sistemi utilizzati possano essere ripristinati («recupero»);

10. j) garantire che le funzioni del sistema siano operative, che eventuali errori di funzionamento siano segnalati («affidabilità») e che i dati personali operativi conservati non possano essere falsati da un errore di funzionamento del sistema («integrità»).

1. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione al Garante europeo della protezione dei dati senza indebito ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica al Garante europeo della protezione dei dati non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.

2. La notifica di cui al paragrafo 1 deve almeno:

1. a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali operativi in questione;

2. b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati;

3. c) descrivere le probabili conseguenze della violazione dei dati personali;

4. d) descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.

3. Qualora e nella misura in cui non sia possibile fornire le informazioni di cui al paragrafo 2 contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

4. Il titolare del trattamento documenta qualsiasi violazione dei dati personali di cui al paragrafo 1, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione deve consentire al Garante europeo della protezione dei dati di verificare il rispetto del presente articolo.

5. Se la violazione dei dati personali riguarda dati personali operativi che sono stati trasmessi dalle o alle autorità competenti, il titolare del trattamento comunica senza indebito ritardo le informazioni di cui al paragrafo 2 alle autorità competenti in questione.

1. Qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza indebito ritardo.

2. La comunicazione all’interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le raccomandazioni di cui all’articolo 92, paragrafo 2, lettere b), c) e d).

3. Non è richiesta la comunicazione all’interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni:

1. a) il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali operativi oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura;

2. b) il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1;

3. c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia.

4. Nel caso in cui il titolare del trattamento non abbia ancora comunicato all’interessato la violazione dei dati personali, il Garante europeo della protezione dei dati, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, può richiedere che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.

5. La comunicazione all’interessato di cui al paragrafo 1 del presente articolo può essere ritardata, limitata od omessa alle condizioni e per i motivi di cui all’articolo 79, paragrafo 3.

1. Fatte salve le limitazioni e le condizioni stabilite negli atti giuridici istitutivi dell’organo o dell’organismo dell’Unione, il titolare del trattamento può trasferire i dati personali operativi a un’autorità di un paese terzo o a un’organizzazione internazionale nella misura in cui tale trasferimento è necessario per lo svolgimento delle attività del titolare del trattamento e soltanto se sono soddisfatte le condizioni di cui al presente articolo, vale a dire:

1. a) la Commissione ha adottato una decisione di adeguatezza ai sensi dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, che sancisca che il paese terzo o un territorio o un settore di trattamento all’interno di tale paese terzo o l’organizzazione internazionale in questione garantisce un livello di protezione adeguato;

2. b) in assenza di una decisione di adeguatezza della Commissione a norma della lettera a), è stato concluso un accordo internazionale tra l’Unione e tale paese terzo o organizzazione internazionale ai sensi dell’articolo 218 TFUE, che presti garanzie sufficienti con riguardo alla tutela della vita privata e dei diritti e delle libertà fondamentali delle persone;

3. c) in assenza di una decisione di adeguatezza della Commissione a norma della lettera a) o di un accordo internazionale di cui alla lettera b), tra l’organo o l’organismo dell’Unione e il paese terzo in questione è stato concluso, prima della data di applicazione dell’atto giuridico istitutivo dell’organo o dell’organismo dell’Unione interessato, un accordo di cooperazione che consenta lo scambio di dati personali operativi.

2. Gli atti giuridici istitutivi degli organi e degli organismi dell’Unione possono mantenere o introdurre disposizioni più specifiche riguardo alle condizioni per i trasferimenti internazionali di dati personali operativi, in particolare per quanto concerne il trasferimento in presenza di garanzie adeguate e le deroghe per situazioni specifiche.

3. Il titolare del trattamento pubblica sul proprio sito web e tiene aggiornato un elenco delle decisioni di adeguatezza di cui al paragrafo 1, lettera a), degli accordi, delle intese amministrative e degli altri strumenti riguardanti il trasferimento di dati personali operativi ai sensi del paragrafo 1.

4. Il titolare del trattamento provvede affinché siano registrati dettagliatamente tutti i trasferimenti effettuati a norma del presente articolo.