diritto.io

Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio del 23 ottobre 2018 sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (Testo rilevante ai fini del SEE)

Testo in vigore al

Capo V. Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali

Art. 46 Principio generale per il trasferimento

Qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un’organizzazione internazionale, compresi trasferimenti successivi di dati personali da un paese terzo o un’organizzazione internazionale verso un altro paese terzo o un’altra organizzazione internazionale, ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento. Tutte le disposizioni del presente capo sono applicate al fine di assicurare che il livello di protezione delle persone fisiche garantito dal presente regolamento non sia pregiudicato.

Art. 47 Trasferimento sulla base di una decisione di adeguatezza

1. Il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale è ammesso se la Commissione ha deciso, ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, che il paese terzo, un territorio o uno o più settori specifici all’interno di tale paese terzo o l’organizzazione internazionale in questione assicurano un livello di protezione adeguato, e qualora i dati personali siano trasferiti esclusivamente per consentire lo svolgimento dei compiti che rientrano nelle competenze del titolare del trattamento.

2. Le istituzioni e gli organi dell’Unione informano la Commissione e il Garante europeo della protezione dei dati circa i casi in cui a loro parere un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo o un’organizzazione internazionale in questione non assicurano un livello di protezione adeguato ai sensi del paragrafo 1.

3. Le istituzioni e gli organi dell’Unione adottano le misure necessarie per conformarsi alle decisioni della Commissione che constatano, in applicazione dell’articolo 45, paragrafo 3 o 5, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3 o 5, della direttiva (UE) 2016/680, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo o un’organizzazione internazionale assicurano o non assicurano più un livello di protezione adeguato.

Art. 48 Trasferimento soggetto a garanzie adeguate

1. In mancanza di una decisione ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.

2. Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte del Garante europeo della protezione dei dati:

  1. a) uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorità pubbliche o organismi pubblici;

  2. b) le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d’esame di cui all’articolo 96, paragrafo 2;

  3. c) le clausole tipo di protezione dei dati adottate dal Garante europeo della protezione dei dati e approvate dalla Commissione secondo la procedura d’esame di cui all’articolo 96, paragrafo 2;

  4. d) qualora il responsabile del trattamento non sia un’istituzione o un organo dell’Unione, le norme vincolanti d’impresa, i codici di condotta o i meccanismi di certificazione ai sensi dell’articolo 46, paragrafo 2, lettere b), e) ed f), del regolamento (UE) 2016/679.

3. Fatta salva l’autorizzazione del Garante europeo della protezione dei dati, possono altresì costituire in particolare garanzie adeguate di cui al paragrafo 1:

  1. a) le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il titolare del trattamento, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell’organizzazione internazionale; oppure

  2. b) le disposizioni da inserire in accordi amministrativi tra autorità pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati.

4. Le autorizzazioni rilasciate dal Garante europeo della protezione dei dati in base all’articolo 9, paragrafo 7, del regolamento (CE) 45/2001 restano valide fino a quando non sono modificate, sostituite o abrogate, se necessario, dal Garante europeo della protezione dei dati.

5. Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati in merito alle categorie di casi in cui è stato applicato il presente articolo.

Art. 49 Trasferimento o comunicazione non autorizzati dal diritto dell’Unione

Le sentenze di un’autorità giurisdizionale e le decisioni di un’autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo.

Art. 50 Deroghe in specifiche situazioni

1. In mancanza di una decisione di adeguatezza ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, o di garanzie adeguate ai sensi dell’articolo 48 del presente regolamento, è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale soltanto se si verifica una delle seguenti condizioni:

  1. a) l’interessato ha esplicitamente acconsentito al trasferimento proposto, dopo essere stato informato dei possibili rischi di siffatti trasferimenti per l’interessato, dovuti alla mancanza di una decisione di adeguatezza e di garanzie adeguate;

  2. b) il trasferimento è necessario all’esecuzione di un contratto concluso tra l’interessato e il titolare del trattamento ovvero all’esecuzione di misure precontrattuali adottate su istanza dell’interessato;

  3. c) il trasferimento è necessario per la conclusione o l’esecuzione di un contratto stipulato tra il titolare del trattamento e un’altra persona fisica o giuridica a favore dell’interessato;

  4. d) il trasferimento è necessario per importanti motivi di interesse pubblico;

  5. e) il trasferimento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria;

  6. f) il trasferimento è necessario per tutelare gli interessi vitali dell’interessato o di altre persone, qualora l’interessato si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso; oppure

  7. g) il trasferimento è effettuato a partire da un registro che, a norma del diritto dell’Unione, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un interesse legittimo, ma solo purché sussistano i requisiti per la consultazione previsti dal diritto dell’Unione.

2. Il paragrafo 1, lettere a), b) e c), non si applica alle attività svolte dalle istituzioni e dagli organi dell’Unione nell’esercizio dei pubblici poteri.

3. L’interesse pubblico di cui al paragrafo 1, lettera d), deve essere riconosciuto dal diritto dell’Unione.

4. Il trasferimento di cui al paragrafo 1, lettera g), non può riguardare la totalità dei dati personali o intere categorie di dati personali contenute nel registro, salvo se autorizzato dal diritto dell’Unione. Se il registro è destinato a essere consultato da persone aventi un interesse legittimo, il trasferimento è ammesso soltanto su richiesta di tali persone o qualora tali persone ne siano i destinatari.

5. In mancanza di una decisione di adeguatezza, il diritto dell’Unione può, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un’organizzazione internazionale.

6. Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati in merito alle categorie di casi in cui è stato applicato il presente articolo.

Art. 51 Cooperazione internazionale per la protezione dei dati personali

In relazione ai paesi terzi e alle organizzazioni internazionali, il Garante europeo della protezione dei dati, in cooperazione con la Commissione e il comitato europeo per la protezione dei dati, adotta misure appropriate per:

  1. a) sviluppare meccanismi di cooperazione internazionale per facilitare l’applicazione efficace della legislazione sulla protezione dei dati personali;

  2. b) prestare assistenza reciproca a livello internazionale nell’applicazione della legislazione sulla protezione dei dati personali, in particolare mediante notificazione, deferimento dei reclami, assistenza alle indagini e scambio di informazioni, fatte salve garanzie adeguate per la protezione dei dati personali e gli altri diritti e libertà fondamentali;

  3. c) coinvolgere le parti interessate pertinenti in discussioni e attività dirette a promuovere la cooperazione internazionale nell’applicazione della legislazione sulla protezione dei dati personali;

  4. d) promuovere lo scambio e la documentazione delle legislazioni e prassi in materia di protezione dei dati personali, compresi i conflitti di giurisdizione con paesi terzi.

Capo VI. Garante europeo della protezione dei dati

Art. 52 Garante europeo della protezione dei dati

1. È istituito il Garante europeo della protezione dei dati.

2. Il Garante europeo della protezione dei dati ha il compito di garantire il rispetto dei diritti e delle libertà fondamentali delle persone fisiche, segnatamente del diritto alla protezione dei dati, in relazione al trattamento dei dati personali da parte delle istituzioni e degli organi dell’Unione.

3. Il Garante europeo della protezione dei dati ha il compito di sorvegliare e assicurare l’applicazione del presente regolamento e di qualunque altro atto dell’Unione relativo alla tutela dei diritti e delle libertà fondamentali delle persone fisiche in relazione al trattamento dei dati personali da parte di un’istituzione o di un organo dell’Unione, e di fornire alle istituzioni e agli organi dell’Unione nonché agli interessati pareri su tutte le questioni relative al trattamento dei dati personali. A tal fine esso assolve ai compiti previsti all’articolo 57 ed esercita i poteri attribuitigli dall’articolo 58.

4. Il regolamento (CE) n. 1049/2001 si applica ai documenti detenuti dal Garante europeo della protezione dei dati. Il Garante europeo della protezione dei dati adotta le modalità di applicazione del regolamento (CE) n. 1049/2001 per quanto riguarda tali documenti.

Art. 53 Nomina del Garante europeo della protezione dei dati

1. Il Parlamento europeo e il Consiglio nominano di comune accordo il Garante europeo della protezione dei dati, per un periodo di cinque anni, in base a un elenco predisposto dalla Commissione dopo un invito pubblico a presentare candidature. Tale invito consente a tutte le parti interessate nell’insieme dell’Unione di presentare la propria candidatura. L’elenco di candidati elaborato dalla Commissione è pubblico e include almeno tre candidati. Sulla base dell’elenco elaborato dalla Commissione, la commissione competente del Parlamento europeo può decidere di organizzare un’audizione per poter esprimere una preferenza.

2. L’elenco di candidati di cui al paragrafo 1 deve essere composto da personalità che offrano ogni garanzia di indipendenza e che possiedano una conoscenza specialistica in materia di protezione dei dati nonché esperienza e competenze per l’esercizio delle funzioni di Garante europeo della protezione dei dati.

3. Il mandato del Garante europeo della protezione dei dati è rinnovabile una volta.

4. Le funzioni del Garante europeo della protezione dei dati cessano nei seguenti casi:

  1. a) se il Garante europeo della protezione dei dati è sostituito;

  2. b) se il Garante europeo della protezione dei dati si dimette;

  3. c) se il Garante europeo della protezione dei dati è rimosso o collocato a riposo d’ufficio.

5. Il Garante europeo della protezione dei dati può essere rimosso o privato del diritto a pensione o di altri vantaggi sostitutivi dalla Corte di giustizia su richiesta del Parlamento europeo, del Consiglio o della Commissione qualora non sia più in possesso dei requisiti necessari all’esercizio delle sue funzioni o abbia commesso una colpa grave.

6. In caso di normale avvicendamento o di dimissioni volontarie, il Garante europeo della protezione dei dati resta comunque in carica fino all’atto della sua sostituzione.

7. Gli articoli da 11 a 14 e l’articolo 17 del protocollo sui privilegi e sulle immunità dell’Unione europea si applicano al Garante europeo della protezione dei dati.

Art. 54 Statuto e condizioni generali di esercizio delle funzioni di Garante europeo della protezione dei dati, risorse umane e finanziarie

1. Il Garante europeo della protezione dei dati è equiparato a un giudice della Corte di giustizia per quanto riguarda la retribuzione, le indennità, il trattamento di quiescenza e ogni altro compenso sostitutivo.

2. L’autorità di bilancio provvede a che il Garante europeo della protezione dei dati disponga delle risorse umane e finanziarie necessarie per l’esercizio delle sue funzioni.

3. Il bilancio assegnato al Garante europeo della protezione dei dati figura su una linea specifica della sezione del bilancio generale dell’Unione relativa alle spese amministrative.

4. Il Garante europeo della protezione dei dati è assistito da un segretariato. I funzionari e gli altri agenti del segretariato sono nominati dal Garante europeo della protezione dei dati, che è il loro superiore gerarchico. Essi sono tenuti a conformarsi esclusivamente alle sue istruzioni. Il loro numero è stabilito ogni anno nell’ambito della procedura di bilancio. L’articolo 75, paragrafo 2, del regolamento (UE) 2016/679 si applica al personale del Garante europeo della protezione dei dati incaricato di svolgere i compiti attribuiti al comitato europeo per la protezione dei dati in virtù del diritto dell’Unione.

5. I funzionari e gli altri agenti del segretariato del Garante europeo della protezione dei dati sono soggetti alla normativa relativa ai funzionari e agli altri agenti dell’Unione.

6. La sede del Garante europeo della protezione dei dati è a Bruxelles.

Art. 55 Indipendenza

1. Il Garante europeo della protezione dei dati agisce in piena indipendenza nell’adempimento dei propri compiti e nell’esercizio dei propri poteri conformemente al presente regolamento.

2. Nell’adempimento dei propri compiti e nell’esercizio dei propri poteri previsti dal presente regolamento, il Garante europeo della protezione dei dati non subisce pressioni esterne, né dirette né indirette, e non sollecita né accetta istruzioni da alcuno.

3. Per tutta la durata del mandato, il Garante europeo della protezione dei dati si astiene da qualunque azione incompatibile con i suoi doveri e non può esercitare alcuna altra attività professionale, remunerata o meno.

4. Al termine del mandato, il Garante europeo della protezione dei dati agisce con integrità e discrezione nell’accettazione di nomine e altri benefici.

Art. 56 Segreto professionale

Durante e dopo il mandato, il Garante europeo della protezione dei dati ed il personale alle sue dipendenze sono tenuti al segreto professionale in merito alle informazioni riservate cui hanno avuto accesso durante l’esercizio delle loro funzioni.

Art. 57 Compiti

1. Fatti salvi gli altri compiti indicati nel presente regolamento, il Garante europeo della protezione dei dati:

  1. a) sorveglia e garantisce l’applicazione del presente regolamento da parte delle istituzioni e degli organi dell’Unione, fatta eccezione per il trattamento di dati personali da parte della Corte di giustizia nell’esercizio delle sue funzioni giurisdizionali;

  2. b) promuove la consapevolezza e favorisce la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento. Sono oggetto di particolare attenzione le attività destinate specificamente ai minori;

  3. c) promuove la consapevolezza dei titolari del trattamento e dei responsabili del trattamento riguardo agli obblighi imposti loro dal presente regolamento;

  4. d) su richiesta, fornisce informazioni all’interessato in merito all’esercizio dei propri diritti derivanti dal presente regolamento e, se del caso, coopera a tal fine con le autorità di controllo nazionali;

  5. e) tratta i reclami proposti da un interessato, o da un organismo, un’organizzazione o un’associazione ai sensi dell’articolo 67, e svolge le indagini opportune sull’oggetto del reclamo e informa il reclamante dello stato di avanzamento e dell’esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un’altra autorità di controllo;

  6. f) svolge indagini sull’applicazione del presente regolamento, anche sulla base di informazioni ricevute da un’altra autorità di controllo o da un’altra autorità pubblica;

  7. g) fornisce, di propria iniziativa o su richiesta, consulenza alle istituzioni e agli organi dell’Unione in merito alle misure legislative e amministrative relative alla protezione dei diritti e delle libertà delle persone fisiche in relazione al trattamento dei dati personali;

  8. h) sorveglia gli sviluppi che presentano un interesse, se e in quanto incidenti sulla protezione dei dati personali, in particolare l’evoluzione delle tecnologie dell’informazione e della comunicazione;

  9. i) adotta le clausole contrattuali tipo di cui all’articolo 29, paragrafo 8, e all’articolo 48, paragrafo 2, lettera c);

  10. j) redige e tiene un elenco in relazione al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi dell’articolo 39, paragrafo 4;

  11. k) partecipa alle attività del comitato europeo per la protezione dei dati;

  12. l) espleta i compiti di segreteria per il comitato europeo per la protezione dei dati, a norma dell’articolo 75 del regolamento (UE) 2016/679;

  13. m) fornisce consulenza in merito al trattamento di cui all’articolo 40, paragrafo 2;

  14. n) autorizza le clausole contrattuali e le altre disposizioni di cui all’articolo 48, paragrafo 3;

  15. o) tiene registri interni delle violazioni del presente regolamento e delle misure adottate in conformità dell’articolo 58, paragrafo 2;

  16. p) svolge qualsiasi altro compito legato alla protezione dei dati personali; e

  17. q) adotta il proprio regolamento interno.

2. Il Garante europeo della protezione dei dati agevola la proposizione di reclami di cui al paragrafo 1, lettera e), tramite un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.

3. Il Garante europeo della protezione dei dati svolge i propri compiti senza spese per l’interessato.

4. Qualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, il Garante europeo della protezione dei dati può rifiutarsi di soddisfare la richiesta. Incombe al Garante europeo della protezione dei dati dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

Art. 58 Poteri

1. Il Garante europeo della protezione dei dati dispone dei seguenti poteri di indagine:

  1. a) ingiungere al titolare del trattamento e al responsabile del trattamento di fornirgli ogni informazione di cui necessiti per l’esecuzione dei suoi compiti;

  2. b) condurre indagini sotto forma di attività di revisione sulla protezione dei dati;

  3. c) notificare al titolare del trattamento o al responsabile del trattamento le presunte violazioni del presente regolamento;

  4. d) ottenere, dal titolare del trattamento o dal responsabile del trattamento, l’accesso a tutti i dati personali e a tutte le informazioni necessarie per l’esecuzione dei suoi compiti; e

  5. e) ottenere accesso a tutti i locali del titolare del trattamento e del responsabile del trattamento, compresi tutti gli strumenti e mezzi di trattamento dei dati, in conformità con il diritto dell’Unione.

2. Il Garante europeo della protezione dei dati dispone dei seguenti poteri correttivi:

  1. a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;

  2. b) rivolgere ammonimenti al titolare e del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento;

  3. c) interpellare il titolare del trattamento o il responsabile del trattamento in questione e, se necessario, il Parlamento europeo, il Consiglio e la Commissione;

  4. d) ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti che gli derivano dal presente regolamento;

  5. e) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine;

  6. f) ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali;

  7. g) imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento;

  8. h) ordinare la rettifica o la cancellazione di dati personali o la limitazione del trattamento a norma degli articoli 18, 19 e 20 e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali ai sensi dell’articolo 19, paragrafo 2, e dell’articolo 21;

  9. i) infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 66, in caso di inosservanza da parte di un’istituzione o un organo dell’Unione di una delle misure di cui al presente paragrafo, lettere da d) ad h) e lettera j), in funzione delle circostanze di ogni singolo caso;

  10. j) ordinare la sospensione dei flussi di dati verso un destinatario in uno Stato membro, in un paese terzo o verso un’organizzazione internazionale.

3. Il Garante europeo della protezione dei dati dispone dei seguenti poteri autorizzativi e consultivi:

  1. a) fornire consulenza agli interessati in merito all’esercizio dei loro diritti;

  2. b) fornire consulenza al titolare del trattamento secondo la procedura di consultazione preventiva di cui all’articolo 40 e in conformità dell’articolo 41, paragrafo 2;

  3. c) rilasciare, di propria iniziativa o su richiesta, pareri alle istituzioni e agli organi dell’Unione e al pubblico su questioni riguardanti la protezione dei dati personali;

  4. d) adottare le clausole tipo di protezione dei dati di cui all’articolo 29, paragrafo 8, e all’articolo 48, paragrafo 2, lettera c);

  5. e) autorizzare le clausole contrattuali di cui all’articolo 48, paragrafo 3, lettera a);

  6. f) autorizzare gli accordi amministrativi di cui all’articolo 48, paragrafo 3, lettera b);

  7. g) autorizzare trattamenti ai sensi degli atti di esecuzione adottati a norma dell’articolo 40, paragrafo 4.

4. Il Garante europeo della protezione dei dati ha il potere di adire la Corte di giustizia alle condizioni previste dai trattati e di intervenire nelle cause dinanzi alla Corte di giustizia.

5. L’esercizio da parte del Garante europeo della protezione dei dati dei poteri attribuitigli dal presente articolo è soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell’Unione.

Art. 59 Obbligo dei titolari del trattamento e dei responsabili del trattamento di rispondere ai rilievi

Qualora il Garante europeo della protezione dei dati eserciti i poteri di cui all’articolo 58, paragrafo 2, lettere a), b) e c), il titolare del trattamento o il responsabile del trattamento gli comunica il proprio punto di vista entro un termine ragionevole fissato dal Garante europeo della protezione dei dati, tenendo conto delle circostanze di ciascun caso. Il parere comprende anche una descrizione degli eventuali provvedimenti presi a seguito delle osservazioni del Garante europeo della protezione dei dati.

Art. 60 Rapporto sulle attività

1. Il Garante europeo della protezione dei dati presenta al Parlamento europeo, al Consiglio e alla Commissione un rapporto annuale sulla propria attività, rendendolo pubblico allo stesso tempo.

2. Il Garante europeo della protezione dei dati trasmette il rapporto sulle attività di cui al paragrafo 1 alle altre istituzioni e agli altri organi dell’Unione, che possono formulare osservazioni in vista dell’eventuale discussione dello stesso da parte del Parlamento europeo.

Capo VII. Cooperazione e coerenza

Art. 61 Cooperazione tra il Garante europeo della protezione dei dati e le autorità di controllo nazionali

Il Garante europeo per la protezione dei dati le autorità di controllo nazionali e l’autorità comune di controllo istituita dall’articolo 25 della decisione 2009/917/GAI del Consiglio5 cooperano nella misura necessaria all’esecuzione delle rispettive funzioni, in particolare fornendosi reciprocamente informazioni pertinenti, chiedendosi reciprocamente di esercitare i rispettivi poteri e rispondendo alle reciproche richieste.

Art. 62 Controllo coordinato del Garante europeo della protezione dei dati e delle autorità di controllo nazionali

1. Quando un atto dell’Unione rinvia al presente articolo, il Garante europeo della protezione dei dati e le autorità di controllo nazionali, agendo ciascuno nei limiti delle proprie competenze, cooperano attivamente nell’ambito delle proprie responsabilità per garantire un controllo efficace dei sistemi IT su larga scala e degli organi e degli organismi dell’Unione.

2. Essi, agendo ciascuno nei limiti delle proprie competenze e nell’ambito delle proprie responsabilità, si scambiano in funzione delle necessità informazioni pertinenti, si forniscono assistenza reciproca nello svolgimento di revisioni e ispezioni, esaminano difficoltà di interpretazione o applicazione del presente regolamento e di altri atti dell’Unione applicabili, studiano problemi inerenti all’esercizio di un controllo indipendente o all’esercizio dei diritti degli interessati, elaborano proposte armonizzate per soluzioni di eventuali problemi e promuovono la sensibilizzazione del pubblico in materia di diritto alla protezione dei dati.

3. Ai fini di cui al paragrafo 2, il Garante europeo della protezione dei dati e le autorità di controllo nazionali si incontrano almeno due volte all’anno nell’ambito del comitato europeo per la protezione dei dati. A tali fini, il comitato europeo per la protezione dei dati può elaborare ulteriori metodi di lavoro, se necessario.

4. Ogni due anni il comitato europeo per la protezione dei dati trasmette al Parlamento europeo, al Consiglio e alla Commissione una relazione congiunta sulle attività svolte in materia di controllo coordinato.

Capo VIII. Mezzi di ricorso, responsabilità e sanzioni

Art. 63 Diritto di proporre reclamo al Garante europeo della protezione dei dati

1. Fatto salvo ogni ricorso giurisdizionale, amministrativo o extragiudiziale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo al Garante europeo della protezione dei dati.

2. Il Garante europeo della protezione dei dati informa il reclamante dello stato di avanzamento o dell’esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell’articolo 64.

3. Se il Garante europeo della protezione dei dati non tratta il reclamo o non informa l’interessato entro tre mesi dello stato di avanzamento o dell’esito del reclamo, si considera che abbia adottato una decisione negativa.

Art. 64 Diritto a un ricorso giurisdizionale effettivo

1. La Corte di giustizia è competente a conoscere delle controversie relative alle disposizioni del presente regolamento, incluse le azioni per risarcimento del danno.

2. Avverso le decisioni del Garante europeo della protezione dei dati, comprese le decisioni a norma dell’articolo 63, paragrafo 3, può essere proposto ricorso dinanzi alla Corte di giustizia.

3. La Corte di giustizia ha competenza giurisdizionale anche di merito per le sanzioni amministrative pecuniarie di cui all’articolo 66. Essa può annullare, ridurre o aumentare dette sanzioni entro i limiti dell’articolo 66.

Art. 65 Diritto al risarcimento

Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dall’istituzione o dall’organo dell’Unione, fatte salve le condizioni previste dai trattati.

Art. 66 Sanzioni amministrative pecuniarie

1. Il Garante europeo della protezione dei dati può imporre sanzioni amministrative pecuniarie alle istituzioni e agli organi dell’Unione, a seconda delle circostanze di ciascun caso, qualora un’istituzione o un organo dell’Unione non rispetti un ordine del Garante europeo della protezione dei dati emesso ai sensi dell’articolo 58, paragrafo 2, lettere da d) a h) e j). Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l’ammontare della stessa in ogni singolo caso, si tiene debito conto dei seguenti elementi:

  1. a) la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l’oggetto o la finalità del trattamento in questione nonché il numero di interessati lesi e il livello del danno da essi subito;

  2. b) le misure adottate dall’istituzione o dall’organo dell’Unione per attenuare il danno subito dagli interessati;

  3. c) il grado di responsabilità dell’istituzione o dell’organo dell’Unione tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 27 e 33;

  4. d) eventuali precedenti violazioni analoghe commesse dall’istituzione o dall’organo dell’Unione;

  5. e) il grado di cooperazione con il Garante europeo della protezione dei dati al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi;

  6. f) le categorie di dati personali interessate dalla violazione;

  7. g) la maniera in cui il Garante europeo della protezione dei dati ha preso conoscenza della violazione, in particolare se e in che misura l’istituzione o l’organo dell’Unione ha notificato la violazione;

  8. h) il rispetto di qualsiasi provvedimento di cui all’articolo 58 precedentemente disposto nei confronti dell’istituzione o dell’organo dell’Unione in questione relativamente allo stesso oggetto. Il procedimento che porta all’imposizione di tali sanzioni pecuniarie si svolge in tempi ragionevoli in funzione delle circostanze del caso e tenendo conto delle pertinenti azioni e procedimenti di cui all’articolo 69.

2. Le violazioni degli obblighi che incombono alle istituzioni o agli organi dell’Unione a norma degli articoli 8, 12, da 27 a 35, 39, 40, 43, 44 e 45 sono soggette, conformemente al paragrafo 1 del presente articolo, a sanzioni amministrative pecuniarie fino a 25000 EUR per violazione e fino a un massimo di 250000 EUR all’anno.

3. Le violazioni delle seguenti disposizioni da parte delle istituzioni o degli organi dell’Unione sono soggette, conformemente al paragrafo 1, a sanzioni amministrative pecuniarie fino a 50000 EUR per violazione e fino a un massimo di 500000 EUR all’anno:

  1. a) i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 4, 5, 7 e 10;

  2. b) i diritti degli interessati a norma degli articoli da 14 a 24;

  3. c) i trasferimenti di dati personali a un destinatario in un paese terzo o a un’organizzazione internazionale a norma degli articoli da 46 a 50.

4. Se, in relazione allo stesso trattamento o a trattamenti collegati o continui, un’istituzione o un organo dell’Unione viola varie disposizioni del presente regolamento o ripetutamente la stessa disposizione del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave.

5. Prima di adottare qualsiasi decisione prevista dal presente articolo, il Garante europeo della protezione dei dati dà modo all’istituzione o all’organo dell’Unione oggetto del procedimento avviato dal Garante europeo della protezione dei dati di essere sentiti relativamente agli addebiti che muove loro. Il Garante europeo della protezione dei dati basa le sue decisioni solo sugli addebiti in merito ai quali le parti interessate sono state poste in condizione di esprimersi. I reclamanti sono strettamente associati al procedimento.

6. Nel corso del procedimento sono pienamente garantiti i diritti di difesa delle parti interessate. Esse hanno diritto d’accesso al fascicolo del Garante europeo della protezione dei dati, fermo restando l’interesse legittimo delle persone fisiche o delle imprese alla tutela dei propri dati personali o segreti aziendali.

7. I fondi raccolti mediante l’imposizione di sanzioni pecuniarie in forza del presente articolo entrano nel bilancio generale dell’Unione.

Fonti e licenze