DIRECTIVE 95/46/EC OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL

DIRETTIVA 95/46/CE DEL PARLAMENTO EUROPEO E DEL CONSIGLIO

of 24 October 1995

del 24 ottobre 1995

on the protection of individuals with regard to the processing of personal data and on the free movement of such data

relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati

THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,

IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA,

Having regard to the Treaty establishing the European Community, and in particular Article 100a thereof,

visto il trattato che istituisce la Comunità europea, in particolare l'articolo 100 A,

Having regard to the proposal from the Commission (1),

vista la proposta della Commissione (1),

Having regard to the opinion of the Economic and Social Committee (2),

visto il parere del Comitato economico e sociale (2),

Acting in accordance with the procedure referred to in Article 189b of the Treaty (3),

deliberando conformemente alla procedura di cui all'articolo 189 B del trattato (3),

(1) Whereas the objectives of the Community, as laid down in the Treaty, as amended by the Treaty on European Union, include creating an ever closer union among the peoples of Europe, fostering closer relations between the States belonging to the Community, ensuring economic and social progress by common action to eliminate the barriers which divide Europe, encouraging the constant improvement of the living conditions of its peoples, preserving and strengthening peace and liberty and promoting democracy on the basis of the fundamental rights recognized in the constitution and laws of the Member States and in the European Convention for the Protection of Human Rights and Fundamental Freedoms;

(1) considerando che gli obiettivi della Comunità, enunciati nel trattato, come è stato modificato dal trattato sull'Unione europea, consistono nel realizzare un'unione sempre più stretta tra i popoli europei, nell'istituire relazioni più strette tra gli Stati che la Comunità riunisce, nell'assicurare mediante un'azione comune il progresso economico e sociale eliminando le barriere che dividono l'Europa, nel promuovere il miglioramento costante delle condizioni di vita delle sue popolazioni, nel preservare e rafforzare la pace e la libertà e nel promuovere la democrazia basandosi sui diritti fondamentali sanciti dalle costituzioni e dalle leggi degli Stati membri nonché dalla convenzione europea di salvaguardia dei diritti dell'uomo e delle libertà fondamentali;

(2) Whereas data-processing systems are designed to serve man; whereas they must, whatever the nationality or residence of natural persons, respect their fundamental rights and freedoms, notably the right to privacy, and contribute to economic and social progress, trade expansion and the well-being of individuals;

(2) considerando che i sistemi di trattamento dei dati sono al servizio dell'uomo; che essi, indipendentemente dalla nazionalità o dalla residenza delle persone fisiche, debbono rispettare le libertà e i diritti fondamentali delle stesse, in particolare la vita privata, e debbono contribuire al progresso economico e sociale, allo sviluppo degli scambi nonché al benessere degli individui;

(3) Whereas the establishment and functioning of an internal market in which, in accordance with Article 7a of the Treaty, the free movement of goods, persons, services and capital is ensured require not only that personal data should be able to flow freely from one Member State to another, but also that the fundamental rights of individuals should be safeguarded;

(3) considerando che l'instaurazione e il funzionamento del mercato interno, nel quale, conformemente all'articolo 7 A del trattato, è assicurata la libera circolazione delle merci, delle persone, dei servizi e dei capitali, esigono non solo che i dati personali possano circolare liberamente da uno Stato membro all'altro, ma che siano altresì salvaguardati i diritti fondamentali della persona;

(4) Whereas increasingly frequent recourse is being had in the Community to the processing of personal data in the various spheres of economic and social activity; whereas the progress made in information technology is making the processing and exchange of such data considerably easier;

(4) considerando che nella Comunità si ricorre sempre più frequentemente al trattamento di dati personali nei vari settori delle attività economiche e sociali; che i progressi registrati dalle tecnologie dell'informazione facilitano notevolmente il trattamento e lo scambio di tali dati;

(5) Whereas the economic and social integration resulting from the establishment and functioning of the internal market within the meaning of Article 7a of the Treaty will necessarily lead to a substantial increase in cross-border flows of personal data between all those involved in a private or public capacity in economic and social activity in the Member States; whereas the exchange of personal data between undertakings in different Member States is set to increase; whereas the national authorities in the various Member States are being called upon by virtue of Community law to collaborate and exchange personal data so as to be able to perform their duties or carry out tasks on behalf of an authority in another Member State within the context of the area without internal frontiers as constituted by the internal market;

(5) considerando che l'integrazione economica e sociale derivante dall'instaurazione e dal funzionamento del mercato interno ai sensi dell'articolo 7 A del trattato comporterà necessariamente un sensibile aumento dei flussi transfrontalieri di dati personali tra tutti i soggetti della vita economica e sociale degli Stati membri, siano essi privati o pubblici; che lo scambio di dati personali tra imprese stabilite in Stati membri differenti è destinato ad aumentare; che le amministrazioni nazionali dei vari Stati membri debbono collaborare, in applicazione del diritto comunitario, e scambiarsi i dati personali per poter svolgere la loro funzione o esercitare compiti per conto di un'amministrazione di un altro Stato membro, nell'ambito dello spazio senza frontiere costituito dal mercato interno;

(6) Whereas, furthermore, the increase in scientific and technical cooperation and the coordinated introduction of new telecommunications networks in the Community necessitate and facilitate cross-border flows of personal data;

(6) considerando, inoltre, che il rafforzamento della cooperazione scientifica e tecnica e la messa in opera coordinata di nuove reti di telecomunicazioni nella Comunità richiedono e facilitano la circolazione transfrontaliera di dati personali;

(7) Whereas the difference in levels of protection of the rights and freedoms of individuals, notably the right to privacy, with regard to the processing of personal data afforded in the Member States may prevent the transmission of such data from the territory of one Member State to that of another Member State; whereas this difference may therefore constitute an obstacle to the pursuit of a number of economic activities at Community level, distort competition and impede authorities in the discharge of their responsibilities under Community law; whereas this difference in levels of protection is due to the existence of a wide variety of national laws, regulations and administrative provisions;

(7) considerando che il divario nei livelli di tutela dei diritti e delle libertà personali, in particolare della vita privata, garantiti negli Stati membri relativamente al trattamento di dati personali può impedire la trasmissione dei dati stessi fra territori degli Stati membri e che tale divario può pertanto costituire un ostacolo all'esercizio di una serie di attività economiche su scala comunitaria, falsare la concorrenza e ostacolare, nell'adempimento dei loro compiti, le amministrazioni che intervengono nell'applicazione del diritto comunitario; che detto divario nel grado di tutela deriva dalla diversità disposizioni legislative, regolamentari ed amministrative nazionali;

(8) Whereas, in order to remove the obstacles to flows of personal data, the level of protection of the rights and freedoms of individuals with regard to the processing of such data must be equivalent in all Member States; whereas this objective is vital to the internal market but cannot be achieved by the Member States alone, especially in view of the scale of the divergences which currently exist between the relevant laws in the Member States and the need to coordinate the laws of the Member States so as to ensure that the cross-border flow of personal data is regulated in a consistent manner that is in keeping with the objective of the internal market as provided for in Article 7a of the Treaty; whereas Community action to approximate those laws is therefore needed;

(8) considerando che, per eliminare gli ostacoli alla circolazione dei dati personali, il livello di tutela dei diritti e delle libertà delle persone relativamente al trattamento di tali dati deve essere equivalente in tutti gli Stati membri; che tale obiettivo, fondamentale per il mercato interno, non può essere conseguito esclusivamente attraverso l'azione degli Stati membri, tenuto conto in particolare dell'ampia divergenza esistente attualmente tra le normative nazionali in materia e della necessità di coordinarle affinché il flusso transfrontaliero di dati personali sia disciplinato in maniera coerente e conforme all'obiettivo del mercato interno ai sensi dell'articolo 7 A del trattato; che risulta pertanto necessario un intervento della Comunità ai fini di un ravvicinamento delle legislazioni;

(9) Whereas, given the equivalent protection resulting from the approximation of national laws, the Member States will no longer be able to inhibit the free movement between them of personal data on grounds relating to protection of the rights and freedoms of individuals, and in particular the right to privacy; whereas Member States will be left a margin for manoeuvre, which may, in the context of implementation of the Directive, also be exercised by the business and social partners; whereas Member States will therefore be able to specify in their national law the general conditions governing the lawfulness of data processing; whereas in doing so the Member States shall strive to improve the protection currently provided by their legislation; whereas, within the limits of this margin for manoeuvre and in accordance with Community law, disparities could arise in the implementation of the Directive, and this could have an effect on the movement of data within a Member State as well as within the Community;

(9) considerando che, data la protezione equivalente derivante dal ravvicinamento delle legislazioni nazionali, gli Stati membri non potranno più ostacolare la libera circolazione tra loro di dati personali per ragioni inerenti alla tutela dei diritti e delle libertà delle persone fisiche, segnatamente del diritto alla vita privata; che gli Stati membri disporranno di un margine di manovra di cui potranno valersi, nell'applicazione della direttiva, i partner economici e sociali; che potranno quindi precisare nella loro legislazione nazionale le condizioni generali di liceità dei trattamenti; che così facendo gli Stati membri si adopereranno per migliorare la protezione attualmente prevista dalle loro leggi; che, nei limiti di tale margine di manovra e conformemente al diritto comunitario, potranno verificarsi divergenze nell'applicazione della direttiva e che queste potranno ripercuotersi sulla circolazione dei dati sia all'interno dello Stato membro che nelle Comunità;

(10) Whereas the object of the national laws on the processing of personal data is to protect fundamental rights and freedoms, notably the right to privacy, which is recognized both in Article 8 of the European Convention for the Protection of Human Rights and Fundamental Freedoms and in the general principles of Community law; whereas, for that reason, the approximation of those laws must not result in any lessening of the protection they afford but must, on the contrary, seek to ensure a high level of protection in the Community;

(10) considerando che le legislazioni nazionali relative al trattamento dei dati personali hanno lo scopo di garantire il rispetto dei diritti e delle libertà fondamentali, in particolare del diritto alla vita privata, riconosciuto anche dall'articolo 8 della Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali e dai principi generali del diritto comunitario; che pertanto il ravvicinamento di dette legislazioni non deve avere per effetto un indebolimento della tutela da esse assicurata ma deve anzi mirare a garantire un elevato grado di tutela nella Comunità;

(11) Whereas the principles of the protection of the rights and freedoms of individuals, notably the right to privacy, which are contained in this Directive, give substance to and amplify those contained in the Council of Europe Convention of 28 January 1981 for the Protection of Individuals with regard to Automatic Processing of Personal Data;

(11) considerando che i principi della tutela dei diritti e delle libertà delle persone, in particolare del rispetto della vita privata, contenuti dalla presente direttiva precisano ed ampliano quelli enunciati dalla convenzione del 28 gennaio 1981 del Consiglio d'Europa sulla protezione delle persone con riferimento al trattamento automatizzato dei dati di carattere personale;

(12) Whereas the protection principles must apply to all processing of personal data by any person whose activities are governed by Community law; whereas there should be excluded the processing of data carried out by a natural person in the exercise of activities which are exclusively personal or domestic, such as correspondence and the holding of records of addresses;

(12) considerando che i principi di tutela si devono applicare a tutti i trattamenti di dati personali quando le attività del responsabile del trattamento rientrano nel campo d'applicazione del diritto comunitario; che deve essere escluso il trattamento di dati effettuato da una persona fisica nell'esercizio di attività a carattere esclusivamente personale o domestico quali la corrispondenza e la compilazione di elenchi di indirizzi;

(13) Whereas the acitivities referred to in Titles V and VI of the Treaty on European Union regarding public safety, defence, State security or the acitivities of the State in the area of criminal laws fall outside the scope of Community law, without prejudice to the obligations incumbent upon Member States under Article 56 (2), Article 57 or Article 100a of the Treaty establishing the European Community; whereas the processing of personal data that is necessary to safeguard the economic well-being of the State does not fall within the scope of this Directive where such processing relates to State security matters;

(13) considerando che le attività previste dai titoli V e VI del trattato sull'Unione europea attinenti alla pubblica sicurezza, alla difesa, alla sicurezza dello Stato o alle attività dello Stato in materia di diritto penale non rientrano nel campo d'applicazione del diritto comunitario, fatti salvi gli obblighi che incombono agli Stati membri a norma dell'articolo 56, paragrafo 2, dell'articolo 57 e 100 A del trattato; che il trattamento di dati personali che è necessario alla salvaguardia del benessere economico dello Stato non rientra nell'ambito della presente direttiva qualora il trattamento sia legato a questioni di sicurezza dello Stato;

(14) Whereas, given the importance of the developments under way, in the framework of the information society, of the techniques used to capture, transmit, manipulate, record, store or communicate sound and image data relating to natural persons, this Directive should be applicable to processing involving such data;

(14) considerando che la presente direttiva dovrebbe applicarsi al trattamento dei dati in forma di suoni e immagini relativi a persone fisiche, vista la notevole evoluzione in corso nella società dell'informazione delle tecniche per captare, trasmettere, manipolare, registrare, conservare o comunicare siffatti dati;

(15) Whereas the processing of such data is covered by this Directive only if it is automated or if the data processed are contained or are intended to be contained in a filing system structured according to specific criteria relating to individuals, so as to permit easy access to the personal data in question;

(15) considerando che il trattamento de suddetti dati rientra nella presente direttiva soltanto se è automatizzato o se riguarda dati contenuti, o destinati ad essere contenuti, in un archivio strutturato secondo criteri specifici relativi alle persone, in modo da consentire un facile accesso ai dati personali di cui trattasi;

(16) Whereas the processing of sound and image data, such as in cases of video surveillance, does not come within the scope of this Directive if it is carried out for the purposes of public security, defence, national security or in the course of State activities relating to the area of criminal law or of other activities which do not come within the scope of Community law;

(16) considerando che nel campo d'applicazione della presente direttiva non rientra il trattamento di dati in forma di suoni e immagini, quali i dati di controllo video, finalizzato alla pubblica sicurezza, alla difesa, alla sicurezza dello Stato o all'esercizio di attività dello Stato nella sfera del diritto penale o di altre attività che esulano dal campo d'applicazione del diritto comunitario;

(17) Whereas, as far as the processing of sound and image data carried out for purposes of journalism or the purposes of literary or artistic expression is concerned, in particular in the audiovisual field, the principles of the Directive are to apply in a restricted manner according to the provisions laid down in Article 9;

(17) considerando che, per quanto attiene al trattamento di suoni e immagini finalizzato all'attività giornalistica o all'espressione letteraria o artistica, in particolare del settore audiovisivo, i principi della direttiva hanno un'applicazione limitata, conformemente a quanto dispone l'articolo 9;

(18) Whereas, in order to ensure that individuals are not deprived of the protection to which they are entitled under this Directive, any processing of personal data in the Community must be carried out in accordance with the law of one of the Member States; whereas, in this connection, processing carried out under the responsibility of a controller who is established in a Member State should be governed by the law of that State;

(18) considerando che, onde evitare che una persona venga privata della tutela cui ha diritto in forza della presente direttiva, è necessario che qualsiasi trattamento di dati personali effettuato nella Comunità rispetti la legislazione di uno degli Stati membri; che, a questo proposito, è opportuno assoggettare i trattamenti effettuati da una persona che opera sotto l'autorità del responsabile del trattamento stabilito in uno Stato membro alla legge di tale Stato;

(19) Whereas establishment on the territory of a Member State implies the effective and real exercise of activity through stable arrangements; whereas the legal form of such an establishment, whether simply branch or a subsidiary with a legal personality, is not the determining factor in this respect; whereas, when a single controller is established on the territory of several Member States, particularly by means of subsidiaries, he must ensure, in order to avoid any circumvention of national rules, that each of the establishments fulfils the obligations imposed by the national law applicable to its activities;

(19) considerando che lo stabilimento nel territorio di uno Stato membro implica l'esercizio effettivo e reale dell'attività mediante un'organizzazione stabile; che la forma giuridica di siffatto stabilimento, si tratti di una semplice succursale o di una filiale dotata di personalità giuridica, non è il fattore determinante a questo riguardo; che quando un unico responsabile del trattamento è stabilito nel territorio di diversi Stati membri, in particolare per mezzo di filiali, esso deve assicurare, segnatamente per evitare che le disposizioni vengano eluse, che ognuno degli stabilimenti adempia gli obblighi previsti dalla legge nazionale applicabile alle attività di ciascuno di essi;

(20) Whereas the fact that the processing of data is carried out by a person established in a third country must not stand in the way of the protection of individuals provided for in this Directive; whereas in these cases, the processing should be governed by the law of the Member State in which the means used are located, and there should be guarantees to ensure that the rights and obligations provided for in this Directive are respected in practice;

(20) considerando che la tutela delle persone prevista dalla presente direttiva non deve essere impedita dal fatto che il responsabile del trattamento sia stabilito in un paese terzo; che, in tal caso, è opportuno che i trattamenti effettuati siano disciplinati dalla legge dello Stato membro nel quale sono ubicati i mezzi utilizzati per il trattamento in oggetto e che siano prese le garanzie necessarie per consentire l'effettivo rispetto dei diritti e degli obblighi previsti dalla presente direttiva;

(21) Whereas this Directive is without prejudice to the rules of territoriality applicable in criminal matters;

(21) considerando che la presente direttiva lascia impregiudicate le norme di territorialità applicabili in materia penale;

(22) Whereas Member States shall more precisely define in the laws they enact or when bringing into force the measures taken under this Directive the general circumstances in which processing is lawful; whereas in particular Article 5, in conjunction with Articles 7 and 8, allows Member States, independently of general rules, to provide for special processing conditions for specific sectors and for the various categories of data covered by Article 8;

(22) considerando che gli Stati membri preciseranno, nella loro legislazione o in sede di applicazione delle norme di attuazione della presente direttiva, i requisiti generali di liceità del trattamento dei dati; che in particolare l'articolo 5, in combinato disposto con gli articoli 7 e 8, consente agli Stati membri di prevedere, indipendentemente dalle norme generali, condizioni particolari per il trattamento dei dati in settori specifici e per le varie categorie di dati di cui all'articolo 8;

(23) Whereas Member States are empowered to ensure the implementation of the protection of individuals both by means of a general law on the protection of individuals as regards the processing of personal data and by sectorial laws such as those relating, for example, to statistical institutes;

(23) considerando che gli Stati membri sono autorizzati ad assicurare la messa in opera della tutela delle persone sia mediante una legge generale relativa alla tutela delle persone contro il trattamento dei dati personali, sia mediante leggi settoriali, quali quelle relative ad esempio agli istituti di statistica;

(24) Whereas the legislation concerning the protection of legal persons with regard to the processing data which concerns them is not affected by this Directive;

(24) considerando che la presente direttiva lascia impregiudicate le normative relative alla tutela delle persone giuridiche riguardo al trattamento dei dati che le riguardano;

(25) Whereas the principles of protection must be reflected, on the one hand, in the obligations imposed on persons, public authorities, enterprises, agencies or other bodies responsible for processing, in particular regarding data quality, technical security, notification to the supervisory authority, and the circumstances under which processing can be carried out, and, on the other hand, in the right conferred on individuals, the data on whom are the subject of processing, to be informed that processing is taking place, to consult the data, to request corrections and even to object to processing in certain circumstances;

(25) considerando che i principi di tutela si esprimono, da un lato, nei vari obblighi a carico delle persone, autorità pubbliche, imprese, agenzie o altri organismi responsabili del trattamento, obblighi relativi in particolare alla qualità dei dati, alla sicurezza tecnica, alla notificazione all'autorità di controllo, alle circostanze in cui il trattamento può essere effettuato e, dall'altro, nel diritto delle persone, i cui dati sono oggetto di trattamento, di esserne informate, di poter accedere ai dati, e chiederne la rettifica, o di opporsi al trattamento in talune circostanze;

(26) Whereas the principles of protection must apply to any information concerning an identified or identifiable person; whereas, to determine whether a person is identifiable, account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person; whereas the principles of protection shall not apply to data rendered anonymous in such a way that the data subject is no longer identifiable; whereas codes of conduct within the meaning of Article 27 may be a useful instrument for providing guidance as to the ways in which data may be rendered anonymous and retained in a form in which identification of the data subject is no longer possible;

(26) considerando che i principi della tutela si devono applicare ad ogni informazione concernente una persona identificata o identificabile; che, per determinare se una persona è identificabile, è opportuno prendere in considerazione l'insieme dei mezzi che possono essere ragionevolmente utilizzati dal responsabile del trattamento o da altri per identificare detta persona; che i principi della tutela non si applicano a dati resi anonimi in modo tale che la persona interessata non è più identificabile; che i codici di condotta ai sensi dell'articolo 27 possono costituire uno strumento utile di orientamento sui mezzi grazie ai quali dati possano essere resi anonimi e registrati in modo da rendere impossibile l'identificazione della persona interessata;

(27) Whereas the protection of individuals must apply as much to automatic processing of data as to manual processing; whereas the scope of this protection must not in effect depend on the techniques used, otherwise this would create a serious risk of circumvention; whereas, nonetheless, as regards manual processing, this Directive covers only filing systems, not unstructured files; whereas, in particular, the content of a filing system must be structured according to specific criteria relating to individuals allowing easy access to the personal data; whereas, in line with the definition in Article 2 (c), the different criteria for determining the constituents of a structured set of personal data, and the different criteria governing access to such a set, may be laid down by each Member State; whereas files or sets of files as well as their cover pages, which are not structured according to specific criteria, shall under no circumstances fall within the scope of this Directive;

(27) considerando che la tutela delle persone fisiche deve essere applicata al trattamento dei dati sia automatizzato sia manuale; che la portata della tutela non deve infatti dipendere dalle tecniche impiegate poiché, in caso contrario, sussisterebbero gravi rischi di elusione delle disposizioni; che nondimeno, riguardo al trattamento manuale, la presente direttiva si applica soltanto agli archivi e non ai fascicoli non strutturati; che, in particolare, il contenuto di un archivio deve essere strutturato secondo criteri specifici relativi alle persone che consentano un facile accesso ai dati personali; che, in conformità alla definizione dell'articolo 2, lettera c), i diversi criteri che determinano gli elementi che costituiscono un insieme strutturato di dati personali, nonché i diversi criteri in virtù dei quali un siffatto insieme è accessibile, possono essere precisati dai singoli Stati membri; che i fascicoli o le serie di fascicoli, nonché le rispettive copertine, non strutturati secondo criteri specifici, non rientrano in nessun caso nel campo di applicazione della presente direttiva;

(28) Whereas any processing of personal data must be lawful and fair to the individuals concerned; whereas, in particular, the data must be adequate, relevant and not excessive in relation to the purposes for which they are processed; whereas such purposes must be explicit and legitimate and must be determined at the time of collection of the data; whereas the purposes of processing further to collection shall not be incompatible with the purposes as they were originally specified;

(28) considerando che qualsivoglia trattamento di dati personali deve essere eseguito lealmente e lecitamente nei confronti delle persone interessate; che esso deve in particolare avere per oggetto dati adeguati, pertinenti e non eccedenti rispetto alle finalità perseguite; che tali finalità devono essere esplicite e legittime e specificate al momento della raccolta dei dati; che le finalità dei trattamenti successivi alla raccolta non possono essere incompatibili con quelle originariamente specificate;

(29) Whereas the further processing of personal data for historical, statistical or scientific purposes is not generally to be considered incompatible with the purposes for which the data have previously been collected provided that Member States furnish suitable safeguards; whereas these safeguards must in particular rule out the use of the data in support of measures or decisions regarding any particular individual;

(29) considerando che l'ulteriore trattamento di dati personali per scopi storici, statistici o scientifici non è generalmente considerato incompatibile con le finalità per le quali i dati erano stati preventivamente raccolti, purché gli Stati membri forniscano adeguate garanzie; che tali garanzie devono soprattutto impedire l'uso dei dati per l'adozione di misure o decisioni nei confronti di singole persone;

(30) Whereas, in order to be lawful, the processing of personal data must in addition be carried out with the consent of the data subject or be necessary for the conclusion or performance of a contract binding on the data subject, or as a legal requirement, or for the performance of a task carried out in the public interest or in the exercise of official authority, or in the legitimate interests of a natural or legal person, provided that the interests or the rights and freedoms of the data subject are not overriding; whereas, in particular, in order to maintain a balance between the interests involved while guaranteeing effective competition, Member States may determine the circumstances in which personal data may be used or disclosed to a third party in the context of the legitimate ordinary business activities of companies and other bodies; whereas Member States may similarly specify the conditions under which personal data may be disclosed to a third party for the purposes of marketing whether carried out commercially or by a charitable organization or by any other association or foundation, of a political nature for example, subject to the provisions allowing a data subject to object to the processing of data regarding him, at no cost and without having to state his reasons;

(30) considerando che, per essere lecito, il trattamento di dati personali deve essere inoltre basato sul consenso della persona interessata oppure deve essere necessario ai fini della conclusione o dell'esecuzione di un contratto vincolante per la persona interessata, oppure deve essere previsto dalla legge, per l'esecuzione di un compito nell'interesse pubblico o per l'esercizio dell'autorità pubblica, o nell'interesse legittimo di un singolo individuo, a condizione che gli interessi o i diritti e le libertà della persona interessata non abbiano la prevalenza; che, segnatamente, per garantire un equilibrio degli interessi in causa, pur assicurando una concorrenza effettiva, gli Stati membri possono precisare le condizioni alle quali dati personali possono essere usati e comunicati a terzi nell'ambito di attività lecite di gestione corrente delle imprese o di altri organismi; che essi possono parimenti precisare le condizioni alle quali può essere effettuata la comunicazione a terzi di dati personali a fini di prospezione, sia che si tratti di invio di materiale pubblicitario che di invio di materiale promosso da un'associazione a scopo benefico o da altre associazioni o fondazioni, ad esempio a carattere politico, nel rispetto delle disposizioni volte a consentire alle persone interessate di opporsi senza dover fornire una motivazione e senza spese al trattamento dei dati che le riguardano;

(31) Whereas the processing of personal data must equally be regarded as lawful where it is carried out in order to protect an interest which is essential for the data subject's life;

(31) considerando che un trattamento di dati personali deve essere ugualmente considerato lecito quando è effettuato per tutelare un interesse essenziale alla vita della persona interessata;

(32) Whereas it is for national legislation to determine whether the controller performing a task carried out in the public interest or in the exercise of official authority should be a public administration or another natural or legal person governed by public law, or by private law such as a professional association;

(32) considerando che spetta alle legislazioni nazionali stabilire se il responsabile del trattamento investito di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri debba essere una pubblica amministrazione o un altro soggetto di diritto pubblico o di diritto privato, quale un'associazione professionale;

(33) Whereas data which are capable by their nature of infringing fundamental freedoms or privacy should not be processed unless the data subject gives his explicit consent; whereas, however, derogations from this prohibition must be explicitly provided for in respect of specific needs, in particular where the processing of these data is carried out for certain health-related purposes by persons subject to a legal obligation of professional secrecy or in the course of legitimate activities by certain associations or foundations the purpose of which is to permit the exercise of fundamental freedoms;

(33) considerando che i dati che possono per loro natura ledere le libertà fondamentali o la vita privata non dovrebbero essere oggetto di trattamento, salvo esplicito consenso della persona interessata; che tuttavia le deroghe a questo divieto devono essere espressamente previste nei casi di necessità specifiche, segnatamente laddove il trattamento di tali dati viene eseguito da persone assoggettate per legge all'obbligo del segreto professionale per taluni fini connessi alla sanità o per le legittime attività di talune associazioni o fondazioni il cui scopo consista nel permettere l'esercizio delle libertà fondamentali;

(34) Whereas Member States must also be authorized, when justified by grounds of important public interest, to derogate from the prohibition on processing sensitive categories of data where important reasons of public interest so justify in areas such as public health and social protection - especially in order to ensure the quality and cost-effectiveness of the procedures used for settling claims for benefits and services in the health insurance system - scientific research and government statistics; whereas it is incumbent on them, however, to provide specific and suitable safeguards so as to protect the fundamental rights and the privacy of individuals;

(34) considerando che gli Stati membri devono anche essere autorizzati, quando un motivo di interesse pubblico rilevante lo giustifichi, a derogare al divieto di trattamento di categorie di dati di natura delicata in settori quali la pubblica sanità e la protezione sociale - soprattutto al fine di assicurare la qualità e la redditività per quanto riguarda le procedure per rispondere alle richieste di prestazioni e servizi nell'ambito del regime di assicurazione sanitaria -, la ricerca scientifica nonché le statistiche pubbliche; che spetta loro tuttavia prevedere le garanzie appropriate e specifiche per tutelare i diritti fondamentali e la vita privata delle persone;

(35) Whereas, moreover, the processing of personal data by official authorities for achieving aims, laid down in constitutional law or international public law, of officially recognized religious associations is carried out on important grounds of public interest;

(35) considerando inoltre che il trattamento di dati personali da parte di pubbliche autorità per la realizzazione degli scopi, previsti dal diritto costituzionale o dal diritto internazionale pubblico, di associazioni religiose ufficialmente riconosciute viene effettuato per motivi di rilevante interesse pubblico;

(36) Whereas where, in the course of electoral activities, the operation of the democratic system requires in certain Member States that political parties compile data on people's political opinion, the processing of such data may be permitted for reasons of important public interest, provided that appropriate safeguards are established;

(36) considerando che, se nelle attività connesse con le elezioni il funzionamento del sistema democratico rende necessaria, in alcuni Stati membri, la raccolta da parte di partiti politici di dati sulle opinioni politiche delle persone, può essere consentito il trattamento di siffatti dati per motivi di interesse pubblico rilevante, purché siano stabilite garanzie appropriate;

(37) Whereas the processing of personal data for purposes of journalism or for purposes of literary of artistic expression, in particular in the audiovisual field, should qualify for exemption from the requirements of certain provisions of this Directive in so far as this is necessary to reconcile the fundamental rights of individuals with freedom of information and notably the right to receive and impart information, as guaranteed in particular in Article 10 of the European Convention for the Protection of Human Rights and Fundamental Freedoms; whereas Member States should therefore lay down exemptions and derogations necessary for the purpose of balance between fundamental rights as regards general measures on the legitimacy of data processing, measures on the transfer of data to third countries and the power of the supervisory authority; whereas this should not, however, lead Member States to lay down exemptions from the measures to ensure security of processing; whereas at least the supervisory authority responsible for this sector should also be provided with certain ex-post powers, e.g. to publish a regular report or to refer matters to the judicial authorities;

(37) considerando che il trattamento di dati personali a scopi giornalistici o di espressione artistica o letteraria, in particolare nel settore audiovisivo deve beneficiare di deroghe o di limitazioni a determinate disposizioni della presente direttiva ove sia necessario per conciliare i diritti fondamentali della persona con la libertà di espressione ed in particolare la libertà di ricevere o di comunicare informazioni, quale garantita in particolare dall'articolo 10 della Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali; che pertanto, al fine di stabilire un equilibrio fra i diritti fondamentali, gli Stati membri devono prevedere le deroghe e le limitazioni necessarie in materia di misure generali concernenti la legittimità del trattamento di dati, di misure relative al trasferimento di dati nei paesi terzi nonché di competenze degli uffici preposti al controllo; che tuttavia ciò non dovrebbe permettere agli Stati membri di prevedere deroghe alle misure di garanzia della sicurezza del trattamento; che agli uffici preposti al controllo in tale settore dovrebbero essere parimenti conferite almeno determinate competenze a posteriori, ad esempio la competenza di pubblicare periodicamente una relazione o di adire l'autorità giudiziaria;

(38) Whereas, if the processing of data is to be fair, the data subject must be in a position to learn of the existence of a processing operation and, where data are collected from him, must be given accurate and full information, bearing in mind the circumstances of the collection;

(38) considerando che il trattamento leale dei dati presuppone che le persone interessate possano conoscere l'esistenza del trattamento e disporre, quando i dati che le riguardano sono forniti direttamente da loro, di un'informazione effettiva e completa in merito alle circostanze della raccolta;

(39) Whereas certain processing operations involve data which the controller has not collected directly from the data subject; whereas, furthermore, data can be legitimately disclosed to a third party, even if the disclosure was not anticipated at the time the data were collected from the data subject; whereas, in all these cases, the data subject should be informed when the data are recorded or at the latest when the data are first disclosed to a third party;

(39) considerando che alcuni trattamenti riguardano dati che il responsabile non ha raccolto direttamente presso la persona interessata; che è peraltro possibile che taluni dati siano legittimamente comunicati a terzi anche se tale comunicazione non era stata prevista all'atto della raccolta dei dati presso la persona interessata; che, in tutti questi casi, la persona interessata deve essere informata al momento della registrazione dei dati o al massimo quando essi sono comunicati per la prima volta a terzi;

(40) Whereas, however, it is not necessary to impose this obligation of the data subject already has the information; whereas, moreover, there will be no such obligation if the recording or disclosure are expressly provided for by law or if the provision of information to the data subject proves impossible or would involve disproportionate efforts, which could be the case where processing is for historical, statistical or scientific purposes; whereas, in this regard, the number of data subjects, the age of the data, and any compensatory measures adopted may be taken into consideration;

(40) considerando che non è tuttavia necessario imporre tale obbligo se la persona interessata è già informata; che, inoltre, tale obbligo non è previsto se la registrazione o la comunicazione sono espressamente previste dalla legge ovvero se informare la persona interessata risulta impossibile o implica uno sforzo eccessivo, come può verificarsi per i trattamenti a fini storici, statistici o scientifici; che in questo caso si può tener conto del numero di persone interessate, dell'antichità dei dati e delle eventuali misure di compensazione;

(41) Whereas any person must be able to exercise the right of access to data relating to him which are being processed, in order to verify in particular the accuracy of the data and the lawfulness of the processing; whereas, for the same reasons, every data subject must also have the right to know the logic involved in the automatic processing of data concerning him, at least in the case of the automated decisions referred to in Article 15 (1); whereas this right must not adversely affect trade secrets or intellectual property and in particular the copyright protecting the software; whereas these considerations must not, however, result in the data subject being refused all information;

(41) considerando che una persona deve godere del diritto d'accesso ai dati che la riguardano e che sono oggetto di trattamento, per poter verificare, in particolare, la loro esattezza e la liceità del trattamento; che, per le stesse ragioni, le persone devono avere inoltre il diritto di conoscere la logica su cui si basa il trattamento automatizzato dei dati che le riguardano, perlomeno nel caso delle decisioni automatizzate di cui all'articolo 15, paragrafo 1; che tale diritto deve lasciare impregiudicati il segreto industriale e aziendale e la proprietà intellettuale, segnatamente i diritti d'autore che tutelano il software; che ciò non dovrebbe comunque tradursi nel rifiuto di fornire qualsiasi informazione alla persona interessata;

(42) Whereas Member States may, in the interest of the data subject or so as to protect the rights and freedoms of others, restrict rights of access and information; whereas they may, for example, specify that access to medical data may be obtained only through a health professional;

(42) considerando che gli Stati membri possono, a beneficio della persona interessata o a tutela dei diritti e delle libertà altrui, limitare il diritto d'accesso e d'informazione; che possono, ad esempio, precisare che l'accesso ai dati medici è possibile soltanto per il tramite del personale sanitario;

(43) Whereas restrictions on the rights of access and information and on certain obligations of the controller may similarly be imposed by Member States in so far as they are necessary to safeguard, for example, national security, defence, public safety, or important economic or financial interests of a Member State or the Union, as well as criminal investigations and prosecutions and action in respect of breaches of ethics in the regulated professions; whereas the list of exceptions and limitations should include the tasks of monitoring, inspection or regulation necessary in the three last-mentioned areas concerning public security, economic or financial interests and crime prevention; whereas the listing of tasks in these three areas does not affect the legitimacy of exceptions or restrictions for reasons of State security or defence;

(43) considerando che gli Stati membri possono altresì imporre analoghe restrizioni al diritto di accesso e di informazione e ad alcuni obblighi del responsabile del trattamento nella misura in cui tali restrizioni siano necessarie per salvaguardare, ad esempio, la sicurezza nazionale, la difesa, la pubblica sicurezza, importanti interessi economici o finanziari di uno Stato membro o dell'Unione, nonché per indagini e procedimenti penali e in caso di violazioni dell'etica delle professioni regolamentate; che occorre elencare, a titolo di deroghe e restrizioni, i compiti di controllo, di indagine o di regolamentazione necessari negli ultimi tre settori suindicati relativamente alla pubblica sicurezza, agli interessi economici o finanziari e alla repressione penale; che l'elenco dei compiti relativi a questi tre settori lascia impregiudicata la legittimità delle deroghe e restrizioni giustificate da ragioni di sicurezza di Stato e di difesa;

(44) Whereas Member States may also be led, by virtue of the provisions of Community law, to derogate from the provisions of this Directive concerning the right of access, the obligation to inform individuals, and the quality of data, in order to secure certain of the purposes referred to above;

(44) considerando che gli Stati membri possono essere indotti, in forza di disposizioni di diritto comunitario, a derogare alle disposizioni della presente direttiva in materia di diritto d'accesso, di informazione delle persone e di qualità dei dati, onde salvaguardare alcune delle finalità di cui sopra;

(45) Whereas, in cases where data might lawfully be processed on grounds of public interest, official authority or the legitimate interests of a natural or legal person, any data subject should nevertheless be entitled, on legitimate and compelling grounds relating to his particular situation, to object to the processing of any data relating to himself; whereas Member States may nevertheless lay down national provisions to the contrary;

(45) considerando che, in caso di dati che potrebbero essere oggetto di un trattamento lecito per ragioni di interesse pubblico, di esercizio dell'autorità pubblica o di interesse legittimo di un singolo, qualsiasi persona interessata dovrebbe comunque avere il diritto, per ragioni preminenti e legittime connesse alla sua situazione particolare, di opporsi al trattamento dei dati che la riguardano; che gli Stati membri hanno tuttavia la facoltà di prevedere disposizioni nazionali contrarie;

(46) Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected;

(46) considerando che la tutela dei diritti e delle libertà delle persone interessate relativamente al trattamento di dati personali richiede l'adozione di adeguate misure tecniche ed organizzative sia al momento della progettazione che a quello dell'esecuzione del trattamento, in particolare per garantirne la sicurezza ed impedire in tal modo qualsiasi trattamento non autorizzato; che spetta agli Stati membri accertarsi che il responsabile del trattamento osservi tali misure; che queste devono assicurare un adeguato livello di sicurezza, tenuto conto delle conoscenze tecniche e dei costi dell'esecuzione rispetto ai rischi che i trattamenti presentano e alla natura dei dati da proteggere;

(47) Whereas where a message containing personal data is transmitted by means of a telecommunications or electronic mail service, the sole purpose of which is the transmission of such messages, the controller in respect of the personal data contained in the message will normally be considered to be the person from whom the message originates, rather than the person offering the transmission services; whereas, nevertheless, those offering such services will normally be considered controllers in respect of the processing of the additional personal data necessary for the operation of the service;

(47) considerando che, laddove un messaggio contenente dati personali sia trasmesso tramite un servizio di telecomunicazioni o di posta elettronica, finalizzato unicamente alla trasmissione di siffatti messaggi, si considera, di norma, responsabile del trattamento dei dati personali contenuti del messaggio la persona che lo ha emanato e non la persona che presta il servizio di trasmissione; che tuttavia le persone che prestano tali servizi sono di norma considerate responsabili del trattamento dei dati personali supplementari necessari per il funzionamento del servizio;

(48) Whereas the procedures for notifying the supervisory authority are designed to ensure disclosure of the purposes and main features of any processing operation for the purpose of verification that the operation is in accordance with the national measures taken under this Directive;

(48) considerando che la notificazione all'autorità di controllo ha lo scopo di dare pubblicità alle finalità del trattamento ed alle sul principali caratteristiche, per consentirne il controllo secondo le norme nazionali di attuazione della presente direttiva;

(49) Whereas, in order to avoid unsuitable administrative formalities, exemptions from the obligation to notify and simplification of the notification required may be provided for by Member States in cases where processing is unlikely adversely to affect the rights and freedoms of data subjects, provided that it is in accordance with a measure taken by a Member State specifying its limits; whereas exemption or simplification may similarly be provided for by Member States where a person appointed by the controller ensures that the processing carried out is not likely adversely to affect the rights and freedoms of data subjects; whereas such a data protection official, whether or not an employee of the controller, must be in a position to exercise his functions in complete independence;

(49) considerando che, al fine di evitare formalità amministrative improprie, possono essere previste dagli Stati membri misure di esenzione dall'obbligo di notificazione o di semplificazione di quest'ultima per i trattamenti che non sono tali da recare pregiudizio ai diritti e alle libertà delle persone interessate, purché siano conformi ad un atto adottato dallo Stato membro che ne precisi i limiti; che gli Stati membri possono analogamente prevedere esenzioni o semplificazioni qualora una persona incaricata dal responsabile del trattamento si accerti che i trattamenti effettuati non sono tali da ledere i diritti e le libertà delle persone interessate; che detto incaricato della protezione dei dati, dipendente o meno del responsabile del trattamento, deve essere in grado di esercitare le sue funzioni in modo del tutto indipendente;

(50) Whereas exemption or simplification could be provided for in cases of processing operations whose sole purpose is the keeping of a register intended, according to national law, to provide information to the public and open to consultation by the public or by any person demonstrating a legitimate interest;

(50) considerando che potrebbero essere previste esenzioni o semplificazioni per i trattamenti il cui unico scopo sia la tenuta di registri finalizzati, ai sensi del diritto nazionale, all'informazione del pubblico e aperti alla consultazione del pubblico o di chiunque dimostri un interesse legittimo;

(51) Whereas, nevertheless, simplification or exemption from the obligation to notify shall not release the controller from any of the other obligations resulting from this Directive;

(51) considerando che il responsabile del trattamento beneficiario della semplificazione o dell'esenzione dall'obbligo di notificazione non è tuttavia dispensato da nessuno degli altri obblighi che gli incombono a norma della presente direttiva;

(52) Whereas, in this context, ex post facto verification by the competent authorities must in general be considered a sufficient measure;

(52) considerando che, in questo contesto, il controllo a posteriori da parte delle autorità competenti deve essere ritenuto di norma sufficiente;

(53) Whereas, however, certain processing operation are likely to pose specific risks to the rights and freedoms of data subjects by virtue of their nature, their scope or their purposes, such as that of excluding individuals from a right, benefit or a contract, or by virtue of the specific use of new technologies; whereas it is for Member States, if they so wish, to specify such risks in their legislation;

(53) considerando che, tuttavia, alcuni trattamenti possono presentare rischi particolari per i diritti e le libertà delle persone interessate, per natura, portata o finalità, quali quello di escludere una persona dal beneficio di un diritto, di una prestazione o di un contratto, ovvero a causa dell'uso particolare di una tecnologia nuova; che spetta agli Stati membri, se lo vorranno, precisare tali rischi nella legislazione nazionale;

(54) Whereas with regard to all the processing undertaken in society, the amount posing such specific risks should be very limited; whereas Member States must provide that the supervisory authority, or the data protection official in cooperation with the authority, check such processing prior to it being carried out; whereas following this prior check, the supervisory authority may, according to its national law, give an opinion or an authorization regarding the processing; whereas such checking may equally take place in the course of the preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which defines the nature of the processing and lays down appropriate safeguards;

(54) considerando che il numero dei trattamenti che presentano tali rischi particolari dovrebbe essere molto esiguo rispetto al totale dei trattamenti effettuati nella società; che, per siffatti trattamenti, gli Stati membri devono prevedere, prima che inizi il trattamento, un esame da parte dell'autorità di controllo, o dell'incaricato della protezione dei dati in collaborazione con essa; che a seguito di tale esame preliminare l'autorità di controllo può, in base al diritto nazionale d'applicazione, formulare un parere o autorizzare il trattamento dei dati; che detto esame può aver luogo anche durante il processo di elaborazione di un provvedimento del Parlamento nazionale ovvero di un provvedimento basato su tale provvedimento legislativo, in cui si definisca la natura del trattamento e si precisino le garanzie appropriate;

(55) Whereas, if the controller fails to respect the rights of data subjects, national legislation must provide for a judicial remedy; whereas any damage which a person may suffer as a result of unlawful processing must be compensated for by the controller, who may be exempted from liability if he proves that he is not responsible for the damage, in particular in cases where he establishes fault on the part of the data subject or in case of force majeure; whereas sanctions must be imposed on any person, whether governed by private of public law, who fails to comply with the national measures taken under this Directive;

(55) considerando che, in caso di violazione dei diritti delle persone interessate da parte del responsabile del trattamento, le legislazioni nazionali devono prevedere vie di ricorso giurisdizionale; che i danni cagionati alle persone per effetto di un trattamento illecito devono essere riparati dal responsabile del trattamento, il quale può essere esonerato dalla propria responsabilità se prova che l'evento dannoso non gli è imputabile, segnatamente quando dimostra l'esistenza di un errore della persona interessata o un caso di forza maggiore; che sanzioni debbono essere applicate nei confronti di qualsiasi soggetto di diritto privato o di diritto pubblico che non rispetti le norme nazionali di attuazione della presente direttiva;

(56) Whereas cross-border flows of personal data are necessary to the expansion of international trade; whereas the protection of individuals guaranteed in the Community by this Directive does not stand in the way of transfers of personal data to third countries which ensure an adequate level of protection; whereas the adequacy of the level of protection afforded by a third country must be assessed in the light of all the circumstances surrounding the transfer operation or set of transfer operations;

(56) considerando che lo sviluppo degli scambi internazionali comporta necessariamente il trasferimento oltre frontiera di dati personali; che la tutela delle persone garantita nella Comunità dalla presente direttiva non osta al trasferimento di dati personali verso paesi terzi che garantiscano un livello di protezione adeguato; che l'adeguatezza della tutela offerta da un paese terzo deve essere valutata in funzione di tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti;

(57) Whereas, on the other hand, the transfer of personal data to a third country which does not ensure an adequate level of protection must be prohibited;

(57) considerando, per contro, che deve essere vietato il trasferimento di dati personali verso un paese terzo che non offre un livello di protezione adeguato;

(58) Whereas provisions should be made for exemptions from this prohibition in certain circumstances where the data subject has given his consent, where the transfer is necessary in relation to a contract or a legal claim, where protection of an important public interest so requires, for example in cases of international transfers of data between tax or customs administrations or between services competent for social security matters, or where the transfer is made from a register established by law and intended for consultation by the public or persons having a legitimate interest; whereas in this case such a transfer should not involve the entirety of the data or entire categories of the data contained in the register and, when the register is intended for consultation by persons having a legitimate interest, the transfer should be made only at the request of those persons or if they are to be the recipients;

(58) considerando che devono essere previste, in talune circostanze, deroghe a tale divieto a condizione che la persona interessata vi abbia consentito, che il trasferimento sia necessario in relazione ad un contratto o da un'azione legale, oppure qualora il trasferimento sia necessario per la salvaguardia di un interesse pubblico rilevante, per esempio in casi di scambi internazionali di dati tra le amministrazioni fiscali o doganali oppure tra i servizi competenti per la sicurezza sociale, o qualora il trasferimento avvenga da un registro previsto dalla legge e destinato ad essere consultato dal pubblico o dalle persone aventi un interesse legittimo; che tale trasferimento non deve riguardare la totalità dei dati o delle categorie di dati contenuti nel registro suddetto; che il trasferimento di un registro destinato ad essere consultato dalle persone aventi un interesse legittimo dovrebbe essere possibile soltanto su richiesta di tali persone o qualora esse ne siano i destinatari;

(59) Whereas particular measures may be taken to compensate for the lack of protection in a third country in cases where the controller offers appropriate safeguards; whereas, moreover, provision must be made for procedures for negotiations between the Community and such third countries;

(59) considerando che possono essere adottate misure particolari per rimediare al livello di protezione insufficiente di un paese terzo, qualora il responsabile del trattamento offra le opportune garanzie; che inoltre debbono essere previste procedure di negoziato fra la Comunità e i paesi terzi in questione;

(60) Whereas, in any event, transfers to third countries may be effected only in full compliance with the provisions adopted by the Member States pursuant to this Directive, and in particular Article 8 thereof;

(60) considerando che comunque i trasferimenti di dati verso i paesi terzi possono aver luogo soltanto nel pieno rispetto delle disposizioni prese dagli Stati membri in applicazione della presente direttiva, in particolare dell'articolo 8;

(61) Whereas Member States and the Commission, in their respective spheres of competence, must encourage the trade associations and other representative organizations concerned to draw up codes of conduct so as to facilitate the application of this Directive, taking account of the specific characteristics of the processing carried out in certain sectors, and respecting the national provisions adopted for its implementation;

(61) considerando che gli Stati membri e la Commissione, nei rispettivi settori di competenza, devono incoraggiare gli ambienti professionali interessati a elaborare codici di condotta destinati a favorire, secondo le caratteristiche specifiche dei trattamenti effettuati in taluni settori, l'attuazione della presente direttiva nel rispetto delle disposizioni nazionali di applicazione della stessa;

(62) Whereas the establishment in Member States of supervisory authorities, exercising their functions with complete independence, is an essential component of the protection of individuals with regard to the processing of personal data;

(62) considerando che la designazione di autorità di controllo che agiscano in modo indipendente in ciascuno Stato membro è un elemento essenziale per la tutela delle persone con riguardo al trattamento di dati personali;

(63) Whereas such authorities must have the necessary means to perform their duties, including powers of investigation and intervention, particularly in cases of complaints from individuals, and powers to engage in legal proceedings; whereas such authorities must help to ensure transparency of processing in the Member States within whose jurisdiction they fall;

(63) considerando che tali autorità devono disporre dei mezzi necessari all'adempimento dei loro compiti, siano essi poteri investigativi o di intervento, segnatamente in caso di reclami di singoli individui, nonché poteri di avviare azioni legali; che esse debbono contribuire alla trasparenza dei trattamenti effettuati nello Stato membro da cui dipendono;

(64) Whereas the authorities in the different Member States will need to assist one another in performing their duties so as to ensure that the rules of protection are properly respected throughout the European Union;

(64) considerando che le autorità dei vari Stati membri sono tenute a collaborare nello svolgimento dei propri compiti in modo tale da assicurare che le norme relative alla tutela vengano pienamente rispettate in tutta l'Unione europea;

(65) Whereas, at Community level, a Working Party on the Protection of Individuals with regard to the Processing of Personal Data must be set up and be completely independent in the performance of its functions; whereas, having regard to its specific nature, it must advise the Commission and, in particular, contribute to the uniform application of the national rules adopted pursuant to this Directive;

(65) considerando che, a livello comunitario, deve essere istituito un gruppo per la tutela delle persone con riguardo al trattamento dei dati personali e che esso deve esercitare le sue funzioni in piena indipendenza; che, tenuto conto di tale carattere specifico, esso deve consigliare la Commissione e contribuire in particolare all'applicazione omogenea delle norme nazionali di attuazione della presente direttiva;

(66) Whereas, with regard to the transfer of data to third countries, the application of this Directive calls for the conferment of powers of implementation on the Commission and the establishment of a procedure as laid down in Council Decision 87/373/EEC (1);

(66) considerando che, in ordine al trasferimento di dati verso i paesi terzi, l'applicazione della presente direttiva richiede l'attribuzione alla Commissione di competenze d'esecuzione nonché l'istituzione di una procedura secondo le modalità fissate nella decisione 87/373/CEE del Consiglio (1);

(67) Whereas an agreement on a modus vivendi between the European Parliament, the Council and the Commission concerning the implementing measures for acts adopted in accordance with the procedure laid down in Article 189b of the EC Treaty was reached on 20 December 1994;

(67) considerando che il 20 dicembre 1994 è stato raggiunto un accordo su un «modus vivendi» tra Parlamento europeo, Consiglio e Commissione sulle misure di attuazione degli atti adottati in base alla procedura stabilita all'articolo 189 B del trattato CE;

(68) Whereas the principles set out in this Directive regarding the protection of the rights and freedoms of individuals, notably their right to privacy, with regard to the processing of personal data may be supplemented or clarified, in particular as far as certain sectors are concerned, by specific rules based on those principles;

(68) considerando che i principi della tutela dei diritti e delle libertà delle persone, in particolare del rispetto della vita privata, con riguardo al trattamento di dati personali, oggetto della presente direttiva, potranno essere completati o precisati, soprattutto per taluni settori, da norme specifiche ad essi conformi;

(69) Whereas Member States should be allowed a period of not more than three years from the entry into force of the national measures transposing this Directive in which to apply such new national rules progressively to all processing operations already under way; whereas, in order to facilitate their cost-effective implementation, a further period expiring 12 years after the date on which this Directive is adopted will be allowed to Member States to ensure the conformity of existing manual filing systems with certain of the Directive's provisions; whereas, where data contained in such filing systems are manually processed during this extended transition period, those systems must be brought into conformity with these provisions at the time of such processing;

(69) considerando che è opportuno concedere agli Stati membri un termine non superiore a tre anni a decorrere dall'entrata in vigore delle disposizioni nazionali di recepimento della presente direttiva, per consentire loro di applicare progressivamente a tutti i trattamenti già realizzati dette nuove disposizioni nazionali; che per agevolare un'applicazione efficiente in termini di costi sarà concesso agli Stati membri un ulteriore periodo che si concluderà dodici anni dopo la data di adozione della presente direttiva, in modo tale che venga assicurata la conformità degli archivi manuali esistenti con alcune disposizioni della direttiva; che i dati contenuti in detti archivi e oggetto di un trattamento manuale effettivo nel corso di questo periodo di transizione supplementare devono essere resi conformi con le presenti disposizioni all'atto di tale trattamento attivo;

(70) Whereas it is not necessary for the data subject to give his consent again so as to allow the controller to continue to process, after the national provisions taken pursuant to this Directive enter into force, any sensitive data necessary for the performance of a contract concluded on the basis of free and informed consent before the entry into force of these provisions;

(70) considerando che non occorre che la persona interessata dia nuovamente il suo consenso affinché il responsabile possa proseguire, dopo l'entrata in vigore delle disposizioni nazionali di attuazione della presente direttiva, i trattamenti dei dati di natura delicata necessari all'esecuzione di un contratto concluso in base ad un consenso libero e con cognizione di causa prima dell'entrata in vigore delle suddette disposizioni;

(71) Whereas this Directive does not stand in the way of a Member State's regulating marketing activities aimed at consumers residing in territory in so far as such regulation does not concern the protection of individuals with regard to the processing of personal data;

(71) considerando che la presente direttiva non osta alla disciplina da parte uno Stato membro delle attività di invio di materiale pubblicitario destinato ai consumatori residenti nel proprio territorio, purché detta disciplina non riguardi la tutela delle persone relativamente al trattamento dei dati personali;

(72) Whereas this Directive allows the principle of public access to official documents to be taken into account when implementing the principles set out in this Directive,

(72) considerando che la presente direttiva consente che nell'applicazione dei principi in essa stabiliti si tenga conto del principio dell'accesso del pubblico ai documenti ufficiali,

HAVE ADOPTED THIS DIRECTIVE:

HANNO ADOTTATO LA PRESENTE DIRETTIVA:

CHAPTER I GENERAL PROVISIONS

CAPO I DISPOSIZIONI GENERALI

Article 1

Articolo 1

Object of the Directive

Oggetto della direttiva

1. In accordance with this Directive, Member States shall protect the fundamental rights and freedoms of natural persons, and in particular their right to privacy with respect to the processing of personal data.

1. Gli Stati membri garantiscono, conformemente alle disposizioni della presente direttiva, la tutela dei diritti e delle libertà fondamentali delle persone fisiche e particolarmente del diritto alla vita privata, con riguardo al trattamento dei dati personali.

2. Member States shall neither restrict nor prohibit the free flow of personal data between Member States for reasons connected with the protection afforded under paragraph 1.

2. Gli Stati membri non possono restringere o vietare la libera circolazione dei dati personali tra Stati membri, per motivi connessi alla tutela garantita a norma del paragrafo 1.

Article 2

Articolo 2

Definitions

Definizioni

For the purposes of this Directive:

Ai fini della presente direttiva si intende per:

(a) 'personal data' shall mean any information relating to an identified or identifiable natural person ('data subject'); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity;

a) «dati personali»: qualsiasi informazione concernente una persona fisica identificata o identificabile («persona interessata»); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero di identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;

(b) 'processing of personal data' ('processing') shall mean any operation or set of operations which is performed upon personal data, whether or not by automatic means, such as collection, recording, organization, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, blocking, erasure or destruction;

b) «trattamento di dati personali» («trattamento»): qualsiasi operazione o insieme di operazioni compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione o la modifica, l'estrazione, la consultazione, l'impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, nonché il congelamento, la cancellazione o la distruzione;

(c) 'personal data filing system' ('filing system') shall mean any structured set of personal data which are accessible according to specific criteria, whether centralized, decentralized or dispersed on a functional or geographical basis;

c) «archivio di dati personali» («archivio»): qualsiasi insieme strutturato di dati personali accessibili, secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico;

(d) 'controller' shall mean the natural or legal person, public authority, agency or any other body which alone or jointly with others determines the purposes and means of the processing of personal data; where the purposes and means of processing are determined by national or Community laws or regulations, the controller or the specific criteria for his nomination may be designated by national or Community law;

d) «responsabile del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali. Quando le finalità e i mezzi del trattamento sono determinati da disposizioni legislative o regolamentari nazionali o comunitarie, il responsabile del trattamento o i criteri specifici per al sua designazione possono essere fissati dal diritto nazionale o comunitario;

(e) 'processor' shall mean a natural or legal person, public authority, agency or any other body which processes personal data on behalf of the controller;

e) «incaricato del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del responsabile del trattamento;

(f) 'third party' shall mean any natural or legal person, public authority, agency or any other body other than the data subject, the controller, the processor and the persons who, under the direct authority of the controller or the processor, are authorized to process the data;

f) «terzi»: la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che non sia la persona interessata, il responsabile del trattamento, l'incaricato del trattamento e le persone autorizzate all'elaborazione dei dati sotto la loro autorità diretta;

(g) 'recipient' shall mean a natural or legal person, public authority, agency or any other body to whom data are disclosed, whether a third party or not; however, authorities which may receive data in the framework of a particular inquiry shall not be regarded as recipients;

g) «destinatario»: la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati, che si tratti o meno di un terzo. Tuttavia, le autorità che possono ricevere comunicazione di dati nell'ambito di una missione d'inchiesta specifica non sono considerate destinatari;

(h) 'the data subject's consent' shall mean any freely given specific and informed indication of his wishes by which the data subject signifies his agreement to personal data relating to him being processed.

h) «consenso della persona interessata»: qualsiasi manifestazione di volontà libera, specifica e informata con la quale la persona interessata accetta che i dati personali che la riguardano siano oggetto di un trattamento.

Article 3

Articolo 3

Scope

Campo d'applicazione

1. This Directive shall apply to the processing of personal data wholly or partly by automatic means, and to the processing otherwise than by automatic means of personal data which form part of a filing system or are intended to form part of a filing system.

1. Le disposizioni della presente direttiva si applicano al trattamento di dati personali interamente o parzialmente automatizzato nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.

2. This Directive shall not apply to the processing of personal data:

2. Le disposizioni della presente direttiva non si applicano ai trattamenti di dati personali;

- in the course of an activity which falls outside the scope of Community law, such as those provided for by Titles V and VI of the Treaty on European Union and in any case to processing operations concerning public security, defence, State security (including the economic well-being of the State when the processing operation relates to State security matters) and the activities of the State in areas of criminal law,

- effettuati per l'esercizio di attività che non rientrano nel campo di applicazione del diritto comunitario, come quelle previste dai titoli V e VI del trattato sull'Unione europea e comunque ai trattamenti aventi come oggetto la pubblica sicurezza, la difesa, la sicurezza dello Stato (compreso il benessere economico dello Stato, laddove tali trattamenti siano connessi a questioni di sicurezza dello Stato) e le attività dello Stato in materia di diritto penale;

- by a natural person in the course of a purely personal or household activity.

- effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico.

Article 4

Articolo 4

National law applicable

Diritto nazionale applicabile

1. Each Member State shall apply the national provisions it adopts pursuant to this Directive to the processing of personal data where:

1. Ciascuno Stato membro applica le disposizioni nazionali adottate per l'attuazione della presente direttiva al trattamento di dati personali:

(a) the processing is carried out in the context of the activities of an establishment of the controller on the territory of the Member State; when the same controller is established on the territory of several Member States, he must take the necessary measures to ensure that each of these establishments complies with the obligations laid down by the national law applicable;

a) effettuato nel contesto delle attività di uno stabilimento del responsabile del trattamento nel territorio dello Stato membro; qualora uno stesso responsabile del trattamento sia stabilito nel territorio di più Stati membri, esso deve adottare le misure necessarie per assicurare l'osservanza, da parte di ciascuno di detti stabilimenti, degli obblighi stabiliti dal diritto nazionale applicabile;

(b) the controller is not established on the Member State's territory, but in a place where its national law applies by virtue of international public law;

b) il cui responsabile non è stabilito nel territorio dello Stato membro, ma in un luogo in cui si applica la sua legislazione nazionale, a norma del diritto internazionale pubblico;

(c) the controller is not established on Community territory and, for purposes of processing personal data makes use of equipment, automated or otherwise, situated on the territory of the said Member State, unless such equipment is used only for purposes of transit through the territory of the Community.

c) il cui responsabile, non stabilito nel territorio della Comunità, ricorre, ai fini del trattamento di dati personali, a strumenti, automatizzati o non automatizzati, situati nel territorio di detto Stato membro, a meno che questi non siano utilizzati ai soli fini di transito nel territorio della Comunità europea.

2. In the circumstances referred to in paragraph 1 (c), the controller must designate a representative established in the territory of that Member State, without prejudice to legal actions which could be initiated against the controller himself.

2. Nella fattispecie di cui al paragrafo 1, lettera c), il responsabile del trattamento deve designare un rappresentante stabilito nel territorio di detto Stato membro, fatte salve le azioni che potrebbero essere promosse contro lo stesso responsabile del trattamento.

CHAPTER II GENERAL RULES ON THE LAWFULNESS OF THE PROCESSING OF PERSONAL DATA

CAPO II CONDIZIONI GENERALI DI LICEITÀ DEI TRATTAMENTI DI DATI PERSONALI

Article 5

Articolo 5

Member States shall, within the limits of the provisions of this Chapter, determine more precisely the conditions under which the processing of personal data is lawful.

Gli Stati membri precisano, nei limiti delle disposizioni del presente capo, le condizioni alle quali i trattamenti di dati personali sono leciti.

SECTION I

SEZIONE I

PRINCIPLES RELATING TO DATA QUALITY

PRINCIPI RELATIVI ALLA QUALITÀ DEI DATI

Article 6

Articolo 6

1. Member States shall provide that personal data must be:

1. Gli Stati membri dispongono che i dati personali devono essere:

(a) processed fairly and lawfully;

a) trattati lealmente e lecitamente;

(b) collected for specified, explicit and legitimate purposes and not further processed in a way incompatible with those purposes. Further processing of data for historical, statistical or scientific purposes shall not be considered as incompatible provided that Member States provide appropriate safeguards;

b) rilevati per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché gli Stati membri forniscano garanzie appropriate;

(c) adequate, relevant and not excessive in relation to the purposes for which they are collected and/or further processed;

c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono rilevati e/o per le quali vengono successivamente trattati;

(d) accurate and, where necessary, kept up to date; every reasonable step must be taken to ensure that data which are inaccurate or incomplete, having regard to the purposes for which they were collected or for which they are further processed, are erased or rectified;

d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono rilevati o sono successivamente trattati, cancellati o rettificati;

(e) kept in a form which permits identification of data subjects for no longer than is necessary for the purposes for which the data were collected or for which they are further processed. Member States shall lay down appropriate safeguards for personal data stored for longer periods for historical, statistical or scientific use.

e) conservati in modo da consentire l'identificazione delle persone interessate per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono rilevati o sono successivamente trattati. Gli Stati membri prevedono garanzie adeguate per i dati personali conservati oltre il suddetto arco di tempo per motivi storici, statistici o scientifici.

2. It shall be for the controller to ensure that paragraph 1 is complied with.

2. Il responsabile del trattamento e tenuto a garantire il rispetto delle disposizioni del paragrafo 1.

SECTION II

SEZIONE II

CRITERIA FOR MAKING DATA PROCESSING LEGITIMATE

PRINCIPI RELATIVI ALLA LEGITTIMAZIONE DEL TRATTAMENTO DEI DATI

Article 7

Articolo 7

Member States shall provide that personal data may be processed only if:

Gli Stati membri dispongono che il trattamento di dati personali può essere effettuato soltanto quando:

(a) the data subject has unambiguously given his consent; or

a) la persona interessata ha manifestato il proprio consenso in maniera inequivocabile, oppure

(b) processing is necessary for the performance of a contract to which the data subject is party or in order to take steps at the request of the data subject prior to entering into a contract; or

b) è necessario all'esecuzione del contratto concluso con la persona interessata o all'esecuzione di misure precontrattuali prese su richiesta di tale persona, oppure

(c) processing is necessary for compliance with a legal obligation to which the controller is subject; or

c) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento, oppure

(d) processing is necessary in order to protect the vital interests of the data subject; or

d) è necessario per la salvaguardia dell'interesse vitale della persona interessata, oppure

(e) processing is necessary for the performance of a task carried out in the public interest or in the exercise of official authority vested in the controller or in a third party to whom the data are disclosed; or

e) è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il responsabile del trattamento o il terzo a cui vengono comunicati i dati, oppure

(f) processing is necessary for the purposes of the legitimate interests pursued by the controller or by the third party or parties to whom the data are disclosed, except where such interests are overridden by the interests for fundamental rights and freedoms of the data subject which require protection under Article 1 (1).

f) è necessario per il perseguimento dell'interesse legittimo del responsabile del trattamento oppure del o dei terzi cui vengono comunicati i dati, a condizione che non prevalgano l'interesse o i diritti e le libertà fondamentali della persona interessata, che richiedono tutela ai sensi dell'articolo 1, paragrafo 1.

SECTION III

SEZIONE III

SPECIAL CATEGORIES OF PROCESSING

CATEGORIE PARTICOLARI DI TRATTAMENTI

Article 8

Articolo 8

The processing of special categories of data

Trattamenti riguardanti categorie particolari di dati

1. Member States shall prohibit the processing of personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs, trade-union membership, and the processing of data concerning health or sex life.

1. Gli Stati membri vietano il trattamento di dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, nonché il trattamento di dati relativi alla salute e alla vita sessuale.

2. Paragraph 1 shall not apply where:

2. Il paragrafo 1 non si applica qualora:

(a) the data subject has given his explicit consent to the processing of those data, except where the laws of the Member State provide that the prohibition referred to in paragraph 1 may not be lifted by the data subject's giving his consent; or

a) la persona interessata abbia dato il proprio consenso esplicito a tale trattamento, salvo nei casi in cui la legislazione dello Stato membro preveda che il consenso della persona interessata non sia sufficiente per derogare al divieto di cui al paragrafo 1, oppure

(b) processing is necessary for the purposes of carrying out the obligations and specific rights of the controller in the field of employment law in so far as it is authorized by national law providing for adequate safeguards; or

b) il trattamento sia necessario, per assolvere gli obblighi e i diritti specifici del responsabile del trattamento in materia di diritto del lavoro, nella misura in cui il trattamento stesso sia autorizzato da norme nazionali che prevedono adeguate garanzie, oppure

(c) processing is necessary to protect the vital interests of the data subject or of another person where the data subject is physically or legally incapable of giving his consent; or

c) il trattamento sia necessario per salvaguardare un interesse vitale della persona interessata o di un terzo nel caso in cui la persona interessata è nell'incapacità fisica o giuridica di dare il proprio consenso; o

(d) processing is carried out in the course of its legitimate activities with appropriate guarantees by a foundation, association or any other non-profit-seeking body with a political, philosophical, religious or trade-union aim and on condition that the processing relates solely to the members of the body or to persons who have regular contact with it in connection with its purposes and that the data are not disclosed to a third party without the consent of the data subjects; or

d) il trattamento sia effettuato, con garanzie adeguate, da una fondazione, un'associazione o qualsiasi altro organismo che non persegua scopi di lucro e rivesta carattere politico, filosofico, religioso o sindacale, nell'ambito del suo scopo lecito e a condizione che riguardi unicamente i suoi membri o le persone che abbiano contatti regolari con la fondazione, l'associazione o l'organismo a motivo del suo oggetto e che i dati non vengano comunicati a terzi senza il consenso delle persone interessate; o

(e) the processing relates to data which are manifestly made public by the data subject or is necessary for the establishment, exercise or defence of legal claims.

e) il trattamento riguardi dati resi manifestamente pubblici dalla persona interessata o sia necessario per costituire, esercitare o difendere un diritto per via giudiziaria.

3. Paragraph 1 shall not apply where processing of the data is required for the purposes of preventive medicine, medical diagnosis, the provision of care or treatment or the management of health-care services, and where those data are processed by a health professional subject under national law or rules established by national competent bodies to the obligation of professional secrecy or by another person also subject to an equivalent obligation of secrecy.

3. Il paragrafo 1 non si applica quando il trattamento dei dati è necessario alla prevenzione o alla diagnostica medica, alla somministrazione di cure o alla gestione di centri di cura e quando il trattamento dei medesimi dati viene effettuato da un professionista in campo sanitario soggetto al segreto professionale sancito dalla legislazione nazionale, comprese le norme stabilite dagli organi nazionali competenti, o da un'altra persona egualmente soggetta a un obbligo di segreto equivalente.

4. Subject to the provision of suitable safeguards, Member States may, for reasons of substantial public interest, lay down exemptions in addition to those laid down in paragraph 2 either by national law or by decision of the supervisory authority.

4. Purché siano previste le opportune garanzie, gli Stati membri possono, per motivi di interesse pubblico rilevante, stabilire ulteriori deroghe oltre a quelle previste dal paragrafo 2 sulla base della legislazione nazionale o di una decisione dell'autorità di controllo.

5. Processing of data relating to offences, criminal convictions or security measures may be carried out only under the control of official authority, or if suitable specific safeguards are provided under national law, subject to derogations which may be granted by the Member State under national provisions providing suitable specific safeguards. However, a complete register of criminal convictions may be kept only under the control of official authority.

5. I trattamenti riguardanti i dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza possono essere effettuati solo sotto controllo dell'autorità pubblica, o se vengono fornite opportune garanzie specifiche, sulla base del diritto nazionale, fatte salve le deroghe che possono essere fissate dallo Stato membro in base ad una disposizione nazionale che preveda garanzie appropriate e specifiche. Tuttavia un registro completo delle condanne penali può essere tenuto solo sotto il controllo dell'autorità pubblica.

Member States may provide that data relating to administrative sanctions or judgements in civil cases shall also be processed under the control of official authority.

Gli Stati membri possono prevedere che i trattamenti di dati riguardanti sanzioni amministrative o procedimenti civili siano ugualmente effettuati sotto controllo dell'autorità pubblica.

6. Derogations from paragraph 1 provided for in paragraphs 4 and 5 shall be notified to the Commission.

6. Le deroghe al paragrafo 1 di cui ai paragrafi 4 e 5 sono notificate alla Commissione.

7. Member States shall determine the conditions under which a national identification number or any other identifier of general application may be processed.

7. Gli Stati membri determinano a quali condizioni un numero nazionale di identificazione o qualsiasi altro mezzo identificativo di portata generale può essere oggetto di trattamento.

Article 9

Articolo 9

Processing of personal data and freedom of expression

Trattamento di dati personali e libertà d'espressione

Member States shall provide for exemptions or derogations from the provisions of this Chapter, Chapter IV and Chapter VI for the processing of personal data carried out solely for journalistic purposes or the purpose of artistic or literary expression only if they are necessary to reconcile the right to privacy with the rules governing freedom of expression.

Gli Stati membri prevedono, per il trattamento di dati personali effettuato esclusivamente a scopi giornalistici o di espressione artistica o letteraria, le esenzioni o le deroghe alle disposizioni del presente capo e dei capi IV e VI solo qualora si rivelino necessarie per conciliare il diritto alla vita privata con le norme sulla libertà d'espressione.

SECTION IV

SEZIONE IV

INFORMATION TO BE GIVEN TO THE DATA SUBJECT

INFORMAZIONE DELLA PERSONA INTERESSATA

Article 10

Articolo 10

Information in cases of collection of data from the data subject

Informazione in caso di raccolta dei dati presso la persona interessata

Member States shall provide that the controller or his representative must provide a data subject from whom data relating to himself are collected with at least the following information, except where he already has it:

Gli Stati membri dispongono che il responsabile del trattamento, o il suo rappresentante, debba fornire alla persona presso la quale effettua la raccolta dei dati che la riguardano almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:

(a) the identity of the controller and of his representative, if any;

a) l'identità del responsabile del trattamento ed eventualmente del suo rappresentante;

(b) the purposes of the processing for which the data are intended;

b) le finalità del trattamento cui sono destinati i dati;

(c) any further information such as

c) ulteriori informazioni riguardanti quanto segue:

- the recipients or categories of recipients of the data,

- i destinatari o le categorie di destinatari dei dati,

- whether replies to the questions are obligatory or voluntary, as well as the possible consequences of failure to reply,

- se rispondere alle domande è obbligatorio o volontario, nonché le possibili conseguenze di una mancata risposta,

- the existence of the right of access to and the right to rectify the data concerning him

- se esistono diritti di accesso ai dati e di rettifica in merito ai dati che la riguardano

in so far as such further information is necessary, having regard to the specific circumstances in which the data are collected, to guarantee fair processing in respect of the data subject.

nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronto della persona interessata.

Article 11

Articolo 11

Information where the data have not been obtained from the data subject

Informazione in caso di dati non raccolti presso la persona interessata

1. Where the data have not been obtained from the data subject, Member States shall provide that the controller or his representative must at the time of undertaking the recording of personal data or if a disclosure to a third party is envisaged, no later than the time when the data are first disclosed provide the data subject with at least the following information, except where he already has it:

1. In caso di dati non raccolti presso la persona interessata, gli Stati membri dispongono che, al momento della registrazione dei dati o qualora sia prevista una comunicazione dei dati a un terzo, al più tardi all'atto della prima comunicazione dei medesimi, il responsabile del trattamento o il suo rappresentante debba fornire alla persona interessata almeno le informazioni elencate qui di seguito, a meno che tale persona ne sia già informata:

(a) the identity of the controller and of his representative, if any;

a) l'identità del responsabile del trattamento ed eventualmente del suo rappresentante,

(b) the purposes of the processing;

b) le finalità del trattamento,

(c) any further information such as

c) ulteriori informazioni riguardanti quanto segue:

- the categories of data concerned,

- le categorie di dati interessate,

- the recipients or categories of recipients,

- i destinatari o le categorie di destinatari dei dati,

- the existence of the right of access to and the right to rectify the data concerning him

- se esiste un diritto di accesso ai dati e di rettifica in merito ai dati che la riguardano,

in so far as such further information is necessary, having regard to the specific circumstances in which the data are processed, to guarantee fair processing in respect of the data subject.

nella misura in cui, in considerazione delle specifiche circostanze in cui i dati vengono raccolti, tali informazioni siano necessarie per effettuare un trattamento leale nei confronti della persona interessata.

2. Paragraph 1 shall not apply where, in particular for processing for statistical purposes or for the purposes of historical or scientific research, the provision of such information proves impossible or would involve a disproportionate effort or if recording or disclosure is expressly laid down by law. In these cases Member States shall provide appropriate safeguards.

2. Le disposizioni del paragrafo 1 non si applicano quando, in particolare nel trattamento di dati a scopi statistici, o di ricerca storica o scientifica, l'informazione della persona interessata si rivela impossibile o richiede sforzi sproporzionati o la registrazione o la comunicazione è prescritta per legge. In questi casi gli Stati membri prevedono garanzie appropriate.

SECTION V

SEZIONE V

THE DATA SUBJECT'S RIGHT OF ACCESS TO DATA

DIRITTO DI ACCESSO AI DATI DA PARTE DELLA PERSONA INTERESSATA

Article 12

Articolo 12

Right of access

Diritto di accesso

Member States shall guarantee every data subject the right to obtain from the controller:

Gli Stati membri garantiscono a qualsiasi persona interessata il diritto di ottenere dal responsabile del trattamento:

(a) without constraint at reasonable intervals and without excessive delay or expense:

a) liberamente e senza costrizione, ad intervalli ragionevoli e senza ritardi o spese eccessivi:

- confirmation as to whether or not data relating to him are being processed and information at least as to the purposes of the processing, the categories of data concerned, and the recipients or categories of recipients to whom the data are disclosed,

- la conferma dell'esistenza o meno di trattamenti di dati che la riguardano, e l'informazione almeno sulle finalità dei trattamenti, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui sono comunicati i dati;

- communication to him in an intelligible form of the data undergoing processing and of any available information as to their source,

- la comunicazione in forma intelligibile dei dati che sono oggetto dei trattamenti, nonché di tutte le informazioni disponibili sull'origine dei dati;

- knowledge of the logic involved in any automatic processing of data concerning him at least in the case of the automated decisions referred to in Article 15 (1);

- la conoscenza della logica applicata nei trattamenti automatizzati dei dati che lo interessano, per lo meno nel caso delle decisioni automatizzate di cui all'articolo 15, paragrafo 1;

(b) as appropriate the rectification, erasure or blocking of data the processing of which does not comply with the provisions of this Directive, in particular because of the incomplete or inaccurate nature of the data;

b) a seconda dei casi, la rettifica, la cancellazione o il congelamento dei dati il cui trattamento non è conforme alle disposizioni della presente direttiva, in particolare a causa del carattere incompleto o inesatto dei dati;

(c) notification to third parties to whom the data have been disclosed of any rectification, erasure or blocking carried out in compliance with (b), unless this proves impossible or involves a disproportionate effort.

c) la notificazione ai terzi, ai quali sono stati comunicati i dati, di qualsiasi rettifica, cancellazione o congelamento, effettuati conformemente alla lettera b), se non si dimostra che è impossibile o implica uno sforzo sproporzionato.

SECTION VI

SEZIONE VI

EXEMPTIONS AND RESTRICTIONS

DEROGHE E RESTRIZIONI

Article 13

Articolo 13

Exemptions and restrictions

Deroghe e restrizioni

1. Member States may adopt legislative measures to restrict the scope of the obligations and rights provided for in Articles 6 (1), 10, 11 (1), 12 and 21 when such a restriction constitutes a necessary measures to safeguard:

1. Gli Stati membri possono adottare disposizioni legislative intese a limitare la portata degli obblighi e dei diritti previsti dalle disposizioni dell'articolo 6, paragrafo 1, dell'articolo 10, dell'articolo 11, paragrafo 1 e degli articoli 12 e 21, qualora tale restrizione costituisca una misura necessaria alla salvaguardia:

(a) national security;

a) della sicurezza dello Stato;

(b) defence;

b) della difesa;

(c) public security;

c) della pubblica sicurezza;

(d) the prevention, investigation, detection and prosecution of criminal offences, or of breaches of ethics for regulated professions;

d) della prevenzione, della ricerca, dell'accertamento e del perseguimento di infrazioni penali o di violazioni della deontologia delle professioni regolamentate;

(e) an important economic or financial interest of a Member State or of the European Union, including monetary, budgetary and taxation matters;

e) di un rilevante interesse economico o finanziario di uno Stato membro o dell'Unione europea, anche in materia monetaria, di bilancio e tributaria;

(f) a monitoring, inspection or regulatory function connected, even occasionally, with the exercise of official authority in cases referred to in (c), (d) and (e);

f) di un compito di controllo, ispezione o disciplina connesso, anche occasionalmente, con l'esercizio dei pubblici poteri nei casi di cui alle lettere c), d) ed e);

(g) the protection of the data subject or of the rights and freedoms of others.

g) della protezione della persona interessata o dei diritti e delle libertà altrui.

2. Subject to adequate legal safeguards, in particular that the data are not used for taking measures or decisions regarding any particular individual, Member States may, where there is clearly no risk of breaching the privacy of the data subject, restrict by a legislative measure the rights provided for in Article 12 when data are processed solely for purposes of scientific research or are kept in personal form for a period which does not exceed the period necessary for the sole purpose of creating statistics.

2. Fatte salve garanzie legali appropriate, che escludano in particolare che i dati possano essere utilizzati a fini di misure o di specifiche decisioni che si riferiscono a persone, gli Stati membri possono, nel caso in cui non sussista manifestamente alcun rischio di pregiudizio alla vita privata della persona interessata, limitare con un provvedimento legislativo i diritti di cui all'articolo 13 qualora i dati siano trattati esclusivamente ai fini della ricerca scientifica o siano memorizzati sotto forma di dati personali per un periodo che non superi quello necessario alla sola finalità di elaborazione delle statistiche.

SECTION VII

SEZIONE VII

THE DATA SUBJECT'S RIGHT TO OBJECT

DIRITTO DI OPPOSIZIONE DELLA PERSONA INTERESSATA

Article 14

Articolo 14

The data subject's right to object

Diritto di opposizione della persona interessata

Member States shall grant the data subject the right:

Gli Stati membri riconoscono alla persona interessata il diritto:

(a) at least in the cases referred to in Article 7 (e) and (f), to object at any time on compelling legitimate grounds relating to his particular situation to the processing of data relating to him, save where otherwise provided by national legislation. Where there is a justified objection, the processing instigated by the controller may no longer involve those data;

a) almeno nei casi di cui all'articolo 7, lettere e) e f), di opporsi in qualsiasi momento, per motivi preminenti e legittimi, derivanti dalla sua situazione particolare, al trattamento di dati che la riguardano, salvo disposizione contraria prevista dalla normativa nazionale. In caso di opposizione giustificata il trattamento effettuato dal responsabile non può più riguardare tali dati;

(b) to object, on request and free of charge, to the processing of personal data relating to him which the controller anticipates being processed for the purposes of direct marketing, or to be informed before personal data are disclosed for the first time to third parties or used on their behalf for the purposes of direct marketing, and to be expressly offered the right to object free of charge to such disclosures or uses.

b) di opporsi, su richiesta e gratuitamente, al trattamento dei dati personali che la riguardano previsto dal responsabile del trattamento a fini di invio di materiale pubblicitario ovvero di essere informata prima che i dati personali siano, per la prima volta, comunicati a terzi o utilizzati per conto di terzi, a fini di invio di materiale pubblicitario; la persona interessata deve essere informata in modo esplicito del diritto di cui gode di opporsi gratuitamente alla comunicazione o all'utilizzo di cui sopra.

Member States shall take the necessary measures to ensure that data subjects are aware of the existence of the right referred to in the first subparagraph of (b).

Gli Stati membri prendono le misure necessarie per garantire che le persone interessate siano a conoscenza che esiste il diritto di cui al primo comma della lettera b).

Article 15

Articolo 15

Automated individual decisions

Decisioni individuali automatizzate

1. Member States shall grant the right to every person not to be subject to a decision which produces legal effects concerning him or significantly affects him and which is based solely on automated processing of data intended to evaluate certain personal aspects relating to him, such as his performance at work, creditworthiness, reliability, conduct, etc.

1. Gli Stati membri riconoscono a qualsiasi persona il diritto di non essere sottoposta ad una decisione che produca effetti giuridici o abbia effetti significativi nei suoi confronti fondata esclusivamente su un trattamento automatizzato di dati destinati a valutare taluni aspetti della sua personalità, quali il rendimento professionale, il credito, l'affidabilità, il comportamento, ecc.

2. Subject to the other Articles of this Directive, Member States shall provide that a person may be subjected to a decision of the kind referred to in paragraph 1 if that decision:

2. Gli Stati membri dispongono, salve le altre disposizioni della presente direttiva, che una persona può essere sottoposta a una decisione di cui al paragrafo 1, qualora una tale decisione:

(a) is taken in the course of the entering into or performance of a contract, provided the request for the entering into or the performance of the contract, lodged by the data subject, has been satisfied or that there are suitable measures to safeguard his legitimate interests, such as arrangements allowing him to put his point of view; or

a) sia presa nel contesto della conclusione o dell'esecuzione di un contratto, a condizione che la domanda relativa alla conclusione o all'esecuzione del contratto, presentata dalla persona interessata sia stata accolta, oppure che misure adeguate, fra le quali la possibilità di far valere il proprio punto di vista garantiscano la salvaguardia del suo interesse legittimo, oppure

(b) is authorized by a law which also lays down measures to safeguard the data subject's legitimate interests.

b) sia autorizzata da una legge che precisi i provvedimenti atti a salvaguardare un interesse legittimo della persona interessata.

SECTION VIII

SEZIONE VIII

CONFIDENTIALITY AND SECURITY OF PROCESSING

RISERVATEZZA E SICUREZZA DEI TRATTAMENTI

Article 16

Articolo 16

Confidentiality of processing

Riservatezza dei trattamenti

Any person acting under the authority of the controller or of the processor, including the processor himself, who has access to personal data must not process them except on instructions from the controller, unless he is required to do so by law.

L'incaricato del trattamento o chiunque agisca sotto la sua autorità o sotto quella del responsabile del trattamento non deve elaborare i dati personali ai quali ha accesso, se non dietro istruzione del responsabile del trattamento oppure in virtù di obblighi legali.

Article 17

Articolo 17

Security of processing

Sicurezza dei trattamenti

1. Member States shall provide that the controller must implement appropriate technical and organizational measures to protect personal data against accidental or unlawful destruction or accidental loss, alteration, unauthorized disclosure or access, in particular where the processing involves the transmission of data over a network, and against all other unlawful forms of processing.

1. Gli Stati membri dispongono che il responsabile del trattamento deve attuare misure tecniche ed organizzative appropriate al fine di garantire la protezione dei dati personali dalla distruzione accidentale o illecita, dalla perdita accidentale o dall'alterazione, dalla diffusione o dall'accesso non autorizzati, segnatamente quando il trattamento comporta trasmissioni di dati all'interno di una rete, o da qualsiasi altra forma illecita di trattamento di dati personali.

Having regard to the state of the art and the cost of their implementation, such measures shall ensure a level of security appropriate to the risks represented by the processing and the nature of the data to be protected.

Tali misure devono garantire, tenuto conto delle attuali conoscenze in materia e dei costi dell'applicazione, un livello di sicurezza appropriato rispetto ai rischi presentati dal trattamento e alla natura dei dati da proteggere.

2. The Member States shall provide that the controller must, where processing is carried out on his behalf, choose a processor providing sufficient guarantees in respect of the technical security measures and organizational measures governing the processing to be carried out, and must ensure compliance with those measures.

2. Gli Stati membri dispongono che il responsabile del trattamento, quando quest'ultimo sia eseguito per suo conto, deve scegliere un incaricato del trattamento che presenti garanzie sufficienti in merito alle misure di sicurezza tecnica e di organizzazione dei trattamenti da effettuare e deve assicurarsi del rispetto di tali misure.

3. The carrying out of processing by way of a processor must be governed by a contract or legal act binding the processor to the controller and stipulating in particular that:

3. L'esecuzione dei trattamenti su commissione deve essere disciplinata da un contratto o da un atto giuridico che vincoli l'incaricato del trattamento al responsabile del trattamento e che preveda segnatamente:

- the processor shall act only on instructions from the controller,

- che l'incaricato del trattamento operi soltanto su istruzioni del responsabile del trattamento;

- the obligations set out in paragraph 1, as defined by the law of the Member State in which the processor is established, shall also be incumbent on the processor.

- che gli obblighi di cui al paragrafo 1, quali sono definiti dalla legislazione dello Stato membro nel quale è stabilito l'incaricato del trattamento, vincolino anche quest'ultimo.

4. For the purposes of keeping proof, the parts of the contract or the legal act relating to data protection and the requirements relating to the measures referred to in paragraph 1 shall be in writing or in another equivalent form.

4. A fini di conservazione delle prove, gli elementi del contratto o dell'atto giuridico relativi alla protezione dei dati e i requisiti concernenti le misure di cui al paragrafo 1 sono stipulati per iscritto o in altra forma equivalente.

SECTION IX

SEZIONE IX

NOTIFICATION

NOTIFICAZIONE

Article 18

Articolo 18

Obligation to notify the supervisory authority

Obbligo di notificazione all'autorità di controllo

1. Member States shall provide that the controller or his representative, if any, must notify the supervisory authority referred to in Article 28 before carrying out any wholly or partly automatic processing operation or set of such operations intended to serve a single purpose or several related purposes.

1. Gli Stati membri prevedono un obbligo di notificazione a carico del responsabile del trattamento, od eventualmente del suo rappresentante, presso l'autorità di controllo di cui all'articolo 30, prima di procedere alla realizzazione di un trattamento, o di un insieme di trattamenti, interamente o parzialmente automatizzato, destinato al conseguimento di una o più finalità correlate.

2. Member States may provide for the simplification of or exemption from notification only in the following cases and under the following conditions:

2. Gli Stati membri possono prevedere una semplificazione o l'esonero dall'obbligo di notificazione soltanto nei casi e alle condizioni seguenti:

- where, for categories of processing operations which are unlikely, taking account of the data to be processed, to affect adversely the rights and freedoms of data subjects, they specify the purposes of the processing, the data or categories of data undergoing processing, the category or categories of data subject, the recipients or categories of recipient to whom the data are to be disclosed and the length of time the data are to be stored, and/or

- qualora si tratti di categorie di trattamento che, in considerazione dei dati oggetto di trattamento, non siano tali da recare pregiudizio ai diritti e alle libertà della persona interessata, essi precisano le finalità dei trattamenti, i dati o le categorie dei dati trattati, la categoria o le categorie di persone interessate, i destinatari o le categorie di destinatari cui sono comunicati i dati e il periodo di conservazione dei dati, e/o

- where the controller, in compliance with the national law which governs him, appoints a personal data protection official, responsible in particular:

- qualora il responsabile del trattamento designi, conformemente alla legislazione nazionale applicabile, un incaricato della protezione dei dati, a cui è demandato in particolare:

- for ensuring in an independent manner the internal application of the national provisions taken pursuant to this Directive

- di assicurare in maniera indipendente l'applicazione interna delle disposizioni nazionali di attuazione della presente direttiva;

- for keeping the register of processing operations carried out by the controller, containing the items of information referred to in Article 21 (2),

- di tenere un registro dei trattamenti effettuati dal responsabile del trattamento in cui figurino le informazioni di cui all'articolo 21, paragrafo 2,

thereby ensuring that the rights and freedoms of the data subjects are unlikely to be adversely affected by the processing operations.

garantendo in tal modo che il trattamento non sia tale da recare pregiudizio ai diritti e alle libertà della persona interessata.

3. Member States may provide that paragraph 1 does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person demonstrating a legitimate interest.

3. Gli Stati membri possono prevedere che le disposizioni del paragrafo 1 non si applichino ai trattamenti la cui unica finalità è la compilazione di registri i quali, in forza di disposizioni legislative o regolamentari, siano predisposti per l'informazione del pubblico e siano aperti alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo.

4. Member States may provide for an exemption from the obligation to notify or a simplification of the notification in the case of processing operations referred to in Article 8 (2) (d).

4. Gli Stati membri possono prevedere una deroga all'obbligo della notificazione o una semplificazione della notificazione per i trattamenti di cui all'articolo 8, paragrafo 2, lettera d).

5. Member States may stipulate that certain or all non-automatic processing operations involving personal data shall be notified, or provide for these processing operations to be subject to simplified notification.

5. Gli Stati membri possono prevedere che i trattamenti non automatizzati di dati personali, o alcuni di essi, siano oggetto di una notificazione eventualmente semplificata.

Article 19

Articolo 19

Contents of notification

Oggetto della notificazione

1. Member States shall specify the information to be given in the notification. It shall include at least:

1. Gli Stati membri definiscono le informazioni che devono essere contenute nella notificazione. Esse comprendono almeno:

(a) the name and address of the controller and of his representative, if any;

a) il nome e l'indirizzo del responsabile del trattamento e, eventualmente, del suo rappresentante;

(b) the purpose or purposes of the processing;

b) la o le finalità del trattamento;

(c) a description of the category or categories of data subject and of the data or categories of data relating to them;

c) una descrizione della o delle categorie di persone interessate e dei dati o delle categorie di dati relativi alle medesime;

(d) the recipients or categories of recipient to whom the data might be disclosed;

d) i destinatari o le categorie di destinatari a cui i dati possono essere comunicati;

(e) proposed transfers of data to third countries;

e) i trasferimenti di dati previsti verso paesi terzi;

(f) a general description allowing a preliminary assessment to be made of the appropriateness of the measures taken pursuant to Article 17 to ensure security of processing.

f) una descrizione generale che permetta di valutare in via preliminare l'adeguatezza delle misure adottate per garantire la sicurezza del trattamento in applicazione dell'articolo 17.

2. Member States shall specify the procedures under which any change affecting the information referred to in paragraph 1 must be notified to the supervisory authority.

2. Gli Stati membri precisano le modalità di notificazione all'autorità di controllo dei mutamenti relativi alle informazioni di cui al paragrafo 1.

Article 20

Articolo 20

Prior checking

Controllo preliminare

1. Member States shall determine the processing operations likely to present specific risks to the rights and freedoms of data subjects and shall check that these processing operations are examined prior to the start thereof.

1. Gli Stati membri precisano i trattamenti che potenzialmente presentano rischi specifici per i diritti e le libertà delle persone e provvedono a che tali trattamenti siano esaminati prima della loro messa in opera.

2. Such prior checks shall be carried out by the supervisory authority following receipt of a notification from the controller or by the data protection official, who, in cases of doubt, must consult the supervisory authority.

2. Tali esami preliminari sono effettuati dall'autorità di controllo una volta ricevuta la notificazione del responsabile del trattamento, oppure dalla persona incaricata della protezione dei dati che, nei casi dubbi, deve consultare l'autorità di controllo medesima.

3. Member States may also carry out such checks in the context of preparation either of a measure of the national parliament or of a measure based on such a legislative measure, which define the nature of the processing and lay down appropriate safeguards.

3. Gli Stati membri possono effettuare tale esame anche durante il processo di elaborazione di un provvedimento del Parlamento nazionale, o in base ad un provvedimento fondato su siffatto provvedimento legislativo, in cui si definisce il tipo di trattamento e si stabiliscono appropriate garanzie.

Article 21

Articolo 21

Publicizing of processing operations

Pubblicità dei trattamenti

1. Member States shall take measures to ensure that processing operations are publicized.

1. Gli Stati membri adottano misure intese ad assicurare la pubblicità dei trattamenti.

2. Member States shall provide that a register of processing operations notified in accordance with Article 18 shall be kept by the supervisory authority.

2. Gli Stati membri devono prevedere che l'autorità di controllo tenga un registro dei trattamenti notificati in virtù dell'articolo 18.

The register shall contain at least the information listed in Article 19 (1) (a) to (e).

Il registro riprende almeno le informazioni enumerate all'articolo 19, paragrafo 1, lettere da a) a e).

The register may be inspected by any person.

Il registro può essere consultato da chiunque.

3. Member States shall provide, in relation to processing operations not subject to notification, that controllers or another body appointed by the Member States make available at least the information referred to in Article 19 (1) (a) to (e) in an appropriate form to any person on request.

3. Gli Stati membri prevedono che i responsabili dei trattamenti o un altro organismo designato dagli Stati membri comunichino nelle opportune forme, a chiunque ne faccia richiesta, almeno le informazioni di cui all'articolo 19, paragrafo 1, lettere da a) a e), relative ai trattamenti esenti da notificazione.

Member States may provide that this provision does not apply to processing whose sole purpose is the keeping of a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can provide proof of a legitimate interest.

Gli Stati membri possono prevedere che questa disposizione non si applichi ai trattamenti la cui unica finalità è la compilazione di registri i quali, in forza di disposizioni legislative o regolamentari, siano predisposti per l'informazione del pubblico e siano aperti alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo.

CHAPTER III JUDICIAL REMEDIES, LIABILITY AND SANCTIONS

CAPO III RICORSI GIURISDIZIONALI, RESPONSABILITÀ E SANZIONI

Article 22

Articolo 22

Remedies

Ricorsi

Without prejudice to any administrative remedy for which provision may be made, inter alia before the supervisory authority referred to in Article 28, prior to referral to the judicial authority, Member States shall provide for the right of every person to a judicial remedy for any breach of the rights guaranteed him by the national law applicable to the processing in question.

Fatti salvi ricorsi amministrativi che possono essere promossi, segnatamente dinanzi all'autorità di controllo di cui all'articolo 28, prima che sia adita l'autorità giudiziaria, gli Stati membri stabiliscono che chiunque possa disporre di un ricorso giurisdizionale in caso di violazione dei diritti garantitigli dalle disposizioni nazionali appicabili al trattamento in questione.

Article 23

Articolo 23

Liability

Responsabilità

1. Member States shall provide that any person who has suffered damage as a result of an unlawful processing operation or of any act incompatible with the national provisions adopted pursuant to this Directive is entitled to receive compensation from the controller for the damage suffered.

1. Gli Stati membri dispongono che chiunque subisca un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni nazionali di attuazione della presente direttiva abbia il diritto di ottenere il risarcimento del pregiudizio subito dal responsabile del trattamento.

2. The controller may be exempted from this liability, in whole or in part, if he proves that he is not responsible for the event giving rise to the damage.

2. Il responsabile del trattamento può essere esonerato in tutto o in parte da tale responsabilità se prova che l'evento dannoso non gli è imputabile.

Article 24

Articolo 24

Sanctions

Sanzioni

The Member States shall adopt suitable measures to ensure the full implementation of the provisions of this Directive and shall in particular lay down the sanctions to be imposed in case of infringement of the provisions adopted pursuant to this Directive.

Gli Stati membri adottano le misure appropriate per garantire la piena applicazione delle disposizioni della presente direttiva e in particolare stabiliscono le sanzioni da applicare in caso di violazione delle disposizioni di attuazione della presente direttiva.

CHAPTER IV TRANSFER OF PERSONAL DATA TO THIRD COUNTRIES

CAPO IV TRASFERIMENTO DI DATI PERSONALI VERSO PAESI TERZI

Article 25

Articolo 25

Principles

Principi

1. The Member States shall provide that the transfer to a third country of personal data which are undergoing processing or are intended for processing after transfer may take place only if, without prejudice to compliance with the national provisions adopted pursuant to the other provisions of this Directive, the third country in question ensures an adequate level of protection.

1. Gli Stati membri dispongono che il trasferimento verso un paese terzo di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento può aver luogo soltanto se il paese terzo di cui trattasi garantisce un livello di protezione adeguato, fatte salve le misure nazionali di attuazione delle altre disposizioni della presente direttiva.

2. The adequacy of the level of protection afforded by a third country shall be assessed in the light of all the circumstances surrounding a data transfer operation or set of data transfer operations; particular consideration shall be given to the nature of the data, the purpose and duration of the proposed processing operation or operations, the country of origin and country of final destination, the rules of law, both general and sectoral, in force in the third country in question and the professional rules and security measures which are complied with in that country.

2. L'adeguatezza del livello di protezione garantito da un paese terzo è valutata con riguardo a tutte le circostanze relative ad un trasferimento o ad una categoria di trasferimenti di dati; in particolare sono presi in considerazione la natura dei dati, le finalità del o dei trattamenti previsti, il paese d'origine e il paese di destinazione finale, le norme di diritto, generali o settoriali, vigenti nel paese terzo di cui trattasi, nonché le regole professionali e le misure di sicurezza ivi osservate.

3. The Member States and the Commission shall inform each other of cases where they consider that a third country does not ensure an adequate level of protection within the meaning of paragraph 2.

3. Gli Stati membri e la Commissione si comunicano a vicenda i casi in cui, a loro parere, un paese terzo non garantisce un livello di protezione adeguato ai sensi del paragrafo 2.

4. Where the Commission finds, under the procedure provided for in Article 31 (2), that a third country does not ensure an adequate level of protection within the meaning of paragraph 2 of this Article, Member States shall take the measures necessary to prevent any transfer of data of the same type to the third country in question.

4. Qualora la Commissione constati, secondo la procedura dell'articolo 31, paragrafo 2, che un paese terzo non garantisce un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, gli Stati membri adottano le misure necessarie per impedire ogni trasferimento di dati della stessa natura verso il paese terzo in questione.

5. At the appropriate time, the Commission shall enter into negotiations with a view to remedying the situation resulting from the finding made pursuant to paragraph 4.

5. La Commissione avvia, al momento opportuno, negoziati per porre rimedio alla situazione risultante dalla constatazione di cui al paragrafo 4.

6. The Commission may find, in accordance with the procedure referred to in Article 31 (2), that a third country ensures an adequate level of protection within the meaning of paragraph 2 of this Article, by reason of its domestic law or of the international commitments it has entered into, particularly upon conclusion of the negotiations referred to in paragraph 5, for the protection of the private lives and basic freedoms and rights of individuals.

6. La Commissione può constatare, secondo la procedura di cui all'articolo 31, paragrafo 2, che un paese terzo garantisce un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, in considerazione della sua legislazione nazionale o dei suoi impegni internazionali, in particolare di quelli assunti in seguito ai negoziati di cui al paragrafo 5, ai fini della tutela della vita privata o delle libertà e dei diritti fondamentali della persona.

Member States shall take the measures necessary to comply with the Commission's decision.

Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.

Article 26

Articolo 26

Derogations

Deroghe

1. By way of derogation from Article 25 and save where otherwise provided by domestic law governing particular cases, Member States shall provide that a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2) may take place on condition that:

1. In deroga all'articolo 25 e fatte salve eventuali disposizioni contrarie della legislazione nazionale per casi specifici, gli Stati membri dispongono che un trasferimento di dati personali verso un paese terzo che non garantisce una tutela adeguata ai sensi del'articolo 25, paragrafo 2 può avvenire a condizione che:

(a) the data subject has given his consent unambiguously to the proposed transfer; or

a) la persona interessata abbia manifestato il proprio consenso in maniera inequivocabile al trasferimento previsto, oppure

(b) the transfer is necessary for the performance of a contract between the data subject and the controller or the implementation of precontractual measures taken in response to the data subject's request; or

b) il trasferimento sia necessario per l'esecuzione di un contratto tra la persona interessata ed il responsabile del trattamento o per l'esecuzione di misure precontrattuali prese a richiesta di questa, oppure

(c) the transfer is necessary for the conclusion or performance of a contract concluded in the interest of the data subject between the controller and a third party; or

c) il trasferimento sia necessario per la conclusione o l'esecuzione di un contratto, concluso o da concludere nell'interesse della persona interessata, tra il responsabile del trattamento e un terzo, oppure

(d) the transfer is necessary or legally required on important public interest grounds, or for the establishment, exercise or defence of legal claims; or

d) il trasferimento sia necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante, oppure per costatare, esercitare o difendere un diritto per via giudiziaria, oppure

(e) the transfer is necessary in order to protect the vital interests of the data subject; or

e) il trasferimento sia necessario per la salvaguardia dell'interesse vitale della persona interessata, oppure

(f) the transfer is made from a register which according to laws or regulations is intended to provide information to the public and which is open to consultation either by the public in general or by any person who can demonstrate legitimate interest, to the extent that the conditions laid down in law for consultation are fulfilled in the particular case.

f) il trasferimento avvenga a partire da un registro pubblico il quale, in forza di disposizioni legislative o regolamentari, sia predisposto per l'informazione del pubblico e sia aperto alla consultazione del pubblico o di chiunque possa dimostrare un interesse legittimo, nella misura in cui nel caso specifico siano rispettate le condizioni che la legge prevede per la consultazione.

2. Without prejudice to paragraph 1, a Member State may authorize a transfer or a set of transfers of personal data to a third country which does not ensure an adequate level of protection within the meaning of Article 25 (2), where the controller adduces adequate safeguards with respect to the protection of the privacy and fundamental rights and freedoms of individuals and as regards the exercise of the corresponding rights; such safeguards may in particular result from appropriate contractual clauses.

2. Salvo il disposto del paragrafo 1, uno Stato membro può autorizzare un trasferimento o una categoria di trasferimenti di dati personali verso un paese terzo che non garantisca un livello di protezione adeguato ai sensi dell'articolo 25, paragrafo 2, qualora il responsabile del trattamento presenti garanzie sufficienti per la tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, nonché per l'esercizio dei diritti connessi; tali garanzie possono segnatamente risultare da clausole contrattuali appropriate.

3. The Member State shall inform the Commission and the other Member States of the authorizations it grants pursuant to paragraph 2.

3. Lo Stato membro informa la Commissione e gli altri Stati membri in merito alle autorizzazioni concesse a norma del paragrafo 2.

If a Member State or the Commission objects on justified grounds involving the protection of the privacy and fundamental rights and freedoms of individuals, the Commission shall take appropriate measures in accordance with the procedure laid down in Article 31 (2).

In caso di opposizione notificata da un altro Stato membro o dalla Commissione, debitamente motivata sotto l'aspetto della tutela della vita privata e dei diritti e delle libertà fondamentali delle persone, la Commissione adotta le misure appropriate secondo la procedura di cui all'articolo 31, paragrafo 2.

Member States shall take the necessary measures to comply with the Commission's decision.

Gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.

4. Where the Commission decides, in accordance with the procedure referred to in Article 31 (2), that certain standard contractual clauses offer sufficient safeguards as required by paragraph 2, Member States shall take the necessary measures to comply with the Commission's decision.

4. Qualora la Commissione decida, secondo la procedura di cui all'articolo 31, paragrafo 2, che alcune clausole contrattuali tipo offrono le garanzie sufficienti di cui al paragrafo 2, gli Stati membri adottano le misure necessarie per conformarsi alla decisione della Commissione.

CHAPTER V CODES OF CONDUCT

CAPO V CODICI DI CONDOTTA

Article 27

Articolo 27

1. The Member States and the Commission shall encourage the drawing up of codes of conduct intended to contribute to the proper implementation of the national provisions adopted by the Member States pursuant to this Directive, taking account of the specific features of the various sectors.

1. Gli Stati membri e la Commissione incoraggiano l'elaborazione di codici di condotta destinati a contribuire, in funzione delle specificità settoriali, alla corretta applicazione delle disposizioni nazionali di attuazione della presente direttiva, adottate dagli Stati membri.

2. Member States shall make provision for trade associations and other bodies representing other categories of controllers which have drawn up draft national codes or which have the intention of amending or extending existing national codes to be able to submit them to the opinion of the national authority.

2. Gli Stati membri dispongono che le associazioni professionali e gli altri organismi rappresentanti altre categorie di responsabili del trattamento, che hanno elaborato i progetti di codice nazionali o intendono modificare o prorogare i codici nazionali esistenti, possano sottoporli all'esame dell'autorità nazionale.

Member States shall make provision for this authority to ascertain, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives.

Gli Stati membri prevedono che tale autorità accerti, in particolare, la conformità dei progetti che le sono sottoposti alle disposizioni nazionali di attuazione della presente direttiva. Qualora lo ritenga opportuno, l'autorità nazionale raccoglie le osservazioni delle persone interessate o dei loro rappresentanti.

3. Draft Community codes, and amendments or extensions to existing Community codes, may be submitted to the Working Party referred to in Article 29. This Working Party shall determine, among other things, whether the drafts submitted to it are in accordance with the national provisions adopted pursuant to this Directive. If it sees fit, the authority shall seek the views of data subjects or their representatives. The Commission may ensure appropriate publicity for the codes which have been approved by the Working Party.

3. I progetti di codici comunitari, nonché le modifiche o proroghe di codici comunitari esistenti, possono essere sottoposti al gruppo di cui all'articolo 29, il quale si pronuncia, in particolare, sulla conformità dei progetti che gli sono sottoposti alle disposizioni nazionali di attuazione della presente direttiva. Qualora lo ritenga opportuno, esso raccoglie le osservazioni delle persone interessate o dei loro rappresentanti. La Commissione può provvedere ad un'appropriata divulgazione dei codici che sono stati approvati dal gruppo.

CHAPTER VI SUPERVISORY AUTHORITY AND WORKING PARTY ON THE PROTECTION OF INDIVIDUALS WITH REGARD TO THE PROCESSING OF PERSONAL DATA

CAPO VI AUTORITÀ DI CONTROLLO E GRUPPO PER LA TUTELA DELLE PERSONE CON RIGUARDO AL TRATTAMENTO DEI DATI PERSONALI

Article 28

Articolo 28

Supervisory authority

Autorità di controllo

1. Each Member State shall provide that one or more public authorities are responsible for monitoring the application within its territory of the provisions adopted by the Member States pursuant to this Directive.

1. Ogni Stato membro dispone che una o più autorità pubbliche siano incaricate di sorvegliare, nel suo territorio, l'applicazione delle disposizioni di attuazione della presente direttiva, adottate dagli Stati membri.

These authorities shall act with complete independence in exercising the functions entrusted to them.

Tali autorità sono pienamente indipendenti nell'esercizio delle funzioni loro attribuite.

2. Each Member State shall provide that the supervisory authorities are consulted when drawing up administrative measures or regulations relating to the protection of individuals' rights and freedoms with regard to the processing of personal data.

2. Ciascuno Stato membro dispone che le autorità di controllo siano consultate al momento dell'elaborazione delle misure regolamentari o amministrative relative alla tutela dei diritti e delle libertà della persona con riguardo al trattamento dei dati personali.

3. Each authority shall in particular be endowed with:

3. Ogni autorità di controllo dispone in particolare:

- investigative powers, such as powers of access to data forming the subject-matter of processing operations and powers to collect all the information necessary for the performance of its supervisory duties,

- di poteri investigativi, come il diritto di accesso ai dati oggetto di trattamento e di raccolta di qualsiasi informazione necessaria all'esercizio della sua funzione di controllo;

- effective powers of intervention, such as, for example, that of delivering opinions before processing operations are carried out, in accordance with Article 20, and ensuring appropriate publication of such opinions, of ordering the blocking, erasure or destruction of data, of imposing a temporary or definitive ban on processing, of warning or admonishing the controller, or that of referring the matter to national parliaments or other political institutions,

- di poteri effettivi d'intervento, come quello di formulare pareri prima dell'avvio di trattamenti, conformemente all'articolo 20, e di dar loro adeguata pubblicità o quello di ordinare il congelamento, la cancellazione o la distruzione dei dati, oppure di vietare a titolo provvisorio o definitivo un trattamento, ovvero quello di rivolgere un avvertimento o un monito al responsabile del trattamento o quello di adire i Parlamenti o altre istituzioni politiche nazionali;

- the power to engage in legal proceedings where the national provisions adopted pursuant to this Directive have been violated or to bring these violations to the attention of the judicial authorities.

- del potere di promuovere azioni giudiziarie in caso di violazione delle disposizioni nazionali di attuazione della presente direttiva ovvero di adire per dette violazioni le autorità giudiziarie.

Decisions by the supervisory authority which give rise to complaints may be appealed against through the courts.

È possibile un ricorso giurisdizionale avverso le decisioni dell'autorità di controllo recanti pregiudizio.

4. Each supervisory authority shall hear claims lodged by any person, or by an association representing that person, concerning the protection of his rights and freedoms in regard to the processing of personal data. The person concerned shall be informed of the outcome of the claim.

4. Qualsiasi persona, o associazione che la rappresenti, può presentare a un'autorità di controllo una domanda relativa alla tutela dei suoi diritti e libertà con riguardo al trattamento di dati personali. La persona interessata viene informata del seguito dato alla sua domanda.

Each supervisory authority shall, in particular, hear claims for checks on the lawfulness of data processing lodged by any person when the national provisions adopted pursuant to Article 13 of this Directive apply. The person shall at any rate be informed that a check has taken place.

Qualsiasi persona può, in particolare, chiedere a un'autorità di controllo di verificare la liceità di un trattamento quando si applicano le disposizioni nazionali adottate a norma dell'articolo 13 della presente direttiva. La persona viene ad ogni modo informata che una verifica ha avuto luogo.

5. Each supervisory authority shall draw up a report on its activities at regular intervals. The report shall be made public.

5. Ogni autorità di controllo elabora a intervalli regolari una relazione sulla sua attività. La relazione viene pubblicata.

6. Each supervisory authority is competent, whatever the national law applicable to the processing in question, to exercise, on the territory of its own Member State, the powers conferred on it in accordance with paragraph 3. Each authority may be requested to exercise its powers by an authority of another Member State.

6. Ciascuna autorità di controllo, indipendentemente dalla legge nazionale applicabile al trattamento in questione, è competente per esercitare, nel territorio del suo Stato membro, i poteri attribuitile a norma del paragrafo 3. Ciascuna autorità può essere invitata ad esercitare i suoi poteri su domanda dell'autorità di un altro Stato membro.

The supervisory authorities shall cooperate with one another to the extent necessary for the performance of their duties, in particular by exchanging all useful information.

Le autorità di controllo collaborano tra loro nella misura necessaria allo svolgimento dei propri compiti, in particolare scambiandosi ogni informazione utile.

7. Member States shall provide that the members and staff of the supervisory authority, even after their employment has ended, are to be subject to a duty of professional secrecy with regard to confidential information to which they have access.

7. Gli Stati membri dispongono che i membri e gli agenti delle autorità di controllo sono soggetti, anche dopo la cessazione delle attività, all'obbligo del segreto professionale in merito alle informazioni riservate cui hanno accesso.

Article 29

Articolo 29

Working Party on the Protection of Individuals with regard to the Processing of Personal Data

Gruppo per la tutela delle persone con riguardo al trattamento dei dati personali

1. A Working Party on the Protection of Individuals with regard to the Processing of Personal Data, hereinafter referred to as 'the Working Party', is hereby set up.

1. È istituito un gruppo per la tutela della persone con riguardo al trattamento dei dati personali, in appresso denominato «il gruppo».

It shall have advisory status and act independently.

Il gruppo ha carattere consultivo e indipendente.

2. The Working Party shall be composed of a representative of the supervisory authority or authorities designated by each Member State and of a representative of the authority or authorities established for the Community institutions and bodies, and of a representative of the Commission.

2. Il gruppo è composto da un rappresentante della o delle autorità di controllo designate da ciascuno Stato membro e da un rappresentante della o delle autorità create per le istituzioni e gli organismi comunitari, nonché da un rappresentante della Commissione.

Each member of the Working Party shall be designated by the institution, authority or authorities which he represents. Where a Member State has designated more than one supervisory authority, they shall nominate a joint representative. The same shall apply to the authorities established for Community institutions and bodies.

Ogni membro del gruppo è designato dall'istituzione oppure dalla o dalle autorità che rappresenta. Qualora uno Stato membro abbia designato più autorità di controllo, queste procedono alla nomina di un rappresentante comune. Lo stesso vale per le autorità create per le istituzioni e gli organismi comunitari.

3. The Working Party shall take decisions by a simple majority of the representatives of the supervisory authorities.

3. Il gruppo adotta le sue decisioni alla maggioranza semplice dei rappresentanti delle autorità di controllo.

4. The Working Party shall elect its chairman. The chairman's term of office shall be two years. His appointment shall be renewable.

4. Il gruppo elegge il proprio presidente. La durata del mandato del presidente è di due anni. Il mandato è rinnovabile.

5. The Working Party's secretariat shall be provided by the Commission.

5. Al segretariato del gruppo provvede la Commissione.

6. The Working Party shall adopt its own rules of procedure.

6. Il gruppo adotta il proprio regolamento interno.

7. The Working Party shall consider items placed on its agenda by its chairman, either on his own initiative or at the request of a representative of the supervisory authorities or at the Commission's request.

7. Il gruppo esamina le questioni iscritte all'ordine del giorno dal suo presidente, su iniziativa di questo o su richiesta di un rappresentante delle autorità di controllo oppure su richiesta della Commissione.

Article 30

Articolo 30

1. The Working Party shall:

1. Il gruppo ha i seguenti compiti:

(a) examine any question covering the application of the national measures adopted under this Directive in order to contribute to the uniform application of such measures;

a) esaminare ogni questione attinente all'applicazione delle norme nazionali di attuazione della presente direttiva per contribuire alla loro applicazione omogenea;

(b) give the Commission an opinion on the level of protection in the Community and in third countries;

b) formulare, ad uso della Commissione, un parere sul livello di tutela nella Comunità e nei paesi terzi;

(c) advise the Commission on any proposed amendment of this Directive, on any additional or specific measures to safeguard the rights and freedoms of natural persons with regard to the processing of personal data and on any other proposed Community measures affecting such rights and freedoms;

c) consigliare la Commissione in merito a ogni progetto di modifica della presente direttiva, ogni progetto di misure addizionali o specifiche da prendere ai fini della tutela dei diritti e delle libertà delle persone fisiche con riguardo al trattamento di dati personali, nonché in merito a qualsiasi altro progetto di misure comunitarie che incidano su tali diritti e libertà;

(d) give an opinion on codes of conduct drawn up at Community level.

d) formulare un parere sui codici di condotta elaborati a livello comunitario.

2. If the Working Party finds that divergences likely to affect the equivalence of protection for persons with regard to the processing of personal data in the Community are arising between the laws or practices of Member States, it shall inform the Commission accordingly.

2. Il gruppo, qualora constati che tra le legislazioni o prassi degli Stati membri si manifestano divergenze che possano pregiudicare l'equivalenza della tutela delle persone in materia di trattamento dei dati personali nella Comunità, ne informa la Commissione.

3. The Working Party may, on its own initiative, make recommendations on all matters relating to the protection of persons with regard to the processing of personal data in the Community.

3. Il gruppo può formulare di propria iniziativa raccomandazioni su qualsiasi questione riguardante la tutela delle persone nei confronti del trattamento di dati personali nella Comunità.

4. The Working Party's opinions and recommendations shall be forwarded to the Commission and to the committee referred to in Article 31.

4. I pareri e le raccomandazioni del gruppo vengono trasmessi alla Commissione e al comitato di cui all'articolo 31.

5. The Commission shall inform the Working Party of the action it has taken in response to its opinions and recommendations. It shall do so in a report which shall also be forwarded to the European Parliament and the Council. The report shall be made public.

5. La Commissione informa il gruppo del seguito da essa dato ai pareri e alle raccomandazioni. A tal fine redige una relazione che viene trasmessa anche al Parlamento europeo e al Consiglio. La relazione è oggetto di pubblicazione.

6. The Working Party shall draw up an annual report on the situation regarding the protection of natural persons with regard to the processing of personal data in the Community and in third countries, which it shall transmit to the Commission, the European Parliament and the Council. The report shall be made public.

6. Il gruppo redige una relazione annuale sullo stato della tutela delle persone fisiche con riguardo al trattamento dei dati personali nella Comunità e nei paesi terzi e la trasmette alla Commissione, al Parlamento europeo e al Consiglio. La relazione è oggetto di pubblicazione.

CHAPTER VII COMMUNITY IMPLEMENTING MEASURES

CAPO VII MISURE COMUNITARIE D'ESECUZIONE

Article 31

Articolo 31

The Committee

Comitato

1. The Commission shall be assisted by a committee composed of the representatives of the Member States and chaired by the representative of the Commission.

1. La Commissione è assistita da un comitato composto dai rappresentanti degli Stati membri e presieduto dal rappresentante della Commissione.

2. The representative of the Commission shall submit to the committee a draft of the measures to be taken. The committee shall deliver its opinion on the draft within a time limit which the chairman may lay down according to the urgency of the matter.

2. Il rappresentante della Commissione sottopone al comitato un progetto delle misure da adottare. Il comitato, entro un termine che il presidente può fissare in funzione dell'urgenza della questione in esame, formula il suo parere sul progetto.

The opinion shall be delivered by the majority laid down in Article 148 (2) of the Treaty. The votes of the representatives of the Member States within the committee shall be weighted in the manner set out in that Article. The chairman shall not vote.

Il parere è formulato alla maggioranza prevista all'articolo 148, paragrafo 2 del trattato. Nelle votazioni in seno al comitato, ai voti dei rappresentanti degli Stati membri è attribuita la ponderazione fissata nell'articolo precitato. Il presidente non partecipa al voto.

The Commission shall adopt measures which shall apply immediately. However, if these measures are not in accordance with the opinion of the committee, they shall be communicated by the Commission to the Council forthwith. It that event:

La Commissione adotta misure che sono applicabili immediatamente. Tuttavia, se queste misure non sono conformi al parere del comitato saranno subito comunicate dalla Commissione al Consiglio. In tal caso:

- the Commission shall defer application of the measures which it has decided for a period of three months from the date of communication,

- la Commissione rinvia l'applicazione delle misure da essa decise per un periodo di tre mesi, a decorrere dalla data della comunicazione;

- the Council, acting by a qualified majority, may take a different decision within the time limit referred to in the first indent.

- il Consiglio, deliberando a maggioranza qualificata, può prendere una decisione diversa entro il termine di cui al comma precedente.

FINAL PROVISIONS

DISPOSIZIONI FINALI

Article 32

Articolo 32

1. Member States shall bring into force the laws, regulations and administrative provisions necessary to comply with this Directive at the latest at the end of a period of three years from the date of its adoption.

1. Gli Stati membri mettono in vigore le disposizioni legislative, regolamentari ed amministrative necessarie per conformarsi alla presente direttiva al più tardi alla scadenza del terzo anno successivo alla sua adozione.

When Member States adopt these measures, they shall contain a reference to this Directive or be accompanied by such reference on the occasion of their official publication. The methods of making such reference shall be laid down by the Member States.

Quando gli Stati membri adottano tali disposizioni, queste contengono un riferimento alla presente direttiva o sono corredate da un siffatto riferimento all'atto della pubblicazione ufficiale. Le modalità di tale riferimento sono decise dagli Stati membri.

2. Member States shall ensure that processing already under way on the date the national provisions adopted pursuant to this Directive enter into force, is brought into conformity with these provisions within three years of this date.

2. Gli Stati membri provvedono affinché i trattamenti avviati prima della data di entrata in vigore delle disposizioni nazionali di attuazione della presente direttiva si conformino a dette disposizioni entro i tre anni successivi alla data summenzionata.

By way of derogation from the preceding subparagraph, Member States may provide that the processing of data already held in manual filing systems on the date of entry into force of the national provisions adopted in implementation of this Directive shall be brought into conformity with Articles 6, 7 and 8 of this Directive within 12 years of the date on which it is adopted. Member States shall, however, grant the data subject the right to obtain, at his request and in particular at the time of exercising his right of access, the rectification, erasure or blocking of data which are incomplete, inaccurate or stored in a way incompatible with the legitimate purposes pursued by the controller.

In deroga al comma precedente, gli Stati membri possono prevedere che, per quanto riguarda gli articoli 6, 7 ed 8, la messa in conformità dei trattamenti di dati già contenuti in archivi manuali alla data dell'entrata in vigore delle disposizioni nazionali di attuazione della presente direttiva sia effettuata man mano che si procede a successive operazioni di trattamento di tali dati, diverse dalla semplice memorizzazione. Questa messa in conformità deve, tuttavia, essere terminata entro il dodicesimo anno a decorrere dalla data di adozione della presente direttiva. Gli Stati membri consentono comunque alla persona interessata di ottenere a sua richiesta e in particolare in sede di esercizio del diritto di accesso, la rettifica, la cancellazione o il congelamento dei dati incompleti, inesatti o conservati in modo incompatibile con i fini legittimi perseguiti dal responsabile del trattamento.

3. By way of derogation from paragraph 2, Member States may provide, subject to suitable safeguards, that data kept for the sole purpose of historical research need not be brought into conformity with Articles 6, 7 and 8 of this Directive.

3. In deroga al paragrafo 2, gli Stati membri possono prevedere, con riserva di garanzie adeguate, che i dati conservati esclusivamente per ricerche storiche non siano resi conformi alle disposizioni degli articoli 6, 7 e 8 della presente direttiva.

4. Member States shall communicate to the Commission the text of the provisions of domestic law which they adopt in the field covered by this Directive.

4. Gi Stati membri comunicano alla Commissione le disposizioni di diritto interno che adottano nel settore disciplinato dalla presente direttiva.

Article 33

Articolo 33

The Commission shall report to the Council and the European Parliament at regular intervals, starting not later than three years after the date referred to in Article 32 (1), on the implementation of this Directive, attaching to its report, if necessary, suitable proposals for amendments. The report shall be made public.

La Commissione presenta periodicamente al Consiglio e al Parlamento europeo, per la prima volta entro tre anni dalla data di cui all'articolo 32, paragrafo 1, una relazione sull'applicazione della presente direttiva, accompagnata, se del caso, dalle opportune proposte di modifica. La relazione è oggetto di pubblicazione.

The Commission shall examine, in particular, the application of this Directive to the data processing of sound and image data relating to natural persons and shall submit any appropriate proposals which prove to be necessary, taking account of developments in information technology and in the light of the state of progress in the information society.

La Commissione esaminerà in particolare l'applicazione della presente direttiva al trattamento dei dati sotto forma di suoni o immagini relativi a persone fisiche e presenterà le eventuali proposte necessarie, tenuto conto dell'evoluzione della tecnologia dell'informazione e alla luce dei progressi della società dell'informazione.

Article 34

Articolo 34

This Directive is addressed to the Member States.

Gli Stati membri sono destinatari della presente direttiva.

Done at Luxembourg, 24 October 1995.

Fatto a Lussemburgo, addì 24 ottobre 1995.

For the European Parliament

Per il Parlamento europeo

The President

Il Presidente

K. HAENSCH

K. HAENSCH

For the Council

Per il Consiglio

The President

Il Presidente

L. ATIENZA SERNA

L. ATIENZA SERNA

(1) OJ No C 277, 5. 11. 1990, p. 3 and OJ No C 311, 27. 11. 1992, p. 30.

(1) GU n. C 277 del 5. 11. 1990, pag. 3, e GU n. C 311 del 27. 11. 1992, pag. 30.

(2) OJ No C 159, 17. 6. 1991, p 38.

(2) GU n. C 159 del 17. 6. 1991, pag. 38.

(3) Opinion of the European Parliament of 11 March 1992 (OJ No C 94, 13. 4. 1992, p. 198), confirmed on 2 December 1993 (OJ No C 342, 20. 12. 1993, p. 30); Council common position of 20 February 1995 (OJ No C 93, 13. 4. 1995, p. 1) and Decision of the European Parliament of 15 June 1995 (OJ No C 166, 3. 7. 1995).

(3) Parere del Parlamento europeo dell'11 marzo 1992 (GU n. C 94 del 13. 4. 1992, pag. 198), confermato il 2 dicembre 1993 (GU n. C 342 del 20. 12. 1993, pag. 30); posizione comune del Consiglio del 20 febbraio 1995 (GU n. C 93 del 13. 4. 1995, pag. 1) e decisione del Parlamento europeo del 15 giugno 1995 (GU n. C 166 del 3. 7. 1995).

(1) OJ No L 197, 18. 7. 1987, p. 33.

(1) GU n. L 197 del 18. 7. 1987, pag. 33.