1.   Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organi dell’Unione, nonché norme relative alla libera circolazione dei dati personali tra tali istituzioni e organi o verso altri destinatari stabiliti nell’Unione.

2.   Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.

3.   Il Garante europeo della protezione dei dati sorveglia l’applicazione delle disposizioni del presente regolamento a tutti i trattamenti effettuati da un’istituzione o un organo dell’Unione.

1.   Il presente regolamento si applica al trattamento di dati personali da parte di tutte le istituzioni e di tutti gli organi dell’Unione.

2.   Solo l’articolo 3 e il capo IX del presente regolamento si applicano al trattamento dei dati personali operativi da parte degli organi e degli organismi dell’Unione nell’esercizio di attività rientranti nell’ambito di applicazione della parte terza, titolo V, capo 4 o capo 5, TFUE.

3.   Il presente regolamento non si applica al trattamento dei dati personali operativi da parte di Europol e della Procura europea, finché il regolamento (UE) 2016/794 del Parlamento europeo e del Consiglio (15) e il regolamento (UE) 2017/1939 del Consiglio (16) non saranno sono adattati conformemente all’articolo 98 del presente regolamento.

4.   Il presente regolamento non si applica al trattamento dei dati personali da parte delle missioni di cui all’articolo 42, paragrafo 1, e agli articoli 43 e 44 TUE.

5.   Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.

1.   I dati personali devono essere:

2.   Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»).

1.   Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

2.   La base su cui si fonda il trattamento di cui al paragrafo 1, lettere a) e b), è stabilita dal diritto dell’Unione.

1.   Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.

2.   Se il consenso dell’interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Nessuna parte di una tale dichiarazione che costituisca una violazione del presente regolamento è vincolante.

3.   L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di esprimere il proprio consenso, l’interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato.

4.   Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l’eventualità, tra le altre, che l’esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all’esecuzione di tale contratto.

1.   Qualora si applichi l’articolo 5, paragrafo 1, lettera d), per quanto riguarda l’offerta diretta di servizi della società dell’informazione ai minori, il trattamento di dati personali del minore è lecito ove il minore abbia almeno 13 anni. Ove il minore abbia un’età inferiore ai 13 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale.

2.   Il titolare del trattamento si adopera in ogni modo ragionevole per verificare in tali casi che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, in considerazione delle tecnologie disponibili.

3.   Il paragrafo 1 non pregiudica le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l’efficacia di un contratto rispetto a un minore.

1.   Fatti salvi gli articoli da 4 a 6 e l’articolo 10, i dati personali possono essere trasmessi a destinatari stabiliti nell’Unione diversi dalle istituzioni e dagli organi dell’Unione solo se:

2.   Ove dia origine alla trasmissione a norma del presente articolo il titolare del trattamento dimostra che la trasmissione dei dati personali è necessaria e proporzionata alle finalità cui è destinata, applicando i criteri di cui al paragrafo 1, lettera a) o b).

3.   Le istituzioni e gli organi dell’Unione conciliano il diritto alla protezione dei dati personali con il diritto di accesso ai documenti in conformità del diritto dell’Unione.

1.   È vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.

2.   Il paragrafo 1 non si applica se si verifica uno dei seguenti casi:

3.   I dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch’essa soggetta all’obbligo di segretezza conformemente al diritto dell’Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti.

1.   Se le finalità per cui un titolare del trattamento tratta i dati personali non richiedono o non richiedono più l’identificazione dell’interessato, il titolare del trattamento non è obbligato a conservare, acquisire o trattare ulteriori informazioni per identificare l’interessato al solo fine di rispettare il presente regolamento.

2.   Qualora, nei casi di cui al paragrafo 1 del presente articolo, il titolare del trattamento possa dimostrare di non essere in grado di identificare l’interessato, ne informa l’interessato, se possibile. In tali casi, gli articoli da 17 a 22 non si applicano tranne quando l’interessato, al fine di esercitare i diritti di cui ai suddetti articoli, fornisce ulteriori informazioni che ne consentano l’identificazione.

1.   Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 15 e 16 e le comunicazioni di cui agli articoli da 17 a 24 e all’articolo 35 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato.

2.   Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 17 a 24. Nei casi di cui all’articolo 12, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell’interessato di esercitare i suoi diritti ai sensi degli articoli da 17 a 24, salvo che il titolare del trattamento dimostri che non è in grado di identificare l’interessato.

3.   Il titolare del trattamento fornisce all’interessato le informazioni relative all’azione intrapresa riguardo a una richiesta ai sensi degli articoli da 17 a 24 senza indebito ritardo e, comunque, entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l’interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell’interessato.

4.   Se non ottempera alla richiesta dell’interessato, il titolare del trattamento informa l’interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell’inottemperanza e della possibilità di proporre reclamo al Garante europeo della protezione dei dati e di proporre ricorso giurisdizionale.

5.   Le informazioni fornite ai sensi degli articoli 15 e 16 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 17 a 24 e dell’articolo 35 sono gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

6.   Fatto salvo l’articolo 12, qualora il titolare del trattamento nutra ragionevoli dubbi circa l’identità della persona fisica che presenta la richiesta di cui agli articoli da 17 a 23, può richiedere ulteriori informazioni necessarie per confermare l’identità dell’interessato.

7.   Le informazioni da fornire agli interessati a norma degli articoli 15 e 16 possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto. Se presentate elettronicamente, le icone sono leggibili da dispositivo automatico.

8.   Se la Commissione adotta atti delegati conformemente all’articolo 12, paragrafo 8, del regolamento (UE) 2016/679 che stabiliscono le informazioni da presentare sotto forma di icona e le procedure per fornire icone standardizzate, le istituzioni e gli organi dell’Unione forniscono, se del caso, le informazioni di cui agli articoli 15 e 16 del presente regolamento in combinazione con le icone standardizzate.

1.   In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:

2.   In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:

3.   Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente di cui al paragrafo 2.

4.   I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l’interessato dispone già delle informazioni.

1.   Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce all’interessato le seguenti informazioni:

2.   In aggiunta alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell’interessato:

3.   Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2:

4.   Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2.

5.   I paragrafi da 1 a 4 non si applicano se e nella misura in cui:

6.   Nei casi di cui al paragrafo 5, lettera b), il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e gli interessi legittimi dell’interessato, anche rendendo pubbliche le informazioni.

1.   L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni:

2.   Qualora i dati personali siano trasferiti a un paese terzo o a un’organizzazione internazionale, l’interessato ha il diritto di essere informato dell’esistenza di garanzie adeguate ai sensi dell’articolo 48 relative al trasferimento.

3.   Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. Se l’interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell’interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4.   Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui.

1.   L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza indebito ritardo e il titolare del trattamento ha l’obbligo di cancellare senza indebito ritardo i dati personali, se sussiste uno dei motivi seguenti:

2.   Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento, o i titolari del trattamento diversi dalle istituzioni e dagli organi dell’Unione, che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

3.   I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:

1.   L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:

2.   Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell’interessato o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un’altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell’Unione o di uno Stato membro.

3.   L’interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 è informato dal titolare del trattamento prima che detta limitazione sia revocata.

4.   Negli archivi automatizzati la limitazione del trattamento è assicurata, in linea di massima, mediante dispositivi tecnici. Il sistema deve indicare che i dati personali sono stati limitati in modo da rendere evidente che non possono essere utilizzati.

1.   L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora:

2.   Nell’esercitare i propri diritti relativamente alla portabilità dei dati a norma del paragrafo 1, l’interessato ha il diritto di ottenere la trasmissione diretta dei dati personali da un titolare del trattamento a un altro o a titolari del trattamento diversi dalle istituzioni e dagli organi dell’Unione, se tecnicamente fattibile.

3.   L’esercizio del diritto di cui al paragrafo 1 del presente articolo lascia impregiudicato l’articolo 19. Tale diritto non si applica al trattamento necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento.

4.   Il diritto di cui al paragrafo 1 non deve ledere i diritti e le libertà altrui.

1.   L’interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell’articolo 5, paragrafo 1, lettera a), compresa la profilazione sulla base di tale disposizione. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l’esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell’interessato oppure per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

2.   Il diritto di cui al paragrafo 1 è esplicitamente portato all’attenzione dell’interessato ed è presentato chiaramente e separatamente da qualsiasi altra informazione al più tardi al momento della prima comunicazione con l’interessato.

3.   Fatti salvi gli articoli 36 e 37, nel contesto dell’utilizzo di servizi della società dell’informazione l’interessato può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche.

4.   Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici, l’interessato, per motivi connessi alla sua situazione particolare, ha il diritto di opporsi al trattamento di dati personali che lo riguarda, salvo se il trattamento è necessario per l’esecuzione di un compito di interesse pubblico.

1.   L’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

2.   Il paragrafo 1 non si applica nel caso in cui la decisione:

3.   Nei casi di cui al paragrafo 2, lettere a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e gli interessi legittimi dell’interessato, almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.

4.   Le decisioni di cui al paragrafo 2 del presente articolo non si basano sulle categorie particolari di dati personali di cui all’articolo 10, paragrafo 1, a meno che non sia d’applicazione l’articolo 10, paragrafo 2, lettere a) o g), e non siano in vigore misure adeguate a tutela dei diritti, delle libertà e degli interessi legittimi dell’interessato.

1.   Gli atti giuridici adottati sulla base dei trattati oppure, per le questioni relative al funzionamento delle istituzioni e degli organi dell’Unione, le norme interne stabilite da questi ultimi possono limitare l’applicazione degli articoli da 14 a 22 e degli articoli 35 e 36, nonché dell’articolo 4 nella misura in cui le sue disposizioni corrispondano ai diritti e agli obblighi di cui agli articoli da 14 a 22, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare:

2.   In particolare, gli atti giuridici o le norme interne di cui al paragrafo 1 contengono disposizioni specifiche riguardanti, se del caso:

3.   Se i dati personali sono trattati a fini di ricerca scientifica o storica o a fini statistici, il diritto dell’Unione, che può comprendere norme interne adottate dalle istituzioni e dagli organi dell’Unione relative a questioni connesse al loro funzionamento, può prevedere deroghe ai diritti di cui agli articoli 17, 18, 20 e 23, fatte salve le condizioni e le garanzie di cui all’articolo 13, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità specifiche e tali deroghe sono necessarie al conseguimento di dette finalità.

4.   Se i dati personali sono trattati per finalità di archiviazione nel pubblico interesse, il diritto dell’Unione, che può comprendere norme interne adottate dalle istituzioni e dagli organi dell’Unione relative a questioni connesse al loro funzionamento, può prevedere deroghe ai diritti di cui agli articoli 17, 18, 20, 21, 22 e 23, fatte salve le condizioni e le garanzie di cui all’articolo 13, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità specifiche e tali deroghe sono necessarie al conseguimento di dette finalità.

5.   Le norme interne di cui ai paragrafi 1, 3 e 4 sono atti di applicazione generale chiari e precisi intesi a produrre effetti giuridici nei confronti degli interessati, adottati al più alto livello di gestione delle istituzioni e degli organi dell’Unione e destinati a essere pubblicati nella Gazzetta ufficiale dell’Unione europea.

6.   Qualora si applichi una delle limitazioni di cui al paragrafo 1, l’interessato è informato, conformemente al diritto dell’Unione, dei principali motivi della limitazione e del suo diritto di proporre reclamo al Garante europeo della protezione dei dati.

7.   Qualora si applichino le limitazioni previste al paragrafo 1 per negare all’interessato l’accesso ai dati che lo riguardano, il Garante europeo della protezione dei dati, nell’esaminare il reclamo, gli comunica solo se i dati sono stati trattati correttamente ovvero, in caso contrario, se sono state apportate tutte le rettifiche necessarie.

8.   La comunicazione delle informazioni di cui ai paragrafi 6 e 7 del presente articolo e all’articolo 45, paragrafo 2, può essere rinviata, omessa o negata qualora annulli l’effetto della limitazione imposta in forza del paragrafo 1 del presente articolo.

1.   Tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento sia effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.

2.   Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l’attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.

3.   L’adesione a meccanismi di certificazione approvati di cui all’articolo 42 del regolamento (UE) 2016/679 può essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento.

1.   Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.

2.   Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l’intervento della persona fisica.

3.   Un meccanismo di certificazione approvato ai sensi dell’articolo 42 del regolamento (UE) 2016/679 può essere utilizzato come elemento per dimostrare la conformità ai requisiti di cui ai paragrafi 1 e 2 del presente articolo.

1.   Allorché due o più titolari del trattamento o uno o più titolari del trattamento insieme a uno o più titolari del trattamento diversi dalle istituzioni e dagli organi dell’Unione determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi di protezione dei dati, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 15 e 16, a meno che e nella misura in cui le rispettive responsabilità dei contitolari siano determinate dal diritto dell’Unione o dello Stato membro cui i contitolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.

2.   L’accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell’accordo è messo a disposizione dell’interessato.

3.   Indipendentemente dalle disposizioni dell’accordo di cui al paragrafo 1, l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.

1.   Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.

2.   Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche.

3.   I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento:

Con riguardo alla lettera h) del primo comma, il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un’istruzione violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati.

4.   Quando un responsabile del trattamento ricorre a un altro responsabile del trattamento per l’esecuzione di specifiche attività di trattamento per conto del titolare del trattamento, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento di cui al paragrafo 3, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento. Qualora l’altro responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, il responsabile iniziale conserva nei confronti del titolare del trattamento l’intera responsabilità dell’adempimento degli obblighi dell’altro responsabile.

5.   Quando un responsabile del trattamento non è un’istituzione o un organo dell’Unione, la sua adesione a un codice di condotta approvato di cui all’articolo 40, paragrafo 5, del regolamento (UE) 2016/679 o a un meccanismo di certificazione approvato di cui all’articolo 42 dello stesso regolamento può essere utilizzata come elemento per dimostrare le garanzie sufficienti di cui ai paragrafi 1 e 4 del presente articolo.

6.   Fatto salvo l’eventuale contratto individuale tra il titolare del trattamento e il responsabile del trattamento, il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 del presente articolo può basarsi, in tutto o in parte, su clausole contrattuali tipo di cui ai paragrafi 7 e 8 del presente articolo, anche laddove siano parte di una certificazione concessa al responsabile del trattamento diverso da un’istituzione o un organo dell’Unione ai sensi dell’articolo 42 del regolamento (UE) 2016/679.

7.   La Commissione può stabilire clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo e secondo la procedura d’esame di cui all’articolo 96, paragrafo 2.

8.   Il Garante europeo della protezione dei dati può adottare clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4.

9.   Il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 è stipulato in forma scritta, anche in formato elettronico.

10.   Fatti salvi gli articoli 65 e 66, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione.

1.   Ogni titolare del trattamento tiene un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:

2.   Ogni responsabile del trattamento tiene un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento, contenente:

3.   I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico.

4.   Su richiesta, le istituzioni e gli organi dell’Unione mettono il registro a disposizione del Garante europeo della protezione dei dati.

5.   A meno che non sia opportuno tener conto delle dimensioni dell’istituzione o dell’organo dell’Unione, le istituzioni e gli organi dell’Unione conservano i loro registri delle attività di trattamento in un registro centrale che rendono accessibile al pubblico.

1.   Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche dei rischi di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:

2.   Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare, in modo accidentale o illegale, dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata di dati personali trasmessi, conservati o comunque trattati o dall’accesso agli stessi.

3.   Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell’Unione.

4.   L’adesione a un meccanismo di certificazione approvato ai sensi dell’articolo 42 del regolamento (UE) 2016/679 può essere utilizzata come elemento per dimostrare il rispetto dei requisiti di cui al paragrafo 1 del presente articolo.

1.   In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione al Garante europeo della protezione dei dati, senza indebito ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica al Garante europeo della protezione dei dati non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.

2.   Il responsabile del trattamento informa il titolare del trattamento senza indebito ritardo dopo essere venuto a conoscenza della violazione.

3.   La notifica di cui al paragrafo 1 deve almeno:

4.   Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

5.   Il titolare del trattamento comunica al responsabile della protezione dei dati la violazione dei dati personali.

6.   Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente al Garante europeo della protezione dei dati di verificare il rispetto del presente articolo.

1.   Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza indebito ritardo.

2.   La comunicazione all’interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all’articolo 34, paragrafo 3, lettere b), c) e d).

3.   Non è richiesta la comunicazione all’interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni:

4.   Nel caso in cui il titolare del trattamento non abbia ancora comunicato all’interessato la violazione dei dati personali, il Garante europeo della protezione dei dati può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.

1.   I dati personali contenuti in elenchi di utenti e l’accesso a detti elenchi sono limitati allo stretto necessario ai fini specifici degli elenchi.

2.   Le istituzioni e gli organi dell’Unione prendono le misure necessarie per impedire che i dati personali contenuti in tali elenchi siano utilizzati a fini di diffusione commerciale diretta, indipendentemente dal fatto che gli elenchi siano o meno accessibili al pubblico.

1.   Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi.

2.   Il titolare del trattamento, allorquando svolge una valutazione d’impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati.

3.   La valutazione d’impatto sulla protezione dei dati di cui al paragrafo 1 è richiesta in particolare nei casi seguenti:

4.   Il Garante europeo della protezione dei dati redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d’impatto sulla protezione dei dati ai sensi del paragrafo 1.

5.   Il Garante europeo della protezione dei dati può inoltre redigere e rendere pubblico un elenco delle tipologie di trattamenti per le quali non è richiesta una valutazione d’impatto sulla protezione dei dati.

6.   Prima di adottare gli elenchi di cui ai paragrafi 4 e 5 del presente articolo, il Garante europeo della protezione dei dati chiede che il comitato europeo per la protezione dei dati istituito dall’articolo 68 del regolamento (UE) 2016/679 esamini detti elenchi conformemente all’articolo 70, paragrafo 1, lettera e), dello stesso regolamento ove tali elenchi si riferiscano a trattamenti da parte di un titolare del trattamento che agisce congiuntamente a uno o più titolari del trattamento diversi dalle istituzioni e dagli organi dell’Unione.

7.   La valutazione contiene almeno:

8.   Nel valutare l’impatto del trattamento effettuato dai relativi responsabili diversi dalle istituzioni e dagli organi dell’Unione è tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all’articolo 40 del regolamento (UE) 2016/679, in particolare ai fini di una valutazione d’impatto sulla protezione dei dati.

9.   Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi pubblici o la sicurezza dei trattamenti.

10.   Qualora il trattamento effettuato ai sensi dell’articolo 5, paragrafo 1, lettera a) o b), trovi una base giuridica in un atto giuridico adottato sulla base dei trattati, che disciplina il trattamento specifico o l’insieme di trattamenti in questione, e sia già stata effettuata una valutazione d’impatto sulla protezione dei dati nell’ambito di una valutazione d’impatto generale precedente all’adozione di tale atto giuridico, i paragrafi da 1 a 6 del presente articolo non si applicano, salvo se tale atto giuridico stabilisce altrimenti.

11.   Se necessario, il titolare del trattamento procede a un riesame per valutare se il trattamento dei dati personali sia effettuato conformemente alla valutazione d’impatto sulla protezione dei dati almeno quando insorgono variazioni del rischio rappresentato dalle attività relative al trattamento.

1.   Prima di procedere al trattamento, il titolare del trattamento consulta il Garante europeo della protezione dei dati se dalla valutazione d’impatto sulla protezione dei dati a norma dell’articolo 39 risulta che il trattamento, in mancanza delle garanzie, delle misure di sicurezza e dei meccanismi per attenuare il rischio, presenterebbe un rischio elevato per i diritti e le libertà delle persone fisiche e il titolare del trattamento è del parere che il rischio non possa essere ragionevolmente attenuato in considerazione delle tecnologie disponibili e dei costi di attuazione. Il titolare del trattamento chiede il parere del responsabile della protezione dei dati sulla necessità di una consultazione preventiva.

2.   Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, il Garante europeo della protezione dei dati fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento e può avvalersi dei poteri di cui all’articolo 58. Tale periodo può essere prorogato di sei settimane, tenendo conto della complessità del trattamento previsto. Il Garante europeo della protezione dei dati informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione. La decorrenza dei termini può essere sospesa fino all’ottenimento da parte del Garante europeo della protezione dei dati delle informazioni richieste ai fini della consultazione.

3.   Al momento di consultare il Garante europeo della protezione dei dati ai sensi del paragrafo 1, il titolare del trattamento comunica al Garante europeo della protezione dei dati:

4.   La Commissione può definire, mediante un atto di esecuzione, un elenco dei casi in cui i titolari del trattamento consultano il Garante europeo della protezione dei dati, e ne ottengono l’autorizzazione preliminare, in relazione al trattamento necessario all’esecuzione, da parte del titolare del trattamento di dati personali, di un compito di interesse pubblico, tra cui il trattamento di tali dati in relazione alla protezione sociale e alla sanità pubblica.

1.   Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati al momento di elaborare provvedimenti amministrativi e norme interne in tema di trattamento di dati personali da parte di un’istituzione o un organo dell’Unione, singolarmente o congiuntamente con altri.

2.   Le istituzioni e gli organi dell’Unione consultano il Garante europeo della protezione dei dati al momento di elaborare le norme interne di cui all’articolo 25.

1.   Dopo l’adozione di proposte di atti legislativi e di raccomandazioni o proposte al Consiglio a norma dell’articolo 218 TFUE o durante la stesura di atti delegati o di esecuzione, qualora essi incidano sulla tutela dei diritti e delle libertà delle persone in relazione al trattamento dei dati personali, la Commissione consulta il Garante europeo della protezione dei dati.

2.   Se un atto di cui al paragrafo 1 è di particolare rilevanza per la tutela dei diritti e delle libertà fondamentali delle persone in relazione al trattamento di dati personali, la Commissione può consultare anche il comitato europeo per la protezione dei dati. In tali casi, il Garante europeo per la protezione dei dati e il comitato europeo per la protezione dei dati coordinano le proprie attività al fine di emettere un parere congiunto.

3.   La consulenza di cui ai paragrafi 1 e 2 è fornita per iscritto entro un termine di otto settimane dal ricevimento della richiesta di consultazione di cui ai paragrafi 1 e 2. In caso di urgenza, o se altrimenti opportuno, la Commissione può abbreviare il termine.

4.   Il presente articolo non si applica quando il regolamento (UE) 2016/679 fa obbligo alla Commissione di consultare il comitato europeo per la protezione dei dati.

1.   Ogni istituzione od organo dell’Unione designa un responsabile della protezione dei dati.

2.   Un unico responsabile della protezione dei dati può essere designato per più istituzioni e organi dell’Unione, tenuto conto della loro struttura organizzativa e dimensione.

3.   Il responsabile della protezione dei dati è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all’articolo 45.

4.   Il responsabile della protezione dei dati è un membro del personale dell’istituzione o dell’organo dell’Unione. Tenuto conto della loro dimensione e se l’opzione di cui al paragrafo 2 non è esercitata, le istituzioni e gli organi dell’Unione possono designare un responsabile della protezione dei dati che assolve i suoi compiti in base a un contratto di servizi.

5.   Le istituzioni e gli organi dell’Unione pubblicano i dati di contatto del responsabile della protezione dei dati e li comunicano al Garante europeo della protezione dei dati.

1.   Le istituzioni e gli organi dell’Unione si assicurano che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.

2.   Le istituzioni e gli organi dell’Unione sostengono il responsabile della protezione dei dati nell’esecuzione dei compiti di cui all’articolo 45 fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.

3.   Le istituzioni e gli organi dell’Unione si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l’esecuzione di tali compiti. Il responsabile della protezione dei dati non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l’adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento.

4.   Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all’esercizio dei loro diritti derivanti dal presente regolamento.

5.   Il responsabile della protezione dei dati e il suo personale sono tenuti al segreto o alla riservatezza in merito all’adempimento dei propri compiti, in conformità del diritto dell’Unione.

6.   Il responsabile della protezione dei dati può svolgere altri compiti e funzioni. Il titolare del trattamento o il responsabile del trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi.

7.   Il responsabile della protezione dei dati può essere consultato dal titolare del trattamento e dal responsabile del trattamento, dal comitato del personale interessato e da qualsiasi persona su qualsiasi aspetto riguardante l’interpretazione o l’applicazione del presente regolamento, senza seguire la via gerarchica. Nessuno deve subire pregiudizio per una questione portata all’attenzione del responsabile della protezione dei dati competente e riguardante un’asserita violazione delle disposizioni del presente regolamento.

8.   Il responsabile della protezione dei dati è designato per un periodo da tre a cinque anni e il suo mandato è rinnovabile. Il responsabile della protezione dei dati può essere destituito dalle sue funzioni dall’istituzione o dall’organo dell’Unione che lo ha designato, se non soddisfa più le condizioni richieste per l’esercizio delle sue funzioni, solo con il consenso del Garante europeo della protezione dei dati.

9.   La designazione del responsabile della protezione dei dati è comunicata al Garante europeo della protezione dei dati dall’istituzione o dall’organo dell’Unione che lo ha designato.

1.   Il responsabile della protezione dei dati è incaricato dei seguenti compiti:

2.   Il responsabile della protezione dei dati può formulare raccomandazioni al titolare del trattamento e al responsabile del trattamento per il miglioramento concreto della protezione dei dati e consigliare questi ultimi in merito all’applicazione delle disposizioni sulla protezione dei dati. Può inoltre, di propria iniziativa o a richiesta del titolare del trattamento o del responsabile del trattamento, del comitato del personale interessato o di qualsiasi persona, indagare sulle questioni e sui fatti direttamente collegati con l’esercizio delle sue funzioni di cui viene a conoscenza e riferire in merito alla persona che lo ha incaricato dell’indagine o al titolare o al responsabile del trattamento.

3.   Altre norme di attuazione relative al responsabile della protezione dei dati sono adottate da ogni istituzione od organo dell’Unione. Tali norme di attuazione riguardano in particolare le funzioni, gli obblighi e le competenze del responsabile della protezione dei dati.

1.   Il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale è ammesso se la Commissione ha deciso, ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, che il paese terzo, un territorio o uno o più settori specifici all’interno di tale paese terzo o l’organizzazione internazionale in questione assicurano un livello di protezione adeguato, e qualora i dati personali siano trasferiti esclusivamente per consentire lo svolgimento dei compiti che rientrano nelle competenze del titolare del trattamento.

2.   Le istituzioni e gli organi dell’Unione informano la Commissione e il Garante europeo della protezione dei dati circa i casi in cui a loro parere un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo o un’organizzazione internazionale in questione non assicurano un livello di protezione adeguato ai sensi del paragrafo 1.

3.   Le istituzioni e gli organi dell’Unione adottano le misure necessarie per conformarsi alle decisioni della Commissione che constatano, in applicazione dell’articolo 45, paragrafo 3 o 5, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3 o 5, della direttiva (UE) 2016/680, che un paese terzo, un territorio o uno o più settori specifici all’interno di un paese terzo o un’organizzazione internazionale assicurano o non assicurano più un livello di protezione adeguato.

1.   In mancanza di una decisione ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un’organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.

2.   Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte del Garante europeo della protezione dei dati:

3.   Fatta salva l’autorizzazione del Garante europeo della protezione dei dati, possono altresì costituire in particolare garanzie adeguate di cui al paragrafo 1:

4.   Le autorizzazioni rilasciate dal Garante europeo della protezione dei dati in base all’articolo 9, paragrafo 7, del regolamento (CE) 45/2001 restano valide fino a quando non sono modificate, sostituite o abrogate, se necessario, dal Garante europeo della protezione dei dati.

5.   Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati in merito alle categorie di casi in cui è stato applicato il presente articolo.

1.   In mancanza di una decisione di adeguatezza ai sensi dell’articolo 45, paragrafo 3, del regolamento (UE) 2016/679 o dell’articolo 36, paragrafo 3, della direttiva (UE) 2016/680, o di garanzie adeguate ai sensi dell’articolo 48 del presente regolamento, è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale soltanto se si verifica una delle seguenti condizioni:

2.   Il paragrafo 1, lettere a), b) e c), non si applica alle attività svolte dalle istituzioni e dagli organi dell’Unione nell’esercizio dei pubblici poteri.

3.   L’interesse pubblico di cui al paragrafo 1, lettera d), deve essere riconosciuto dal diritto dell’Unione.

4.   Il trasferimento di cui al paragrafo 1, lettera g), non può riguardare la totalità dei dati personali o intere categorie di dati personali contenute nel registro, salvo se autorizzato dal diritto dell’Unione. Se il registro è destinato a essere consultato da persone aventi un interesse legittimo, il trasferimento è ammesso soltanto su richiesta di tali persone o qualora tali persone ne siano i destinatari.

5.   In mancanza di una decisione di adeguatezza, il diritto dell’Unione può, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un’organizzazione internazionale.

6.   Le istituzioni e gli organi dell’Unione informano il Garante europeo della protezione dei dati in merito alle categorie di casi in cui è stato applicato il presente articolo.

1.   È istituito il Garante europeo della protezione dei dati.

2.   Il Garante europeo della protezione dei dati ha il compito di garantire il rispetto dei diritti e delle libertà fondamentali delle persone fisiche, segnatamente del diritto alla protezione dei dati, in relazione al trattamento dei dati personali da parte delle istituzioni e degli organi dell’Unione.

3.   Il Garante europeo della protezione dei dati ha il compito di sorvegliare e assicurare l’applicazione del presente regolamento e di qualunque altro atto dell’Unione relativo alla tutela dei diritti e delle libertà fondamentali delle persone fisiche in relazione al trattamento dei dati personali da parte di un’istituzione o di un organo dell’Unione, e di fornire alle istituzioni e agli organi dell’Unione nonché agli interessati pareri su tutte le questioni relative al trattamento dei dati personali. A tal fine esso assolve ai compiti previsti all’articolo 57 ed esercita i poteri attribuitigli dall’articolo 58.

4.   Il regolamento (CE) n. 1049/2001 si applica ai documenti detenuti dal Garante europeo della protezione dei dati. Il Garante europeo della protezione dei dati adotta le modalità di applicazione del regolamento (CE) n. 1049/2001 per quanto riguarda tali documenti.

1.   Il Parlamento europeo e il Consiglio nominano di comune accordo il Garante europeo della protezione dei dati, per un periodo di cinque anni, in base a un elenco predisposto dalla Commissione dopo un invito pubblico a presentare candidature. Tale invito consente a tutte le parti interessate nell’insieme dell’Unione di presentare la propria candidatura. L’elenco di candidati elaborato dalla Commissione è pubblico e include almeno tre candidati. Sulla base dell’elenco elaborato dalla Commissione, la commissione competente del Parlamento europeo può decidere di organizzare un’audizione per poter esprimere una preferenza.

2.   L’elenco di candidati di cui al paragrafo 1 deve essere composto da personalità che offrano ogni garanzia di indipendenza e che possiedano una conoscenza specialistica in materia di protezione dei dati nonché esperienza e competenze per l’esercizio delle funzioni di Garante europeo della protezione dei dati.

3.   Il mandato del Garante europeo della protezione dei dati è rinnovabile una volta.

4.   Le funzioni del Garante europeo della protezione dei dati cessano nei seguenti casi:

5.   Il Garante europeo della protezione dei dati può essere rimosso o privato del diritto a pensione o di altri vantaggi sostitutivi dalla Corte di giustizia su richiesta del Parlamento europeo, del Consiglio o della Commissione qualora non sia più in possesso dei requisiti necessari all’esercizio delle sue funzioni o abbia commesso una colpa grave.

6.   In caso di normale avvicendamento o di dimissioni volontarie, il Garante europeo della protezione dei dati resta comunque in carica fino all’atto della sua sostituzione.

7.   Gli articoli da 11 a 14 e l’articolo 17 del protocollo sui privilegi e sulle immunità dell’Unione europea si applicano al Garante europeo della protezione dei dati.

1.   Il Garante europeo della protezione dei dati è equiparato a un giudice della Corte di giustizia per quanto riguarda la retribuzione, le indennità, il trattamento di quiescenza e ogni altro compenso sostitutivo.

2.   L’autorità di bilancio provvede a che il Garante europeo della protezione dei dati disponga delle risorse umane e finanziarie necessarie per l’esercizio delle sue funzioni.

3.   Il bilancio assegnato al Garante europeo della protezione dei dati figura su una linea specifica della sezione del bilancio generale dell’Unione relativa alle spese amministrative.

4.   Il Garante europeo della protezione dei dati è assistito da un segretariato. I funzionari e gli altri agenti del segretariato sono nominati dal Garante europeo della protezione dei dati, che è il loro superiore gerarchico. Essi sono tenuti a conformarsi esclusivamente alle sue istruzioni. Il loro numero è stabilito ogni anno nell’ambito della procedura di bilancio. L’articolo 75, paragrafo 2, del regolamento (UE) 2016/679 si applica al personale del Garante europeo della protezione dei dati incaricato di svolgere i compiti attribuiti al comitato europeo per la protezione dei dati in virtù del diritto dell’Unione.

5.   I funzionari e gli altri agenti del segretariato del Garante europeo della protezione dei dati sono soggetti alla normativa relativa ai funzionari e agli altri agenti dell’Unione.

6.   La sede del Garante europeo della protezione dei dati è a Bruxelles.

1.   Il Garante europeo della protezione dei dati agisce in piena indipendenza nell’adempimento dei propri compiti e nell’esercizio dei propri poteri conformemente al presente regolamento.

2.   Nell’adempimento dei propri compiti e nell’esercizio dei propri poteri previsti dal presente regolamento, il Garante europeo della protezione dei dati non subisce pressioni esterne, né dirette né indirette, e non sollecita né accetta istruzioni da alcuno.

3.   Per tutta la durata del mandato, il Garante europeo della protezione dei dati si astiene da qualunque azione incompatibile con i suoi doveri e non può esercitare alcuna altra attività professionale, remunerata o meno.

4.   Al termine del mandato, il Garante europeo della protezione dei dati agisce con integrità e discrezione nell’accettazione di nomine e altri benefici.

1.   Fatti salvi gli altri compiti indicati nel presente regolamento, il Garante europeo della protezione dei dati:

2.   Il Garante europeo della protezione dei dati agevola la proposizione di reclami di cui al paragrafo 1, lettera e), tramite un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.

3.   Il Garante europeo della protezione dei dati svolge i propri compiti senza spese per l’interessato.

4.   Qualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, il Garante europeo della protezione dei dati può rifiutarsi di soddisfare la richiesta. Incombe al Garante europeo della protezione dei dati dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

1.   Il Garante europeo della protezione dei dati dispone dei seguenti poteri di indagine:

2.   Il Garante europeo della protezione dei dati dispone dei seguenti poteri correttivi:

3.   Il Garante europeo della protezione dei dati dispone dei seguenti poteri autorizzativi e consultivi:

4.   Il Garante europeo della protezione dei dati ha il potere di adire la Corte di giustizia alle condizioni previste dai trattati e di intervenire nelle cause dinanzi alla Corte di giustizia.

5.   L’esercizio da parte del Garante europeo della protezione dei dati dei poteri attribuitigli dal presente articolo è soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell’Unione.

1.   Il Garante europeo della protezione dei dati presenta al Parlamento europeo, al Consiglio e alla Commissione un rapporto annuale sulla propria attività, rendendolo pubblico allo stesso tempo.

2.   Il Garante europeo della protezione dei dati trasmette il rapporto sulle attività di cui al paragrafo 1 alle altre istituzioni e agli altri organi dell’Unione, che possono formulare osservazioni in vista dell’eventuale discussione dello stesso da parte del Parlamento europeo.

1.   Quando un atto dell’Unione rinvia al presente articolo, il Garante europeo della protezione dei dati e le autorità di controllo nazionali, agendo ciascuno nei limiti delle proprie competenze, cooperano attivamente nell’ambito delle proprie responsabilità per garantire un controllo efficace dei sistemi IT su larga scala e degli organi e degli organismi dell’Unione.

2.   Essi, agendo ciascuno nei limiti delle proprie competenze e nell’ambito delle proprie responsabilità, si scambiano in funzione delle necessità informazioni pertinenti, si forniscono assistenza reciproca nello svolgimento di revisioni e ispezioni, esaminano difficoltà di interpretazione o applicazione del presente regolamento e di altri atti dell’Unione applicabili, studiano problemi inerenti all’esercizio di un controllo indipendente o all’esercizio dei diritti degli interessati, elaborano proposte armonizzate per soluzioni di eventuali problemi e promuovono la sensibilizzazione del pubblico in materia di diritto alla protezione dei dati.

3.   Ai fini di cui al paragrafo 2, il Garante europeo della protezione dei dati e le autorità di controllo nazionali si incontrano almeno due volte all’anno nell’ambito del comitato europeo per la protezione dei dati. A tali fini, il comitato europeo per la protezione dei dati può elaborare ulteriori metodi di lavoro, se necessario.

4.   Ogni due anni il comitato europeo per la protezione dei dati trasmette al Parlamento europeo, al Consiglio e alla Commissione una relazione congiunta sulle attività svolte in materia di controllo coordinato.

1.   Fatto salvo ogni ricorso giurisdizionale, amministrativo o extragiudiziale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo al Garante europeo della protezione dei dati.

2.   Il Garante europeo della protezione dei dati informa il reclamante dello stato o dell’esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell’articolo 64.

3.   Se il Garante europeo della protezione dei dati non tratta il reclamo o non informa l’interessato entro tre mesi dello stato o dell’esito del reclamo, si considera che abbia adottato una decisione negativa.

1.   La Corte di giustizia è competente a conoscere delle controversie relative alle disposizioni del presente regolamento, incluse le azioni per risarcimento del danno.

2.   Avverso le decisioni del Garante europeo della protezione dei dati, comprese le decisioni a norma dell’articolo 63, paragrafo 3, può essere proposto ricorso dinanzi alla Corte di giustizia.

3.   La Corte di giustizia ha competenza giurisdizionale anche di merito per le sanzioni amministrative pecuniarie di cui all’articolo 66. Essa può annullare, ridurre o aumentare dette sanzioni entro i limiti dell’articolo 66.

1.   Il Garante europeo della protezione dei dati può imporre sanzioni amministrative pecuniarie alle istituzioni e agli organi dell’Unione, a seconda delle circostanze di ciascun caso, qualora un’istituzione o un organo dell’Unione non rispetti un ordine del Garante europeo della protezione dei dati emesso ai sensi dell’articolo 58, paragrafo 2, lettere da d) a h) e j). Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l’ammontare della stessa in ogni singolo caso, si tiene debito conto dei seguenti elementi:

2.   Le violazioni degli obblighi che incombono alle istituzioni o agli organi dell’Unione a norma degli articoli 8, 12, da 27 a 35, 39, 40, 43, 44 e 45 sono soggette, conformemente al paragrafo 1 del presente articolo, a sanzioni amministrative pecuniarie fino a 25 000 EUR per violazione e fino a un massimo di 250 000 EUR all’anno.

3.   Le violazioni delle seguenti disposizioni da parte delle istituzioni o degli organi dell’Unione sono soggette, conformemente al paragrafo 1, a sanzioni amministrative pecuniarie fino a 50 000 EUR per violazione e fino a un massimo di 500 000 EUR all’anno:

4.   Se, in relazione allo stesso trattamento o a trattamenti collegati o continui, un’istituzione o un organo dell’Unione viola varie disposizioni del presente regolamento o ripetutamente la stessa disposizione del presente regolamento, l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave.

5.   Prima di adottare qualsiasi decisione prevista dal presente articolo, il Garante europeo della protezione dei dati dà modo all’istituzione o all’organo dell’Unione oggetto del procedimento avviato dal Garante europeo della protezione dei dati di essere sentiti relativamente agli addebiti che muove loro. Il Garante europeo della protezione dei dati basa le sue decisioni solo sugli addebiti in merito ai quali le parti interessate sono state poste in condizione di esprimersi. I reclamanti sono strettamente associati al procedimento.

6.   Nel corso del procedimento sono pienamente garantiti i diritti di difesa delle parti interessate. Esse hanno diritto d’accesso al fascicolo del Garante europeo della protezione dei dati, fermo restando l’interesse legittimo delle persone fisiche o delle imprese alla tutela dei propri dati personali o segreti aziendali.

7.   I fondi raccolti mediante l’imposizione di sanzioni pecuniarie in forza del presente articolo entrano nel bilancio generale dell’Unione.

1.   I dati personali operativi sono:

2.   Il trattamento da parte dello stesso o di un altro titolare del trattamento per una qualsiasi delle finalità stabilite nell’atto giuridico istitutivo dell’istituzione, dell’organo o dell’organismo dell’Unione diversa da quella per cui sono raccolti i dati personali operativi è consentito nella misura in cui:

3.   Il trattamento da parte dello stesso o di un altro titolare del trattamento può comprendere l’archiviazione nel pubblico interesse, l’utilizzo scientifico, storico o statistico per le finalità stabilite nell’atto giuridico istitutivo dell’organo o dell’organismo dell’Unione, fatte salve le garanzie adeguate per i diritti e le libertà degli interessati.

4.   Il titolare del trattamento è competente per il rispetto dei paragrafi 1, 2 e 3 e in grado di comprovarlo.

1.   Il trattamento dei dati personali operativi è lecito solo se e nella misura in cui è necessario per l’esecuzione di un compito da parte degli organi e degli organismi dell’Unione nell’esercizio di attività rientranti nell’ambito di applicazione della parte terza, titolo V, capo 4 o capo 5, TFUE ed è basato sul diritto dell’Unione.

2.   Specifici atti giuridici dell’Unione che disciplinano il trattamento rientrante nell’ambito di applicazione del presente capo definiscono quantomeno gli obiettivi del trattamento, i dati personali operativi da trattare, le finalità del trattamento e il termine per la conservazione dei dati personali operativi o per un esame periodico della necessità dell’ulteriore conservazione dei dati personali operativi.

1.   Il titolare del trattamento differenzia, nella misura del possibile, i dati personali operativi fondati su fatti da quelli fondati su valutazioni personali.

2.   Il titolare del trattamento prende tutte le misure ragionevoli per garantire che i dati personali operativi inesatti, incompleti o non più aggiornati non siano trasmessi o resi disponibili. A tal fine, il titolare del trattamento verifica, per quanto possibile e ove pertinente, la qualità dei dati personali operativi prima che questi siano trasmessi o resi disponibili, ad esempio consultando l’autorità competente da cui provengono i dati. Per quanto possibile, il titolare del trattamento correda tutte le trasmissioni di dati personali operativi delle informazioni necessarie che consentono al destinatario di valutare il grado di esattezza, completezza e affidabilità dei dati personali operativi, e la misura in cui essi sono aggiornati.

3.   Qualora risulti che sono stati trasmessi dati personali operativi inesatti o che sono stati trasmessi dati personali operativi illecitamente, il destinatario ne è informato quanto prima. In tal caso, i dati personali operativi interessati sono rettificati o cancellati o ne è limitato il trattamento a norma dell’articolo 82.

1.   Se il diritto dell’Unione applicabile al titolare del trattamento che trasmette i dati prevede condizioni di trattamento specifiche, il titolare del trattamento informa il destinatario dei dati personali operativi di tali condizioni e dell’obbligo di rispettarle.

2.   Il titolare del trattamento rispetta le condizioni di trattamento specifiche previste dall’autorità competente che trasmette i dati, in conformità dell’articolo 9, paragrafi 3 e 4, della direttiva (UE) 2016/680.

1.   Il trattamento di dati personali operativi che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, e il trattamento di dati genetici, di dati biometrici intesi a identificare in modo univoco una persona fisica o di dati personali operativi relativi alla salute o alla vita sessuale o orientamento sessuale della persona fisica è autorizzato solo se strettamente necessario a fini operativi, nell’ambito del mandato dell’organo o dell’organismo dell’Unione interessato e se soggetto a garanzie adeguate per i diritti e le libertà dell’interessato. È vietata la discriminazione delle persone fisiche sulla base di tali dati personali.

2.   Il responsabile della protezione dei dati è informato senza indebito ritardo del ricorso al presente articolo.

1.   Una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici negativi o incida significativamente sull’interessato è vietata salvo che sia autorizzata dal diritto dell’Unione cui è soggetto il titolare del trattamento e che preveda garanzie adeguate per i diritti e le libertà dell’interessato, almeno il diritto di ottenere l’intervento umano da parte del titolare del trattamento.

2.   Le decisioni di cui al paragrafo 1 del presente articolo non si basano sulle categorie particolari di dati personali di cui all’articolo 76, a meno che non siano in vigore misure adeguate a salvaguardia dei diritti, delle libertà e degli interessi legittimi dell’interessato.

3.   La profilazione che porta alla discriminazione di persone fisiche sulla base di categorie particolari di dati personali di cui all’articolo 76 è vietata, conformemente al diritto dell’Unione.

1.   Il titolare del trattamento adotta misure ragionevoli per fornire all’interessato tutte le informazioni di cui all’articolo 79 ed effettua le comunicazioni con riferimento agli articoli da 80 a 84 e 92 relative al trattamento, in forma concisa, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Le informazioni sono fornite con qualsiasi mezzo adeguato, anche per via elettronica. Come regola generale il titolare del trattamento fornisce le informazioni nella stessa forma della richiesta.

2.   Il titolare del trattamento agevola l’esercizio dei diritti dell’interessato ai sensi degli articoli da 79 a 84.

3.   Senza indebito ritardo e in ogni caso al più tardi entro tre mesi dal ricevimento della richiesta dell’interessato, il titolare del trattamento informa quest’ultimo per iscritto in merito al seguito dato alla sua richiesta.

4.   Il titolare del trattamento dispone che le informazioni fornite ai sensi dell’articolo 79 ed eventuali comunicazioni effettuate o azioni intraprese ai sensi degli articoli da 80 a 84 e 92 siano gratuite. Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

5.   Qualora il titolare del trattamento nutra ragionevoli dubbi circa l’identità della persona fisica che presenta una richiesta di cui agli articoli 80 o 82, può richiedere ulteriori informazioni necessarie per confermare l’identità dell’interessato.

1.   Il titolare del trattamento mette a disposizione dell’interessato almeno le informazioni seguenti:

2.   In aggiunta alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato, in casi specifici previsti dal diritto dell’Unione, le seguenti ulteriori informazioni per consentire l’esercizio dei diritti dell’interessato:

3.   Il titolare del trattamento può ritardare, limitare o escludere la comunicazione di informazioni all’interessato ai sensi del paragrafo 2 nella misura e per il tempo in cui ciò costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e degli interessi legittimi della persona fisica interessata, al fine di:

1.   Il titolare del trattamento può limitare, in tutto o in parte, il diritto di accesso dell’interessato nella misura e per il tempo in cui tale limitazione totale o parziale costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e degli interessi legittimi della persona fisica interessata, al fine di:

2.   Nei casi di cui al paragrafo 1, il titolare del trattamento informa l’interessato, senza indebito ritardo e per iscritto, di ogni rifiuto o limitazione dell’accesso e dei motivi del rifiuto o della limitazione. Detta comunicazione può essere omessa qualora il suo rilascio rischi di compromettere una delle finalità di cui al paragrafo 1. Il titolare del trattamento informa l’interessato della possibilità di proporre reclamo al Garante europeo della protezione dei dati o di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia. Il titolare del trattamento documenta i motivi di fatto o di diritto su cui si basa la decisione. Tali informazioni sono messe a disposizione del Garante europeo della protezione dei dati su richiesta.

1.   L’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali operativi inesatti che lo riguardano senza indebito ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali operativi incompleti, anche fornendo una dichiarazione integrativa.

2.   Il titolare del trattamento cancella senza indebito ritardo i dati personali operativi e l’interessato ha il diritto di ottenere dal titolare del trattamento, senza indebito ritardo, la cancellazione dei dati personali operativi che lo riguardano qualora il trattamento violi l’articolo 71, l’articolo 72, paragrafo 1, o l’articolo 76 oppure qualora i dati personali operativi debbano essere cancellati per adempiere un obbligo legale al quale è soggetto il titolare del trattamento.

3.   Anziché cancellare, il titolare del trattamento limita il trattamento quando:

Quando il trattamento è limitato a norma del primo comma, lettera a), il titolare del trattamento informa l’interessato prima di revocare la limitazione del trattamento.

I dati ai quali l’accesso è limitato sono trattati per la sola finalità che ne ha impedito la cancellazione.

4.   Il titolare del trattamento informa per iscritto l’interessato dell’eventuale rifiuto di rettifica o cancellazione dei dati personali operativi o limitazione del trattamento e dei motivi del rifiuto. Il titolare del trattamento può limitare, in tutto o in parte, il rilascio di tali informazioni nella misura in cui tale limitazione costituisca una misura necessaria e proporzionata in una società democratica, tenuto debito conto dei diritti fondamentali e degli interessi legittimi della persona fisica interessata, al fine di:

Il titolare del trattamento informa l’interessato della possibilità di proporre reclamo al Garante europeo della protezione dei dati e di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia.

5.   Il titolare del trattamento comunica le rettifiche dei dati personali operativi inesatti all’autorità competente da cui i dati personali operativi inesatti provengono.

6.   Il titolare del trattamento, qualora i dati personali operativi siano stati rettificati o cancellati o il trattamento sia stato limitato a norma dei paragrafi 1, 2 o 3, ne informa i destinatari, comunicando loro che devono rettificare o cancellare i dati personali operativi o limitare il trattamento dei dati personali operativi sotto la propria responsabilità.

1.   Nei casi di cui all’articolo 79, paragrafo 3, all’articolo 81 e all’articolo 82, paragrafo 4, i diritti dell’interessato possono essere esercitati anche tramite il Garante europeo della protezione dei dati.

2.   Il titolare del trattamento informa l’interessato della possibilità di esercitare i suoi diritti tramite il Garante europeo della protezione dei dati ai sensi del paragrafo 1.

3.   Qualora sia esercitato il diritto di cui al paragrafo 1, il Garante europeo della protezione dei dati informa l’interessato, perlomeno, di aver eseguito tutte le verifiche necessarie o un riesame. Il Garante europeo della protezione dei dati informa inoltre l’interessato del diritto di quest’ultimo di proporre ricorso giurisdizionale dinanzi alla Corte di giustizia.

1.   Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all’atto del trattamento stesso, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e del suo atto giuridico istitutivo e tutelare i diritti degli interessati.

2.   Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali operativi adeguati, pertinenti e non eccedenti rispetto alle finalità per i quali sono trattati. Tale obbligo vale per la quantità dei dati personali operativi raccolti, la portata del trattamento, il periodo di conservazione e l’accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali operativi a un numero indefinito di persone fisiche senza l’intervento della persona fisica.

1.   Allorché due o più titolari del trattamento o uno o più titolari del trattamento insieme a uno o più uno o più titolari del trattamento diversi dalle istituzioni e dagli organi dell’Unione determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all’osservanza degli obblighi di protezione dei dati, con particolare riguardo all’esercizio dei diritti dell’interessato, e le rispettive funzioni di comunicazione delle informazioni di cui all’articolo 79, a meno che e nella misura in cui le rispettive responsabilità dei contitolari siano determinate dal diritto dell’Unione o dello Stato membro cui i contitolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.

2.   L’accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con l’interessato. Il contenuto essenziale dell’accordo è messo a disposizione dell’interessato.

3.   Indipendentemente dalle disposizioni dell’accordo di cui al paragrafo 1, l’interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.

1.   Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e dell’atto giuridico istitutivo del titolare del trattamento e garantisca la tutela dei diritti dell’interessato.

2.   Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l’aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l’opportunità di opporsi a tali modifiche.

3.   I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o del diritto degli Stati membri che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali operativi e le categorie di interessati, nonché gli obblighi e i diritti del titolare del trattamento. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento:

4.   Il contratto o altro atto giuridico di cui al paragrafo 3 è stipulato in forma scritta, anche in formato elettronico.

5.   Se un responsabile del trattamento viola il presente regolamento o l’atto giuridico istitutivo del titolare del trattamento determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento relativamente al trattamento in questione.

1.   Il titolare del trattamento registra in sistemi di trattamento automatizzato qualsiasi delle seguenti operazioni di trattamento: raccolta, modifica, accesso, consultazione, comunicazione, inclusi i trasferimenti, interconnessione e cancellazione di dati personali operativi. Le registrazioni delle consultazioni e delle comunicazioni consentono di stabilire la motivazione, la data e l’ora di tali operazioni, di identificare la persona che ha consultato o comunicato i dati personali operativi, nonché, nella misura del possibile, di stabilire l’identità dei destinatari di tali dati personali operativi.

2.   Le registrazioni sono usate ai soli fini della verifica della liceità del trattamento, dell’autocontrollo, per garantire l’integrità e la sicurezza dei dati personali operativi e nell’ambito di procedimenti penali. Le registrazioni sono cancellate dopo tre anni, salvo se sono necessarie per un controllo in corso.

3.   Su richiesta, il titolare del trattamento mette le registrazioni a disposizione del suo responsabile della protezione dei dati e del Garante europeo della protezione dei dati.

1.   Quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’ambito di applicazione, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali operativi.

2.   La valutazione di cui al paragrafo 1 contiene almeno una descrizione generale dei trattamenti previsti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per affrontare tali rischi, le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali operativi e dimostrare la conformità alle norme in materia di protezione dei dati, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

1.   Il titolare del trattamento consulta il Garante europeo della protezione dei dati prima del trattamento di dati personali che figureranno in un nuovo archivio di prossima creazione se:

2.   Il Garante europeo della protezione dei dati può stabilire un elenco di trattamenti soggetti a consultazione preventiva ai sensi del paragrafo 1.

3.   Il titolare del trattamento trasmette al Garante europeo della protezione dei dati la valutazione d’impatto sulla protezione dei dati di cui all’articolo 89 e, su richiesta, ogni altra informazione, al fine di consentire al Garante europeo della protezione dei dati di effettuare una valutazione della conformità del trattamento, in particolare dei rischi per la protezione dei dati personali operativi dell’interessato e delle relative garanzie.

4.   Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento o l’atto giuridico istitutivo dell’organo o dell’organsimo dell’Unione, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, il Garante europeo della protezione dei dati fornisce un parere scritto al titolare del trattamento entro un termine di sei settimane dal ricevimento della richiesta di consultazione. Tale periodo può essere prorogato di un mese, tenendo conto della complessità del trattamento previsto. Il Garante europeo della protezione dei dati informa il titolare del trattamento di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione.

1.   Il titolare del trattamento e il responsabile del trattamento, tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato ai rischi, in particolare riguardo al trattamento di categorie particolari di dati personali operativi.

2.   In relazione al trattamento automatizzato, titolare del trattamento e il responsabile del trattamento, previa valutazione dei rischi, mettono in atto misure volte a:

1.   In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione al Garante europeo della protezione dei dati senza indebito ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica al Garante europeo della protezione dei dati non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.

2.   La notifica di cui al paragrafo 1 deve almeno:

3.   Qualora e nella misura in cui non sia possibile fornire le informazioni di cui al paragrafo 2 contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

4.   Il titolare del trattamento documenta qualsiasi violazione dei dati personali di cui al paragrafo 1, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione deve consentire al Garante europeo della protezione dei dati di verificare il rispetto del presente articolo.

5.   Se la violazione dei dati personali riguarda dati personali operativi che sono stati trasmessi dalle o alle autorità competenti, il titolare del trattamento comunica senza indebito ritardo le informazioni di cui al paragrafo 2 alle autorità competenti in questione.

1.   Qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza indebito ritardo.

2.   La comunicazione all’interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le raccomandazioni di cui all’articolo 92, paragrafo 2, lettere b), c) e d).

3.   Non è richiesta la comunicazione all’interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni:

4.   Nel caso in cui il titolare del trattamento non abbia ancora comunicato all’interessato la violazione dei dati personali, il Garante europeo della protezione dei dati, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, può richiedere che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.

5.   La comunicazione all’interessato di cui al paragrafo 1 del presente articolo può essere ritardata, limitata od omessa alle condizioni e per i motivi di cui all’articolo 79, paragrafo 3.

1.   Fatte salve le limitazioni e le condizioni stabilite negli atti giuridici istitutivi dell’organo o dell’organismo dell’Unione, il titolare del trattamento può trasferire i dati personali operativi a un’autorità di un paese terzo o a un’organizzazione internazionale nella misura in cui tale trasferimento è necessario per lo svolgimento delle attività del titolare del trattamento e soltanto se sono soddisfatte le condizioni di cui al presente articolo, vale a dire:

2.   Gli atti giuridici istitutivi degli organi e degli organismi dell’Unione possono mantenere o introdurre disposizioni più specifiche riguardo alle condizioni per i trasferimenti internazionali di dati personali operativi, in particolare per quanto concerne il trasferimento in presenza di garanzie adeguate e le deroghe per situazioni specifiche.

3.   Il titolare del trattamento pubblica sul proprio sito web e tiene aggiornato un elenco delle decisioni di adeguatezza di cui al paragrafo 1, lettera a), degli accordi, delle intese amministrative e degli altri strumenti riguardanti il trasferimento di dati personali operativi ai sensi del paragrafo 1.

4.   Il titolare del trattamento provvede affinché siano registrati dettagliatamente tutti i trasferimenti effettuati a norma del presente articolo.

1.   La Commissione è assistita dal comitato istituito dall’articolo 93 del regolamento (UE) 2016/679. Esso è un comitato ai sensi del regolamento (UE) n. 182/2011.

2.   Nei casi in cui è fatto riferimento al presente paragrafo, si applica l’articolo 5 del regolamento (UE) n. 182/2011.

1.   Entro il 30 aprile 2022 la Commissione riesamina gli atti giuridici adottati a norma dei trattati che disciplinano il trattamento dei dati personali operativi da parte degli organi o degli organismi dell’Unione nell’esercizio di attività rientranti nell’ambito di applicazione della parte terza, titolo V, capo 4 o capo 5, TFUE al fine di:

2.   Sulla base del riesame, allo scopo di garantire una protezione uniforme e coerente delle persone fisiche in relazione al trattamento, la Commissione può presentare a Europol e alla Procura europea adeguate proposte legislative, in particolare ai fini dell’applicazione del capo IX del presente regolamento, inclusi, se del caso, adeguamenti del capo IX del presente regolamento.

1.   Il presente regolamento non incide sulla decisione 2014/886/UE del Parlamento europeo e del Consiglio (20) e sugli attuali mandati del Garante europeo della protezione dei dati e del garante aggiunto.

2.   Il garante aggiunto è equiparato al cancelliere della Corte di giustizia per quanto riguarda la retribuzione, le indennità, il trattamento di quiescenza e ogni altro compenso sostitutivo.

3.   L’articolo 53, paragrafi 4, 5 e 7, e gli articoli 55 e 56 del presente regolamento si applicano all’attuale garante aggiunto fino al termine del suo mandato.

4.   Il garante aggiunto assiste il Garante europeo della protezione dei dati nell’espletamento di tutte le sue funzioni e lo sostituisce quando quest’ultimo è assente o impossibilitato a svolgere le sue funzioni fino alla fine dell’attuale mandato del garante aggiunto.

1.   Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea.

2.   Tuttavia il presente regolamento si applica al trattamento dei dati personali da parte di Eurojust a partire dal 12 dicembre 2019.