Indietro               REGOLAMENTO UE 2016-679/2 – art.80/173

(80)    Quando  un  titolare del trattamento  o  un  responsabile del trattamento  non  stabilito nell’Unione tratta  dati personali di interessati che si trovano nell’Unione e le sue attività di trattamento sono connesse all’offerta di beni o alla prestazione di servizi a tali interessati nell’Unione, indipendentemente dall’obbligatorietà di un pagamento dell’interessato, o  al  controllo  del loro  comportamento,  nella misura  in  cui  tale  comportamento  ha  luogo all’interno dell’Unione, è opportuno  che tale titolare del trattamento  o responsabile del trattamento  designi un rappresentante, tranne se il trattamento  è occasionale, non  include il trattamento,  su larga scala, di categorie particolari di  dati  personali o  il trattamento  di  dati  personali relativi alle condanne  penali e  ai reati, ed  è improbabile che presenti un rischio per i diritti e le libertà delle persone fisiche, tenuto conto della natura, del contesto, dell’ambito di applicazione e delle finalità del trattamento, o se il titolare del trattamento è un’autorità pubblica o un organismo pubblico. Il rappresentante dovrebbe agire per conto del titolare del trattamento o del responsabile  del  trattamento  e  può  essere interpellato  da  qualsiasi autorità  di  controllo.  Il  rappresentante dovrebbe essere esplicitamente designato mediante mandato scritto del titolare del trattamento o del responsabile del trattamento ad agire per conto di questi ultimi con riguardo agli obblighi che a questi derivano dal presente regolamento. La designazione di  tale rappresentante  non  incide sulla responsabilità generale del titolare del trattamento o del responsabile del trattamento ai sensi del presente regolamento. Tale rappresentante dovrebbe svolgere i suoi compiti nel rispetto del mandato conferitogli dal titolare del trattamento o dal responsabile del trattamento,  anche per quanto  riguarda la cooperazione con le autorità di controllo competenti per qualsiasi misura adottata al fine di garantire il rispetto del presente regolamento. Il rappresentante designato dovrebbe essere oggetto di misure attuative in caso di inadempienza da parte del titolare del trattamento o del responsabile del trattamento.

(81)    Per  garantire  che  siano  rispettate  le  prescrizioni  del  presente  regolamento  riguardo  al  trattamento  che  il responsabile del trattamento  deve eseguire per conto del titolare del trattamento, quando affida delle attività di trattamento  a  un  responsabile del  trattamento  il  titolare  del  trattamento  dovrebbe  ricorrere  unicamente  a responsabili del trattamento  che presentino garanzie sufficienti, in particolare in termini di conoscenza specia­ listica, affidabilità e risorse, per mettere in atto  misure tecniche e organizzative che soddisfino i requisiti del presente  regolamento,  anche  per  la  sicurezza del  trattamento.  L’applicazione da  parte  del  responsabile del trattamento  di un  codice di condotta  approvato  o  di un  meccanismo di certificazione approvato  può  essere utilizzata  come  elemento  per  dimostrare  il  rispetto  degli  obblighi  da  parte  del  titolare  del  trattamento. L’esecuzione dei trattamenti  da  parte  di un  responsabile del trattamento  dovrebbe essere disciplinata da  un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri che vincoli il responsabile del trattamento al titolare del trattamento, in cui siano stipulati la materia disciplinata e la durata del trattamento, la natura e le finalità del trattamento, il tipo di dati personali e le categorie di interessati, tenendo conto dei compiti e responsabilità specifici del responsabile del trattamento nel contesto del trattamento da eseguire e del rischio  in  relazione  ai  diritti  e  alle libertà  dell’interessato. Il titolare  del  trattamento  e  il  responsabile del trattamento  possono scegliere di usare un contratto  individuale o clausole contrattuali tipo che sono adottate direttamente dalla Commissione oppure da un’autorità di controllo in conformità del meccanismo di coerenza e successivamente dalla  Commissione.  Dopo  il  completamento  del  trattamento   per  conto   del  titolare  del trattamento, il responsabile del trattamento dovrebbe, a scelta del titolare del trattamento, restituire o cancellare i dati personali salvo che il diritto dell’Unione o degli Stati membri cui è soggetto il responsabile del trattamento prescriva la conservazione dei dati personali.

(82)   Per dimostrare  che  si  conforma  al  presente  regolamento,  il  titolare  del  trattamento  o  il  responsabile  del trattamento dovrebbe tenere un registro delle attività di trattamento effettuate sotto la sua responsabilità. Sarebbe necessario obbligare tutti i titolari del trattamento e i responsabili del trattamento a cooperare con l’autorità di controllo e a mettere, su richiesta, detti registri a sua disposizione affinché possano servire per monitorare detti trattamenti.

(83)    Per  mantenere  la  sicurezza  e  prevenire  trattamenti  in  violazione  al  presente  regolamento,  il  titolare  del trattamento o il responsabile del trattamento dovrebbe valutare i rischi inerenti al trattamento e attuare misure per  limitare tali rischi, quali la cifratura. Tali misure dovrebbero assicurare un  adeguato livello di sicurezza, inclusa la riservatezza, tenuto conto dello stato dell’arte e dei costi di attuazione rispetto ai rischi che presentano i trattamenti e alla natura dei dati personali da proteggere. Nella valutazione del rischio per la sicurezza dei dati è opportuno  tenere in considerazione i rischi presentati dal trattamento  dei dati personali, come la distruzione accidentale o illegale, la perdita, la modifica, la rivelazione o l’accesso non autorizzati a dati personali trasmessi, conservati  o  comunque  elaborati,  che  potrebbero  cagionare  in  particolare  un  danno  fisico, materiale  o immateriale.

(84)    Per potenziare il rispetto del presente regolamento qualora i trattamenti possano presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento dovrebbe essere responsabile dello svolgimento di una valutazione d’impatto  sulla protezione  dei dati per determinare, in particolare, l’origine, la natura, la particolarità e la gravità di tale rischio. L’esito della valutazione dovrebbe essere preso in considerazione nella determinazione delle opportune misure da adottare per dimostrare che il trattamento dei dati personali rispetta il presente  regolamento.  Laddove la  valutazione d’impatto  sulla protezione  dei  dati  indichi che  i  trattamenti presentano un rischio elevato che il titolare del trattamento  non può attenuare mediante misure opportune  in termini di tecnologia disponibile e costi di attuazione, prima del trattamento si dovrebbe consultare l’autorità di controllo.

(85)    Una violazione dei dati personali può, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone fisiche, ad esempio perdita del controllo dei dati personali che li riguardano o limitazione dei loro diritti, discriminazione, furto o usurpazione d’identità, perdite finanziarie, decifratura non autorizzata  della pseudonimizzazione, pregiudizio alla reputazione, perdita  di  riservatezza dei dati personali protetti  da segreto professionale o  qualsiasi altro danno  economico o  sociale significativo alla persona fisica interessata. Pertanto, non appena viene a conoscenza di un’avvenuta violazione dei dati personali, il titolare del trattamento dovrebbe notificare la violazione dei dati personali all’autorità di controllo competente, senza ingiusti­ ficato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che il titolare del trattamento  non  sia in  grado  di dimostrare che, conformemente  al principio  di  responsabilizzazione, è improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Oltre il termine di 72  ore, tale notifica dovrebbe essere corredata delle ragioni del ritardo e le informazioni potrebbero essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

(86)    Il titolare del trattamento  dovrebbe comunicare all’interessato la violazione dei dati personali senza indebito ritardo, qualora questa violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà della persona fisica, al fine di consentirgli di prendere le precauzioni necessarie. La comunicazione dovrebbe descrivere la natura della violazione dei dati personali e formulare raccomandazioni per la persona fisica interessata intese ad attenuare i potenziali effetti negativi. Tali comunicazioni agli interessati dovrebbero essere effettuate non appena ragionevolmente possibile e in stretta collaborazione con l’autorità di controllo e nel rispetto degli orientamenti impartiti da questa o da altre autorità competenti quali le autorità incaricate dell’appli­ cazione della legge. Ad esempio, la necessità di attenuare un rischio immediato di danno richiederebbe che la comunicazione agli interessati fosse tempestiva, ma  la necessità di attuare  opportune  misure per  contrastare violazioni di dati personali ripetute o analoghe potrebbe giustificare tempi più lunghi per la comunicazione.

(87)    È  opportuno  verificare se siano state messe in atto  tutte  le misure tecnologiche e organizzative adeguate di protezione per stabilire immediatamente se c’è stata violazione dei dati personali e informare tempestivamente l’autorità di controllo e l’interessato. È opportuno stabilire il fatto che la notifica sia stata trasmessa senza ingiusti­ ficato ritardo, tenendo conto in particolare della natura e della gravità della violazione dei dati personali e delle sue conseguenze e effetti negativi per l’interessato. Siffatta notifica può dar luogo a un intervento dell’autorità di controllo nell’ambito dei suoi compiti e poteri previsti dal presente regolamento.

(88)    Nel definire modalità dettagliate relative al formato e alle procedure applicabili alla notifica delle violazioni di dati personali, è opportuno tenere debitamente conto delle circostanze di tale violazione, ad esempio stabilire se i dati personali fossero o meno  protetti con misure tecniche adeguate di protezione atte a limitare efficacemente il rischio di furto d’identità o altre forme di abuso. Inoltre, è opportuno  che tali modalità e procedure tengano conto  dei  legittimi interessi delle autorità  incaricate dell’applicazione della legge, qualora  una  divulgazione prematura possa ostacolare inutilmente l’indagine sulle circostanze di una violazione di dati personali.

(89)    La direttiva 95/46/CE ha introdotto un obbligo generale di notificare alle autorità di controllo il trattamento dei dati personali. Mentre tale obbligo comporta  oneri amministrativi e finanziari, non  ha sempre contribuito  a migliorare la protezione dei dati personali. È pertanto opportuno  abolire tali obblighi generali e indiscriminati di notifica e sostituirli con meccanismi e procedure efficaci che si concentrino piuttosto su quei tipi di trattamenti che potenzialmente presentano un rischio elevato per i diritti e le libertà delle persone fisiche, per loro natura, ambito  di  applicazione,  contesto  e  finalità.  Tali  tipi  di  trattamenti  includono,  in  particolare,  quelli  che comportano  l’utilizzo di nuove tecnologie o quelli che sono di nuovo tipo e in relazione ai quali il titolare del trattamento  non  ha  ancora  effettuato una  valutazione d’impatto  sulla protezione  dei dati, o  la valutazione d’impatto sulla protezione dei dati si riveli necessaria alla luce del tempo trascorso dal trattamento iniziale.

(90)    In tali casi, è opportuno che il titolare del trattamento effettui una valutazione d’impatto sulla protezione dei dati prima del trattamento,  per  valutare la particolare probabilità e gravità del rischio, tenuto  conto  della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento e delle fonti di rischio. La valutazione di impatto dovrebbe vertere, in particolare, anche sulle misure, sulle garanzie e sui meccanismi previsti per attenuare tale rischio assicurando la protezione dei dati personali e dimostrando la conformità al presente regolamento.

(91)    Ciò dovrebbe applicarsi in particolare ai trattamenti su larga scala, che mirano al trattamento  di una notevole quantità di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato, ad esempio, data la loro sensibilità, laddove, in conformità con il grado di conoscenze tecnologiche raggiunto, si utilizzi una nuova tecnologia su larga scala, nonché ad altri trattamenti che presentano un rischio elevato per i diritti e le libertà degli interessati, specialmente qualora tali trattamenti rendano più difficoltoso, per gli interessati, l’esercizio dei propri diritti. È opportuno  altresì effettuare una valutazione d’impatto sulla protezione dei dati nei casi in cui i dati personali sono  trattati  per  adottare  decisioni  riguardanti  determinate  persone  fisiche in  seguito  a  una  valutazione sistematica e globale di aspetti personali relativi alle persone fisiche, basata sulla profilazione di tali dati, o in seguito al trattamento di categorie particolari di dati personali, dati biometrici o dati relativi a condanne penali e reati o a connesse misure di sicurezza. Una valutazione d’impatto sulla protezione dei dati è altresì richiesta per la sorveglianza di zone accessibili al pubblico su larga scala, in particolare se effettuata mediante dispositivi optoelet­ tronici, o per altri trattamenti che l’autorità di controllo competente ritiene possano presentare un rischio elevato per i diritti e le libertà degli interessati, specialmente perché impediscono a questi ultimi di esercitare un diritto o di avvalersi di un servizio o di un contratto, oppure perché sono effettuati sistematicamente su larga scala. Il trattamento di dati personali non dovrebbe essere considerato un trattamento su larga scala qualora riguardi dati personali di pazienti o clienti da parte di un singolo medico, operatore sanitario o avvocato. In tali casi non dovrebbe essere obbligatorio procedere a una valutazione d’impatto sulla protezione dei dati.

(92)    Vi sono  circostanze in  cui può  essere ragionevole ed  economico  effettuare una  valutazione d’impatto  sulla protezione  dei dati che verta su un  oggetto più  ampio  di un  unico  progetto,  per  esempio quando  autorità pubbliche o enti pubblici intendono istituire un’applicazione o una piattaforma di trattamento comuni o quando diversi titolari del trattamento progettano di introdurre un’applicazione o un ambiente di trattamento comuni in un settore o segmento industriale o per una attività trasversale ampiamente utilizzata.

(93)    In vista dell’adozione della legge degli Stati membri che disciplina i compiti dell’autorità pubblica o dell’organismo pubblico  e  lo  specifico trattamento  o  insieme di  trattamenti,  gli Stati membri  possono  ritenere  necessario effettuare tale valutazione prima di procedere alle attività di trattamento.

(94)    Se dalla valutazione d’impatto sulla protezione dei dati risulta che il trattamento,  in mancanza delle garanzie, delle misure di sicurezza e dei meccanismi per attenuare il rischio, presenterebbe un rischio elevato per i diritti e le libertà delle persone fisiche e il titolare del trattamento è del parere che il rischio non possa essere ragione­ volmente attenuato in termini di tecnologie disponibili e costi di attuazione, è opportuno  consultare l’autorità di controllo prima dell’inizio delle attività di trattamento.  Tale rischio elevato potrebbe scaturire da certi tipi di trattamento e dall’estensione e frequenza del trattamento, da cui potrebbe derivare altresì un danno o un’inter­ ferenza con i diritti e le libertà della persona fisica. L’autorità di controllo che riceve una richiesta di consultazione dovrebbe darvi seguito entro un termine determinato. Tuttavia, la mancanza di reazione dell’autorità di controllo entro tale termine dovrebbe far salvo ogni intervento della stessa nell’ambito dei suoi compiti e poteri previsti dal presente regolamento, compreso il potere di vietare i trattamenti. Nell’ambito di tale processo di consultazione, può essere presentato all’autorità di controllo il risultato di una valutazione d’impatto sulla protezione dei dati effettuata riguardo al trattamento in questione, in particolare le misure previste per attenuare il rischio per i diritti e le libertà delle persone fisiche.

(95)    Il responsabile del trattamento,  se necessario e su richiesta, dovrebbe assistere il titolare del trattamento  nel garantire il rispetto degli obblighi derivanti dallo svolgimento di una valutazione d’impatto sulla protezione dei dati e dalla previa consultazione dell’autorità di controllo.

(96)    L’autorità di controllo dovrebbe essere altresì consultata durante l’elaborazione di una misura legislativa o regola­ mentare che prevede il trattamento  di dati personali al fine di garantire che il trattamento  previsto rispetti il presente regolamento e, in particolare, che si attenui il rischio per l’interessato.

(97)    Per i trattamenti  effettuati da un’autorità  pubblica, eccettuate le autorità  giurisdizionali o  autorità  giudiziarie indipendenti quando esercitano le loro funzioni giurisdizionali, o per i trattamenti effettuati nel settore privato da un titolare del trattamento  le cui attività principali consistono in trattamenti che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala, o ove le attività principali del titolare del trattamento o del responsabile del trattamento consistano nel trattamento su larga scala di categorie particolari di dati personali e di dati relativi alle condanne penali e ai reati, il titolare del trattamento o il responsabile del trattamento dovrebbe essere assistito da una persona che abbia una conoscenza specialistica della normativa e delle pratiche in materia di protezione dei dati nel controllo del rispetto a livello interno del presente regolamento. Nel settore privato le attività principali del titolare del trattamento riguardano le sue attività primarie ed esulano dal trattamento dei dati  personali  come  attività  accessoria.  Il  livello  necessario  di  conoscenza  specialistica dovrebbe  essere determinato in particolare in base ai trattamenti di dati effettuati e alla protezione richiesta per i dati personali trattati dal titolare del trattamento o dal responsabile del trattamento. Tali responsabili della protezione dei dati, dipendenti o  meno  del titolare del trattamento,  dovrebbero poter  adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente.

(98)    Le associazioni o altre organizzazioni rappresentanti le categorie di titolari del trattamento o di responsabili del trattamento dovrebbero essere incoraggiate a elaborare codici di condotta, nei limiti del presente regolamento, in modo da facilitarne l’effettiva applicazione, tenendo conto delle caratteristiche specifiche dei trattamenti effettuati in alcuni settori e delle esigenze specifiche delle microimprese e delle piccole e medie imprese. In particolare, tali codici di condotta potrebbero calibrare gli obblighi dei titolari del trattamento e dei responsabili del trattamento, tenuto conto del potenziale rischio del trattamento per i diritti e le libertà delle persone fisiche.

(99)    Nell’elaborare un codice di condotta, o nel modificare o prorogare tale codice, le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o di responsabili del trattamento dovrebbero consultare le parti interessate pertinenti, compresi, quando possibile, gli interessati, e tener conto delle osservazioni ricevute e delle opinioni espresse in riscontro a tali consultazioni.

(100)  Al fine di migliorare la trasparenza e il rispetto del presente regolamento dovrebbe essere incoraggiata l’istituzione di meccanismi di certificazione e sigilli nonché marchi di protezione dei dati che consentano agli interessati di valutare rapidamente il livello di protezione dei dati dei relativi prodotti e servizi.

(101)  I f lussi di dati personali verso e da paesi al di fuori dell’Unione e organizzazioni internazionali sono necessari per l’espansione del commercio internazionale e della cooperazione internazionale. L’aumento di tali f lussi ha posto nuove  sfide e  problemi  riguardanti la protezione  dei dati  personali. È  opportuno  però  che, quando  i  dati personali sono trasferiti dall’Unione a titolari del trattamento e responsabili del trattamento o altri destinatari in paesi terzi o a organizzazioni internazionali, il livello di tutela delle persone fisiche assicurato nell’Unione dal presente regolamento non sia compromesso, anche nei casi di trasferimenti successivi dei dati personali dal paese terzo o dall’organizzazione internazionale verso titolari del trattamento e responsabili del trattamento nello stesso o in un altro paese terzo o presso un’altra organizzazione internazionale. In ogni caso, i trasferimenti verso paesi terzi e organizzazioni internazionali potrebbero essere effettuati soltanto nel pieno rispetto del presente regolamento. Il trasferimento  potrebbe  aver luogo  soltanto  se, fatte  salve le altre disposizioni del presente regolamento, il titolare del trattamento  o  il responsabile del trattamento  rispetta le condizioni stabilite dalle disposizioni del presente regolamento in relazione al trasferimento di dati personali verso paesi terzi o organiz­ zazioni internazionali.

(102)  Il presente regolamento lascia impregiudicate le disposizioni degli accordi internazionali conclusi tra l’Unione e i paesi terzi che disciplinano il trasferimento di dati personali, comprese adeguate garanzie per gli interessati. Gli Stati membri possono concludere accordi internazionali che implicano il trasferimento di dati personali verso paesi terzi o  organizzazioni internazionali, purché  tali accordi non  incidano sul presente regolamento o  su qualsiasi altra disposizione del diritto  dell’Unione e includano un  adeguato livello di protezione  per  i diritti fondamentali degli interessati.

(103)  La Commissione può  decidere, con effetto nell’intera Unione, che un  paese terzo, un  territorio o  un  settore specifico all’interno  di  un  paese  terzo,  o  un’organizzazione  internazionale  offrono  un  livello adeguato  di protezione dei dati, garantendo in tal modo la certezza del diritto e l’uniformità in tutta l’Unione nei confronti del paese terzo o dell’organizzazione internazionale che si ritiene offra tale livello di protezione. In tali casi, i trasfe­ rimenti di dati personali verso tale paese terzo  od organizzazione internazionale possono  avere luogo senza ulteriori autorizzazioni. La Commissione può inoltre decidere, dopo aver fornito una dichiarazione completa che illustra le motivazioni al paese terzo o all’organizzazione internazionale, di revocare una tale decisione.

(104)  In linea con  i valori fondamentali su cui è fondata l’Unione, in particolare la tutela dei diritti dell’uomo, è opportuno  che la Commissione, nella sua valutazione del paese terzo, o di un territorio o di un settore specifico all’interno di un paese terzo, tenga conto del modo in cui tale paese rispetta lo stato di diritto, l’accesso alla giustizia e le norme e gli standard internazionali in materia di diritti dell’uomo, nonché la legislazione generale e settoriale riguardante segnatamente la sicurezza pubblica, la difesa e la sicurezza nazionale, come pure l’ordine pubblico e il diritto penale. L’adozione di una decisione di adeguatezza nei confronti di un territorio o di un settore specifico all’interno di un paese terzo dovrebbe prendere in considerazione criteri chiari e obiettivi come specifiche attività di trattamento e l’ambito di applicazione delle norme giuridiche e degli atti legislativi applicabili in vigore nel paese terzo. Il paese terzo dovrebbe offrire garanzie di un adeguato livello di protezione sostan­ zialmente equivalente a  quello assicurato all’interno dell’Unione, segnatamente quando  i dati personali sono trattati  in uno  o più settori specifici. In particolare, il paese terzo dovrebbe assicurare un  effettivo controllo indipendente  della protezione  dei  dati  e  dovrebbe  prevedere meccanismi  di  cooperazione  con  autorità  di protezione dei dati degli Stati membri e agli interessati dovrebbero essere riconosciuti diritti effettivi e azionabili e un mezzo di ricorso effettivo in sede amministrativa e giudiziale.

(105)  Al di là degli impegni internazionali che il paese terzo  o  l’organizzazione internazionale hanno  assunto, la Commissione dovrebbe tenere in considerazione gli obblighi derivanti dalla partecipazione del paese terzo o dell’organizzazione internazionale a sistemi multilaterali o regionali, soprattutto  in relazione alla protezione dei dati personali, nonché all’attuazione di tali obblighi. In particolare si dovrebbe tenere in considerazione l’adesione dei paesi terzi alla convenzione del Consiglio d’Europa, del 28  gennaio 1981,  sulla protezione  delle persone rispetto  al  trattamento  automatizzato  di  dati  di  carattere  personale  e  relativo  protocollo  addizionale. La Commissione, nel valutare l’adeguatezza del livello di protezione nei paesi terzi o nelle organizzazioni interna­ zionali, dovrebbe consultare il comitato.

(106)  È opportuno  che la Commissione controlli il funzionamento delle decisioni sul livello di protezione in un paese terzo, in un  territorio o settore specifico all’interno di un  paese terzo, o  un’organizzazione internazionale, e monitorare il funzionamento delle decisioni adottate sulla base dell’articolo 25, paragrafo 6, o dell’articolo 26, paragrafo 4, della direttiva 95/46/CE. Nella sua decisione di adeguatezza, la Commissione dovrebbe prevedere un meccanismo di riesame periodico del loro funzionamento. Tale riesame periodico dovrebbe essere effettuato in consultazione con il paese terzo o l’organizzazione internazionale in questione e tenere conto di tutti gli sviluppi pertinenti  nel paese terzo  o  nell’organizzazione internazionale. Ai fini del controllo  e dello svolgimento dei riesami periodici, la  Commissione dovrebbe tener  conto  delle posizioni  e  delle conclusioni del Parlamento europeo e del Consiglio, nonché di altri organismi e fonti pertinenti. La Commissione dovrebbe valutare, entro un termine ragionevole, il funzionamento di tali ultime decisioni e riferire eventuali riscontri pertinenti al comitato ai sensi del regolamento (UE) n. 182/2011  del Parlamento europeo e del Consiglio (1), come stabilito a norma del presente regolamento, al Parlamento europeo e al Consiglio.

(107)  La Commissione può riconoscere che un paese terzo, un territorio o un settore specifico all’interno di un paese terzo, o un’organizzazione internazionale non  garantiscono più un livello adeguato di protezione dei dati. Di conseguenza il trasferimento di dati personali verso tale paese terzo od organizzazione internazionale dovrebbe essere vietato, a meno che non siano soddisfatti i requisiti di cui al presente regolamento relativamente ai trasfe­ rimenti  sottoposti  a  garanzie adeguate, comprese  norme  vincolanti  d’impresa,  e  a  deroghe  per  situazioni particolari. In tal caso è opportuno  prevedere consultazioni tra la Commissione e detti paesi terzi o organiz­ zazioni internazionali. La Commissione dovrebbe informare tempestivamente il paese terzo o l’organizzazione internazionale dei motivi e avviare consultazioni con questi al fine di risolvere la situazione.

(108)  In  mancanza  di  una  decisione di  adeguatezza, il titolare  del trattamento  o  il responsabile del trattamento dovrebbe provvedere a compensare la carenza di protezione dei dati in un paese terzo con adeguate garanzie a tutela dell’interessato. Tali adeguate garanzie possono consistere nell’applicazione di norme vincolanti d’impresa, clausole tipo di protezione dei dati adottate dalla Commissione, clausole tipo di protezione dei dati adottate da un’autorità di controllo o clausole contrattuali autorizzate da un’autorità di controllo. Tali garanzie dovrebbero assicurare un  rispetto dei requisiti in materia di protezione  dei dati e dei diritti degli interessati adeguato ai trattamenti all’interno dell’Unione, compresa la disponibilità di diritti azionabili degli interessati e di mezzi di ricorso effettivi, fra cui il ricorso effettivo in sede amministrativa o  giudiziale e la richiesta di risarcimento, nell’Unione o in un paese terzo. Esse dovrebbero riguardare, in particolare, la conformità rispetto ai principi generali in materia di trattamento dei dati personali e ai principi di protezione dei dati fin dalla progettazione e di protezione dei dati di default. I trasferimenti possono essere effettuati anche da autorità pubbliche o organismi pubblici ad autorità pubbliche o organismi pubblici di paesi terzi, o organizzazioni internazionali con analoghi compiti o funzioni, anche sulla base di disposizioni da inserire in accordi amministrativi, quali un memorandum d’intesa, che prevedano per gli interessati diritti effettivi e azionabili. L’autorizzazione dell’autorità di controllo competente  dovrebbe essere ottenuta  quando  le garanzie sono  offerte nell’ambito di  accordi amministrativi giuridicamente non vincolanti.

(109)  La possibilità che il titolare del trattamento o il responsabile del trattamento utilizzi clausole tipo di protezione dei  dati  adottate  dalla Commissione o  da  un’autorità  di  controllo  non  dovrebbe  precludere ai  titolari  del trattamento  o ai responsabili del trattamento  la possibilità di includere tali clausole tipo in un  contratto  più ampio, anche in un contratto tra il responsabile del trattamento e un altro responsabile del trattamento, né di aggiungere altre clausole o garanzie supplementari, purché non contraddicano, direttamente o indirettamente, le clausole contrattuali tipo adottate dalla Commissione o da un’autorità di controllo o ledano i diritti o le libertà fondamentali  degli interessati. I  titolari  del  trattamento  e  i  responsabili del  trattamento  dovrebbero  essere incoraggiati a fornire garanzie supplementari attraverso impegni contrattuali che integrino le clausole tipo  di protezione. (1)  Regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio, del 16 febbraio 2011, che stabilisce le regole e i principi generali relativi alle modalità di controllo da parte degli Stati membri dell’esercizio delle competenze di esecuzione attribuite alla Commissione (GU L 55 del 28.2.2011, pag. 13).

(110)  Un gruppo imprenditoriale o un gruppo di imprese che svolge un’attività economica comune dovrebbe poter applicare le norme  vincolanti d’impresa approvate per i trasferimenti internazionali dall’Unione agli organismi dello stesso gruppo  imprenditoriale o gruppo  d’imprese che svolge un’attività economica comune, purché tali norme  contemplino tutti i principi fondamentali e diritti azionabili che costituiscano adeguate garanzie per i trasferimenti o categorie di trasferimenti di dati personali.

(111)  È  opportuno  prevedere la possibilità di trasferire dati in alcune circostanze se l’interessato ha esplicitamente acconsentito, se il trasferimento è occasionale e necessario in relazione a un contratto o un’azione legale, che sia in sede giudiziale, amministrativa o stragiudiziale, compresi i procedimenti dinanzi alle autorità di regolamen­ tazione. È  altresì opportuno  prevedere la possibilità di trasferire dati se sussistono motivi di rilevante interesse pubblico previsti dal diritto dell’Unione o degli Stati membri o se i dati sono trasferiti da un registro stabilito per legge e destinato a essere consultato dal pubblico o dalle persone aventi un legittimo interesse. In quest’ultimo caso, il trasferimento non dovrebbe riguardare la totalità dei dati personali o delle categorie di dati contenuti nel registro; inoltre, quando il registro è destinato a essere consultato dalle persone aventi un legittimo interesse, i dati possono essere trasferiti soltanto se tali persone lo richiedono o ne sono destinatarie, tenendo pienamente conto degli interessi e dei diritti fondamentali dell’interessato.

(112)  Tali deroghe dovrebbero in particolare valere per i trasferimenti di dati richiesti e necessari per importanti motivi di interesse pubblico, ad esempio nel caso di scambio internazionale di dati tra autorità garanti della concorrenza, amministrazioni fiscali o doganali, autorità di controllo finanziario, servizi competenti in materia di sicurezza sociale o sanità pubblica, ad esempio in caso di ricerca di contatti per malattie contagiose o al fine di ridurre e/o eliminare il doping nello sport. Il trasferimento di dati personali dovrebbe essere altresì considerato lecito quando è necessario per salvaguardare un interesse che è essenziale per gli interessi vitali dell’interessato o di un’altra persona, comprese la vita o l’integrità fisica, qualora l’interessato si trovi nell’incapacità di prestare il proprio consenso. In mancanza di una decisione di adeguatezza, il diritto dell’Unione o degli Stati membri può, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un’organizzazione internazionale. Gli Stati membri dovrebbero notificare tali disposizioni alla Commissione. Qualunque trasferimento a un’organizzazione internazionale umanitaria di dati personali di un interessato che si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso ai fini dell’esecuzione di un compito  derivante dalle convenzioni  di  Ginevra o  al  fine  di  rispettare  il  diritto  internazionale  umanitario applicabile nei conflitti armati potrebbe essere considerato necessario per importanti motivi di interesse pubblico o nell’interesse vitale dell’interessato.

(113)  Potrebbero altresì essere autorizzati i trasferimenti qualificabili come non  ripetitivi e riguardanti soltanto  un numero limitato di interessati ai fini del perseguimento degli interessi legittimi cogenti del titolare del trattamento, a meno che non prevalgano gli interessi o i diritti e le libertà dell’interessato e qualora il titolare del trattamento abbia valutato tutte le circostanze relative al trasferimento. Il titolare del trattamento  dovrebbe considerare con particolare attenzione la natura dei dati personali, la finalità e la durata del trattamento o dei trattamenti proposti, nonché la situazione nel paese d’origine, nel paese terzo e nel paese di destinazione finale, e dovrebbe offrire garanzie adeguate per  la tutela dei diritti e delle libertà fondamentali delle persone  fisiche con  riguardo al trattamento dei loro dati personali. Tali trasferimenti dovrebbero essere ammessi soltanto nei casi residui in cui nessuno degli altri presupposti per il trasferimento è applicabile. Per finalità di ricerca scientifica o storica o a fini statistici, è opportuno tener conto delle legittime aspettative della società nei confronti di un miglioramento delle conoscenze. Il titolare del trattamento dovrebbe informare l’autorità di controllo e l’interessato in merito al trasfe­ rimento.

(114)  In ogni caso, se la Commissione non ha adottato alcuna decisione circa il livello adeguato di protezione dei dati di un paese terzo, il titolare del trattamento o il responsabile del trattamento dovrebbe ricorrere a soluzioni che diano all’interessato diritti effettivi e azionabili in relazione al trattamento  dei suoi dati personali nell’Unione, dopo il trasferimento, così da continuare a beneficiare dei diritti fondamentali e delle garanzie.

(115)  Alcuni paesi terzi adottano leggi, regolamenti e altri atti normativi finalizzati a disciplinare direttamente le attività di trattamento  di persone  fisiche e giuridiche poste  sotto  la giurisdizione degli Stati membri. Essi possono includere le sentenze  di  autorità  giurisdizionali o  le decisioni di  autorità  amministrative di  paesi terzi  che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento  e  non  sono  basate su  un  accordo  internazionale  in  vigore tra  il paese terzo richiedente e l’Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria. L’appli­ cazione extraterritoriale di tali leggi, regolamenti e altri atti normativi potrebbe essere contraria al diritto interna­ zionale e ostacolare il conseguimento della protezione delle persone fisiche assicurata nell’Unione con il presente regolamento. I  trasferimenti dovrebbero quindi essere consentiti solo se ricorrono  le condizioni previste dal presente regolamento per i trasferimenti a paesi terzi. Ciò vale, tra l’altro, quando la comunicazione è necessaria per un  rilevante motivo di interesse pubblico riconosciuto dal diritto dell’Unione o degli Stati membri cui è soggetto il titolare del trattamento.

(116)  Con i trasferimenti transfrontalieri di dati personali al di fuori dell’Unione potrebbe aumentare il rischio che la persona fisica non possa esercitare il proprio diritto alla protezione dei dati, in particolare per tutelarsi da usi o comunicazioni illeciti di tali informazioni. Allo stesso tempo, le autorità di controllo possono concludere di non essere in grado di dar corso ai reclami o svolgere indagini relative ad attività condotte oltre frontiera. I loro sforzi di collaborazione nel contesto transfrontaliero possono  anche essere ostacolati dall’insufficienza  di poteri per prevenire e correggere, da regimi giuridici incoerenti e da difficoltà pratiche quali la limitatezza delle risorse disponibili. Pertanto vi è la necessità di promuovere una più stretta cooperazione tra le autorità di controllo della protezione  dei  dati  affinché possano  scambiare informazioni  e  condurre  indagini di  concerto  con  le  loro controparti  internazionali. Al fine di  sviluppare meccanismi di  cooperazione  internazionale per  agevolare e prestare mutua  assistenza a livello internazionale nell’applicazione della legislazione sulla protezione  dei dati personali, la Commissione e le autorità di controllo dovrebbero scambiare informazioni e cooperare, nell’ambito di attività connesse con l’esercizio dei loro  poteri, con le autorità competenti  in paesi terzi, sulla base della reciprocità e in conformità del presente regolamento.

(117)  L’istituzione di autorità di controllo a cui è conferito il potere di eseguire i loro compiti ed esercitare i loro poteri in totale indipendenza in ciascuno Stato membro è un elemento essenziale della protezione delle persone fisiche con  riguardo al trattamento  dei loro  dati personali. Gli Stati membri  dovrebbero poter  istituire più  di una autorità di controllo, al fine di rispecchiare la loro struttura costituzionale, organizzativa e amministrativa.

(118)  L’indipendenza delle  autorità  di  controllo  non  dovrebbe  significare che  tali  autorità  non  possano  essere assoggettate a meccanismi di controllo o monitoraggio con riguardo alle loro spese o a controllo giurisdizionale.

(119)  Laddove siano istituite più autorità di controllo, lo Stato membro dovrebbe stabilire per legge meccanismi atti ad assicurare la partecipazione effettiva di dette autorità al meccanismo di coerenza. Lo Stato membro dovrebbe in particolare designare l’autorità di controllo che funge da punto di contatto unico per l’effettiva partecipazione di tutte le autorità al meccanismo, onde garantire la rapida e agevole cooperazione con altre autorità di controllo, il comitato e la Commissione.

(120)  Ciascuna autorità di controllo dovrebbe disporre delle risorse umane e finanziarie, dei locali e delle infrastrutture necessari per l’effettivo adempimento dei propri compiti, compresi quelli di assistenza reciproca e cooperazione con altre autorità di controllo in tutta l’Unione. Ciascuna autorità di controllo dovrebbe disporre di un bilancio annuale, separato e pubblico, che può far parte del bilancio generale statale o nazionale.

(121)  Le condizioni generali applicabili al membro o ai membri dell’autorità di controllo dovrebbero essere stabilite per legge da ciascuno Stato membro e dovrebbero in particolare prevedere che tali membri devono essere nominati, attraverso una procedura trasparente, dal parlamento, dal governo o dal capo di Stato dello Stato membro, sulla base di una proposta del governo, di un membro del governo, del parlamento o di una sua camera, o da un organismo indipendente incaricato ai sensi del diritto degli Stati membri. Al fine di assicurare l’indipendenza dell’autorità di controllo, è opportuno  che il membro  o  i membri di tale autorità agiscano con  integrità, si astengano da qualunque azione incompatibile con  le loro  funzioni e, per  tutta  la durata  del mandato,  non esercitino alcuna altra attività incompatibile, remunerata o meno. L’autorità di controllo dovrebbe disporre di proprio personale, scelto dalla stessa autorità di controllo o da un organismo indipendente istituito ai sensi del diritto degli Stati membri, che dovrebbe essere soggetto alla direzione esclusiva del membro o dei membri dell’au­ torità di controllo.

(122)  Ogni autorità di controllo dovrebbe avere la competenza, nel territorio del proprio Stato membro, a esercitare i poteri e ad assolvere i compiti a essa attribuiti a norma del presente regolamento. Ciò dovrebbe comprendere in particolare  il  trattamento  nell’ambito  delle attività  di  uno  stabilimento  del  titolare  del  trattamento  o  del responsabile del trattamento sul territorio del proprio Stato membro, il trattamento di dati personali effettuato dalle pubbliche autorità o dagli organismi privati che agiscono nel pubblico interesse, il trattamento riguardante gli interessati nel suo territorio o il trattamento effettuato da un titolare del trattamento o da un responsabile del trattamento  non  stabilito  nell’Unione europea  riguardante  interessati non  residenti  nel  suo  territorio.  Ciò dovrebbe includere l’esame dei reclami proposti dall’interessato, lo svolgimento di indagini sull’applicazione del regolamento e la promozione della sensibilizzazione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali.

(123)  Le autorità  di  controllo  dovrebbero controllare  l’applicazione delle disposizioni del presente  regolamento e contribuire alla sua coerente applicazione in tutta  l’Unione, così da tutelare le persone fisiche in relazione al trattamento dei loro dati personali e facilitare la libera circolazione di tali dati nel mercato interno. A tal fine, le autorità di controllo dovrebbero cooperare tra loro e con la Commissione, senza che siano necessari accordi tra gli Stati membri sulla mutua assistenza o su tale tipo di cooperazione.

(124)  Qualora il trattamento dei dati personali abbia luogo nell’ambito delle attività di uno stabilimento di un titolare del trattamento o di un responsabile del trattamento nell’Unione e il titolare del trattamento o il responsabile del trattamento sia stabilito in più di uno Stato membro o qualora il trattamento effettuato nell’ambito delle attività dello stabilimento unico di un titolare del trattamento o responsabile del trattamento nell’Unione incida o possa verosimilmente incidere in modo sostanziale su interessati in più di uno Stato membro, l’autorità di controllo dello stabilimento principale del titolare del trattamento o del responsabile del trattamento o dello stabilimento unico del titolare del trattamento o del responsabile del trattamento dovrebbe fungere da autorità capofila. Essa dovrebbe cooperare  con  le altre autorità  interessate perché  il titolare  del trattamento  o  il responsabile del trattamento  ha  uno  stabilimento nel territorio  dei loro  Stati membri, perché il trattamento  incide in  modo sostanziale sugli interessati residenti nel loro territorio o perché è stato proposto loro un reclamo. Anche in caso di reclamo proposto  da un interessato non  residente in tale Stato membro, l’autorità di controllo cui è stato proposto  detto  reclamo dovrebbe essere considerata un’autorità  di controllo  interessata. Nell’ambito del suo compito  di rilascio di linee guida su qualsiasi questione relativa all’applicazione del presente regolamento, il comitato dovrebbe essere in grado di pubblicare linee guida in particolare sui criteri da prendere in conside­ razione per accertare se il trattamento in questione incida in modo sostanziale su interessati in più di uno Stato membro e su cosa costituisca obiezione pertinente e motivata.

(125)  L’autorità capofila dovrebbe  essere competente  per  l’adozione  di  decisioni vincolanti  riguardanti  misure  di applicazione dei poteri di cui gode a norma  del presente regolamento. Nella sua qualità di autorità capofila, l’autorità di controllo  dovrebbe coinvolgere e coordinare strettamente  le autorità  di controllo  interessate nel processo decisionale. In caso di decisione di rigetto del reclamo dell’interessato, in tutto o in parte, tale decisione dovrebbe essere adottata dall’autorità di controllo a cui il reclamo è stato proposto.

(126)  La decisione dovrebbe essere adottata  congiuntamente  dall’autorità di  controllo  capofila e  dalle autorità  di controllo interessate e dovrebbe essere rivolta allo stabilimento principale o unico del titolare del trattamento o del  responsabile  del  trattamento  ed  essere vincolante  per  il  titolare  del  trattamento  e  il  responsabile  del trattamento. Il titolare del trattamento o il responsabile del trattamento  dovrebbe adottare le misure necessarie per  garantire la  conformità  al  presente  regolamento  e  l’attuazione  della decisione notificata dall’autorità di controllo capofila allo stabilimento principale del titolare del trattamento o del responsabile del trattamento per quanto riguarda le attività di trattamento nell’Unione.

(127)  Ogni autorità di controllo che non agisce in qualità di autorità di controllo capofila dovrebbe essere competente a trattare casi locali qualora il titolare del trattamento o il responsabile del trattamento sia stabilito in più di uno Stato membro,  ma  l’oggetto dello specifico trattamento  riguardi unicamente il trattamento  effettuato in  un singolo Stato membro e coinvolga soltanto interessati in tale singolo Stato membro, ad esempio quando l’oggetto riguardi il trattamento  di dati personali di dipendenti nell’ambito di specifici rapporti  di lavoro in uno  Stato membro. In tali casi, l’autorità di controllo dovrebbe informare senza indugio l’autorità di controllo capofila sulla questione. Dopo essere stata informata, l’autorità di controllo capofila dovrebbe decidere se intende trattare il caso a norma della disposizione sulla cooperazione tra l’autorità di controllo capofila e altre autorità di controllo interessate («meccanismo dello sportello  unico»), ovvero se l’autorità  di  controllo  che  l’ha  informata  debba trattarlo  a  livello locale. Al momento  di decidere se intende trattare  il caso, l’autorità  di controllo  capofila dovrebbe tenere conto dell’eventuale esistenza, nello Stato membro dell’autorità di controllo che l’ha informata, di uno  stabilimento del titolare del trattamento  o del responsabile del trattamento,  al fine di garantire l’effettiva applicazione di  una  decisione nei  confronti  del titolare del trattamento  o  del responsabile del trattamento. Qualora  l’autorità  di  controllo  capofila decida di  trattare  il caso, l’autorità  di  controllo  che  l’ha  informata dovrebbe avere la possibilità di presentare un progetto di decisione, che l’autorità di controllo capofila dovrebbe tenere nella massima considerazione nella preparazione del proprio  progetto  di decisione nell’ambito di tale meccanismo di sportello unico.

(128)  Le norme  sull’autorità di controllo  capofila e sul meccanismo di sportello unico  non  dovrebbero applicarsi quando il trattamento è effettuato da autorità pubbliche o da organismi privati nell’interesse pubblico. In tali casi l’unica autorità di controllo competente a esercitare i poteri a essa conferiti a norma del presente regolamento dovrebbe essere l’autorità di controllo dello Stato membro in cui l’autorità pubblica o l’organismo privato sono stabiliti.

(129)  Al fine di garantire un monitoraggio e un’applicazione coerenti del presente regolamento in tutta l’Unione, le autorità di controllo dovrebbero avere in ciascuno Stato membro gli stessi compiti e poteri effettivi, fra cui poteri di indagine, poteri correttivi e sanzionatori, e poteri autorizzativi e consultivi, segnatamente in caso di reclamo proposto da persone fisiche, e fatti salvi i poteri delle autorità preposte all’esercizio dell’azione penale ai sensi del diritto degli Stati membri, il potere di intentare un’azione e di agire in sede giudiziale o stragiudiziale in caso di violazione del presente regolamento. Tali poteri dovrebbero includere anche il potere di imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento. Gli Stati membri possono precisare altri compiti connessi alla protezione dei dati personali ai sensi del presente regolamento. È opportuno  che i poteri delle autorità  di  controllo  siano  esercitati nel  rispetto  di  garanzie procedurali adeguate previste dal  diritto dell’Unione e degli Stati membri, in modo imparziale ed equo ed entro un termine ragionevole. In particolare ogni  misura  dovrebbe essere appropriata,  necessaria e  proporzionata  al  fine di  assicurare la  conformità  al presente regolamento, tenuto conto delle circostanze di ciascun singolo caso, rispettare il diritto di ogni persona di  essere ascoltata  prima  che  nei  suoi  confronti  sia  adottato  un  provvedimento  individuale che  le  rechi pregiudizio ed evitare costi superf lui ed eccessivi disagi per le persone interessate. I poteri di indagine per quanto riguarda l’accesso ai locali dovrebbero essere esercitati nel  rispetto  dei requisiti specifici previsti dal diritto processuale degli Stati membri, quale l’obbligo di ottenere un’autorizzazione giudiziaria preliminare. Ogni misura giuridicamente vincolante dell’autorità di controllo dovrebbe avere forma scritta, essere chiara e univoca, riportare l’autorità di controllo che ha adottato la misura e la relativa data di adozione, recare la firma del responsabile o di un membro dell’autorità di controllo da lui autorizzata, precisare i motivi della misura e fare riferimento al diritto a un ricorso effettivo. Ciò non dovrebbe precludere requisiti supplementari ai sensi del diritto processuale degli Stati membri. L’adozione di una  decisione giuridicamente vincolante implica che essa può  essere soggetta a controllo giurisdizionale nello Stato membro dell’autorità di controllo che ha adottato la decisione.

(130)  Qualora l’autorità di controllo cui sia stato proposto il reclamo non sia l’autorità di controllo capofila, l’autorità di controllo capofila dovrebbe cooperare strettamente con l’autorità di controllo cui è stato proposto il reclamo in conformità delle disposizioni sulla cooperazione e la coerenza previste dal presente regolamento. In tali casi, l’autorità di controllo capofila, nell’adottare le misure intese a produrre effetti giuridici, compresa l’imposizione di sanzioni  amministrative pecuniarie, dovrebbe  tenere  nella  massima  considerazione il  parere  dell’autorità di controllo cui è stato proposto il reclamo e che dovrebbe rimanere competente per svolgere indagini nel territorio del proprio Stato membro in collegamento con l’autorità di controllo capofila.

(131)  Qualora  un’altra  autorità  di  controllo  agisca in  qualità  di  autorità  di  controllo  capofila per  le  attività  di trattamento del titolare del trattamento o del responsabile del trattamento, ma il concreto oggetto di un reclamo o la possibile violazione riguardi solo attività di trattamento del titolare del trattamento o del responsabile del trattamento nello Stato membro di presentazione del reclamo o di accertamento della possibile violazione e la questione non incida in modo sostanziale o è improbabile che incida in modo sostanziale su interessati in altri Stati membri, l’autorità di controllo che riceva un reclamo o che accerti o sia altrimenti informata di situazioni che implicano possibili violazioni del regolamento dovrebbe tentare una composizione amichevole con il titolare del trattamento e, qualora ciò non abbia esito, esercitare l’intera sua gamma di poteri. Ciò dovrebbe includere: il trattamento  specifico effettuato nel territorio dello Stato membro dell’autorità di controllo o con riguardo agli interessati nel  territorio  di  tale  Stato  membro;  il trattamento  effettuato nell’ambito  di  un’offerta di  beni  o prestazione di servizi specificamente riguardante gli interessati nel territorio dello Stato membro dell’autorità di controllo; o il trattamento che deve essere oggetto di valutazione tenuto conto dei pertinenti obblighi giuridici ai sensi della legislazione degli Stati membri.

(132)  Le attività di sensibilizzazione delle autorità di controllo nei confronti del pubblico dovrebbero comprendere misure specifiche per i titolari del trattamento  e i responsabili del trattamento,  comprese le micro, piccole e medie imprese, e le persone fisiche in particolare nel contesto educativo.

(133)  Le autorità di controllo dovrebbero prestarsi assistenza reciproca nell’adempimento dei loro compiti, in modo da garantire la  coerente  applicazione e  attuazione  del presente  regolamento nel  mercato  interno.  L’autorità di controllo che chiede assistenza reciproca può adottare una misura provvisoria in caso di mancato riscontro a una richiesta di assistenza reciproca entro  un  mese dal ricevimento di tale richiesta da parte dell’altra autorità di controllo.

(134)  Ciascuna autorità di controllo dovrebbe, se del caso, partecipare alle operazioni congiunte con altre autorità di controllo. L’autorità di controllo che riceve una richiesta dovrebbe darvi seguito entro un termine determinato.

(135)  È  opportuno  istituire un  meccanismo di coerenza per la cooperazione tra le autorità di controllo, al fine di assicurare un’applicazione  coerente  del  presente  regolamento  in  tutta  l’Unione. Tale meccanismo  dovrebbe applicarsi in particolare quando un’autorità di controllo intenda adottare una misura intesa a produrre effetti giuridici con riguardo ad attività di trattamento che incidono in modo sostanziale su un numero significativo di interessati in vari Stati membri. È opportuno  che il meccanismo si attivi anche quando un’autorità di controllo interessata o la Commissione chiede che tale questione sia trattata nell’ambito del meccanismo di coerenza. Tale meccanismo non dovrebbe pregiudicare le misure che la Commissione può adottare nell’esercizio dei suoi poteri a norma dei trattati.

(136)  In  applicazione  del  meccanismo  di  coerenza  il  comitato  dovrebbe  emettere  un  parere  entro  un  termine determinato, se i suoi membri lo decidono a maggioranza o se a richiederlo è un’autorità di controllo interessata o la Commissione. Il comitato dovrebbe altresì avere il potere di adottare decisioni giuridicamente vincolanti qualora insorgano controversie tra autorità di controllo. A tal fine, dovrebbe adottare, in linea di principio a maggioranza dei due terzi dei suoi membri, decisioni giuridicamente vincolanti in casi chiaramente determinati in cui  vi  siano  pareri  divergenti  tra  le  autorità  di  controllo  segnatamente  nell’ambito  del  meccanismo  di cooperazione tra  l’autorità di controllo  capofila e le autorità  di controllo interessate sul merito  del caso, in particolare sulla sussistenza di una violazione del presente regolamento.

(137)  Potrebbe essere necessario intervenire urgentemente per tutelare i diritti e le libertà degli interessati, in particolare quando  sussiste il  pericolo  che  l’esercizio di  un  diritto  possa  essere gravemente ostacolato.  Un’autorità  di controllo potrebbe pertanto essere in grado di adottare misure provvisorie debitamente giustificate nel proprio territorio, con un periodo di validità determinato che non dovrebbe superare tre mesi.

(138)  L’applicazione di tale meccanismo dovrebbe essere un presupposto di liceità di una misura intesa a produrre effetti giuridici adottata dall’autorità di controllo nei casi in cui la sua applicazione è obbligatoria. In altri casi di rilevanza transfrontaliera, si dovrebbe applicare il meccanismo di cooperazione tra autorità di controllo capofila e autorità di controllo interessate e le autorità di controllo interessate potrebbero prestarsi assistenza reciproca ed effettuare operazioni congiunte, su base bilaterale o multilaterale, senza attivare il meccanismo di coerenza.

(139)  Per promuovere l’applicazione coerente del presente regolamento, il comitato dovrebbe essere istituito come un organismo  indipendente  dell’Unione. Per conseguire i  suoi  obiettivi, il  comitato  dovrebbe  essere dotato  di personalità giuridica. Il comitato dovrebbe essere rappresentato dal suo presidente. Esso dovrebbe sostituire il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito con direttiva 95/46/CE. Il comitato dovrebbe essere composto dalla figura di vertice dell’autorità di controllo di ciascuno Stato membro e dal garante europeo della protezione dei dati, o dai rispettivi rappresentanti. È  opportuno  che la Commissione partecipi alle attività del comitato senza diritto di voto e che il garante europeo della protezione dei dati abbia diritti di voto specifici. Il comitato dovrebbe contribuire all’applicazione coerente del presente regolamento in tutta l’Unione, anche fornendo consulenza alla Commissione, in particolare sul livello di protezione garantito dai paesi terzi o dalle organizzazioni internazionali, e promuovendo la cooperazione delle autorità di controllo in tutta l’Unione. Esso dovrebbe assolvere i suoi compiti in piena indipendenza.

(140)  Il comitato dovrebbe essere assistito da un segretariato messo a disposizione dal garante europeo della protezione dei dati. Il personale del garante europeo  della protezione  dei dati impegnato nell’assolvimento dei compiti attribuiti  al comitato  dal presente  regolamento dovrebbe svolgere i suoi  compiti  esclusivamente secondo le istruzioni del presidente del comitato e riferire a quest’ultimo.

(141)  Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un’unica autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, e il diritto a un ricorso giurisdizionale effettivo a norma dell’ar­ ticolo 47 della Carta qualora ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento o se l’autorità di controllo non dà seguito a un reclamo, lo respinge in tutto o in parte o lo archivia o non agisce quando è necessario intervenire per proteggere i diritti dell’interessato. Successivamente al reclamo si dovrebbe condurre  un’indagine, soggetta a  controllo  giurisdizionale, nella misura  in  cui  ciò  sia opportuno  nel  caso specifico. È opportuno  che l’autorità di controllo informi gli interessati dello stato e dell’esito del reclamo entro un  termine ragionevole. Se il caso richiede un’ulteriore indagine o  il coordinamento  con un’altra autorità di controllo, l’interessato dovrebbe ricevere informazioni interlocutorie. Per agevolare la proposizione di reclami, ogni  autorità  di  controllo  dovrebbe  adottare  misure  quali  la  messa  a  disposizione  di  un  modulo  per  la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.

(142)  Qualora l’interessato ritenga che siano stati violati i  diritti di  cui gode a  norma  del presente regolamento, dovrebbe avere il diritto di dare mandato a un organismo, un’organizzazione o un’associazione che non abbiano scopo di lucro, costituiti in conformità del diritto  di uno  Stato membro,  con  obiettivi statutari di pubblico interesse, e che siano attivi nel settore della protezione dei dati personali, per proporre reclamo per suo conto a un’autorità di controllo, esercitare il diritto a un ricorso giurisdizionale per conto degli interessati o esercitare il diritto di ottenere il risarcimento del danno per conto degli interessati se quest’ultimo è previsto dal diritto degli Stati membri. Gli Stati membri possono prescrivere che tale organismo, organizzazione o associazione abbia il diritto di proporre reclamo in tale Stato membro, indipendentemente dall’eventuale mandato dell’interessato, e il diritto  di  proporre  un  ricorso  giurisdizionale effettivo qualora  abbia motivo  di  ritenere  che  i  diritti  di  un interessato  siano  stati  violati  in  conseguenza  di  un  trattamento  dei  dati  personali  che  violi  il  presente regolamento. tale organismo, organizzazione o associazione può non essere autorizzato a chiedere il risarcimento del danno per conto di un interessato indipendentemente dal mandato dell’interessato.

(143)  Qualsiasi persona  fisica o  giuridica ha  diritto  di proporre  un  ricorso per  l’annullamento  delle decisioni del comitato dinanzi alla Corte di giustizia, alle condizioni previste all’articolo 263 TFUE. In quanto destinatari di tali decisioni, le autorità di controllo interessate che intendono impugnarle, devono proporre ricorso entro due mesi dalla loro notifica, conformemente all’articolo 263 TFUE. Ove le decisioni del comitato si riferiscano direttamente e individualmente a un titolare del trattamento, a un responsabile del trattamento o al reclamante, quest’ultimo può proporre un ricorso per l’annullamento di tali decisioni e dovrebbe farlo entro due mesi dalla loro pubbli­ cazione sul sito web del comitato, conformemente all’articolo 263 TFUE. Fatto salvo tale diritto ai sensi dell’ar­ ticolo 263  TFUE,  ogni persona fisica o giuridica dovrebbe poter  proporre  un  ricorso giurisdizionale effettivo dinanzi  alle competenti  autorità  giurisdizionali nazionali  contro  una  decisione dell’autorità di  controllo  che produce effetti giuridici nei confronti di detta persona. Tale decisione riguarda in particolare l’esercizio di poteri di indagine, correttivi e autorizzativi da parte dell’autorità di controllo o l’archiviazione o il rigetto dei reclami. Tuttavia, tale diritto a un ricorso giurisdizionale effettivo non comprende altre misure adottate dalle autorità di controllo che non sono giuridicamente vincolanti, come pareri o consulenza forniti dall’autorità di controllo. Le azioni contro l’autorità di controllo dovrebbero essere promosse dinanzi alle autorità giurisdizionali dello Stato membro  in  cui  l’autorità  di  controllo  è  stabilita e  dovrebbero  essere effettuate in  conformità  del  diritto processuale dello Stato membro in questione. Tali autorità giurisdizionali dovrebbero esercitare i loro pieni poteri giurisdizionali, ivi compreso quello di esaminare tutte le questioni di fatto e di diritto che abbiano rilevanza per la controversia dinanzi a esse pendente. Se un  reclamo è stato  rigettato o  archiviato da un’autorità  di controllo, il reclamante può  proporre  ricorso giurisdizionale nello  stesso Stato  membro.  Nell’ambito dei  ricorsi giurisdizionali relativi all’applicazione del presente  regolamento, le autorità  giurisdizionali nazionali che ritengano  necessario, ai fini di  una  sentenza, disporre di una decisione in merito, possono, o nel caso di cui all’articolo 267 TFUE, devono chiedere alla Corte di giustizia di pronunciarsi, in via pregiudiziale, sull’interpretazione del diritto dell’Unione, compreso il presente regolamento. Inoltre, se una decisione dell’autorità di controllo che attua una decisione del comitato è impugnata dinanzi a un’autorità  giurisdizionale nazionale ed è in questione la validità della decisione del comitato, tale autorità giurisdizionale nazionale non ha il potere di invalidare la decisione del comitato, ma deve deferire la questione di validità alla Corte di giustizia ai sensi dell’articolo 267  TFUE  quale interpretato  dalla Corte di giustizia, ove ritenga la decisione non valida. Tuttavia, un’autorità giurisdizionale nazionale non può deferire una questione relativa alla validità di una decisione del comitato su richiesta di una persona fisica o giuridica che ha avuto la possibilità di proporre un ricorso per l’annullamento di tale decisione, specialmente se direttamente e individualmente interessata da siffatta decisione, ma non ha agito in tal senso entro il termine stabilito dall’ar­ ticolo 263 TFUE.

(144)  Qualora un’autorità giurisdizionale adita per un’azione contro  una decisione di un’autorità di controllo abbia motivo  di  ritenere che  le azioni  riguardanti lo  stesso trattamento,  quale lo  stesso oggetto  relativamente al trattamento da parte dello stesso titolare del trattamento o dello stesso responsabile del trattamento, o lo stesso titolo, siano sottoposte  a un’autorità giurisdizionale competente in un altro Stato membro, l’autorità giurisdi­ zionale adita dovrebbe contattare  tale autorità  giurisdizionale al fine di confermare l’esistenza di tali azioni connesse. Se le azioni connesse sono pendenti dinanzi a un’autorità giurisdizionale in un altro Stato membro, qualsiasi autorità giurisdizionale successivamente adita può  sospendere l’azione proposta  dinanzi a essa o, su richiesta di una delle parti, può dichiarare la propria incompetenza a favore della prima autorità giurisdizionale adita se tale autorità giurisdizionale è competente a conoscere delle azioni in questione e la sua legge consente la riunione delle azioni. Le azioni sono  considerate connesse quando hanno  tra loro un  legame così stretto da rendere opportuno  trattarle e decidere in merito contestualmente, per evitare il rischio di sentenze incompatibili risultanti da azioni separate.

(145)  Nelle azioni contro un titolare del trattamento o responsabile del trattamento, il ricorrente dovrebbe poter avviare un’azione legale dinanzi all’autorità giurisdizionale dello Stato membro  in cui il titolare del trattamento  o  il responsabile del trattamento ha uno stabilimento o in cui risiede l’interessato, salvo che il titolare del trattamento sia un’autorità pubblica di uno Stato membro che agisce nell’esercizio dei suoi poteri pubblici.

(146)  Il titolare del trattamento o il responsabile del trattamento dovrebbe risarcire i danni cagionati a una persona da un trattamento  non conforme al presente regolamento ma dovrebbe essere esonerato da tale responsabilità se dimostra  che  l’evento dannoso  non  gli è  in  alcun modo  imputabile. Il concetto  di  danno  dovrebbe essere interpretato  in senso lato alla luce della giurisprudenza della Corte di giustizia in modo  tale da rispecchiare pienamente gli obiettivi del presente regolamento. Ciò non pregiudica le azioni di risarcimento di danni derivanti dalla violazione di altre norme  del diritto dell’Unione o degli Stati membri. Un trattamento  non  conforme al presente regolamento comprende anche il trattamento  non conforme agli atti delegati e agli atti di esecuzione adottati in conformità del presente regolamento e alle disposizioni del diritto degli Stati membri che specificano disposizioni del presente regolamento. Gli interessati dovrebbero ottenere pieno ed effettivo risarcimento per il danno  subito. Qualora i titolari del trattamento  o  i responsabili del trattamento  siano coinvolti nello stesso trattamento, ogni titolare del trattamento o responsabile del trattamento dovrebbe rispondere per la totalità del danno. Tuttavia, qualora essi siano riuniti negli stessi procedimenti giudiziari conformemente al diritto degli Stati membri, il risarcimento può essere ripartito in base alla responsabilità che ricade su ogni titolare del trattamento o responsabile del trattamento per il danno cagionato dal trattamento, a condizione che sia assicurato il pieno ed effettivo risarcimento dell’interessato che ha  subito il danno.  Il titolare del trattamento  o  il responsabile del trattamento che ha pagato l’intero risarcimento del danno può successivamente proporre un’azione di regresso contro altri titolari del trattamento o responsabili del trattamento coinvolti nello stesso trattamento.

(147)  Qualora  il  presente  regolamento  preveda disposizioni specifiche in  materia  di  giurisdizione, in  particolare riguardo a procedimenti che prevedono il ricorso giurisdizionale, compreso quello per risarcimento, contro un titolare del trattamento o un responsabile del trattamento, disposizioni generali in materia di giurisdizione quali quelle di cui al regolamento (UE) n. 1215/2012   del Parlamento europeo  e del Consiglio (1)  non  dovrebbero pregiudicare l’applicazione di dette disposizioni specifiche.

(148)  Per rafforzare il rispetto delle norme del presente regolamento, dovrebbero essere imposte sanzioni, comprese sanzioni  amministrative pecuniarie per  violazione del  regolamento,in  aggiunta  o  in  sostituzione  di  misure appropriate imposte dall’autorità di controllo ai sensi del presente regolamento. In caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anziché imposta una sanzione pecuniaria. Si dovrebbe prestare tuttavia debita attenzione alla natura, alla gravità e alla durata della violazione, al carattere doloso della violazione e alle misure  adottate  per  attenuare  il  danno  subito,  al  grado  di  responsabilità o  eventuali precedenti violazioni pertinenti, alla maniera in cui l’autorità di controllo ha preso conoscenza della violazione, al rispetto dei provve­ dimenti disposti nei confronti del titolare del trattamento  o del responsabile del trattamento, all’adesione a un codice di condotta e eventuali altri fattori aggravanti o attenuanti. L’imposizione di sanzioni, comprese sanzioni amministrative pecuniarie dovrebbe essere soggetta a garanzie procedurali appropriate in conformità dei principi generali del diritto dell’Unione e della Carta, inclusi l’effettiva tutela giurisdizionale e il giusto processo.

(149)  Gli Stati membri dovrebbero poter  stabilire disposizioni relative a sanzioni penali per violazioni del presente regolamento, comprese violazioni di norme nazionali adottate in virtù ed entro i limiti del presente regolamento. Tali sanzioni  penali possono  altresì autorizzare  la  sottrazione  dei  profitti  ottenuti  attraverso  violazioni del presente  regolamento. Tuttavia, l’imposizione di  sanzioni penali per  violazioni di  tali norme  nazionali e  di sanzioni amministrative non dovrebbe essere in contrasto con il principio del ne bis in idem quale interpretato dalla Corte di giustizia.

(150)  Al fine di rafforzare e armonizzare le sanzioni amministrative applicabili per violazione del presente regolamento, ogni autorità di controllo dovrebbe poter imporre sanzioni amministrative pecuniarie. Il presente regolamento dovrebbe specificare le violazioni, indicare il limite massimo e i criteri per prevedere la relativa sanzione ammini­ strativa pecuniaria, che dovrebbe essere stabilita dall’autorità di controllo competente in ogni singolo caso, tenuto conto  di tutte  le circostanze pertinenti della situazione specifica, in particolare della natura, gravità e durata dell’infrazione e delle relative conseguenze, nonché delle misure adottate per assicurare la conformità agli obblighi derivanti dal  presente  regolamento e  prevenire o  attenuare  le conseguenze della violazione. Se le sanzioni amministrative sono inflitte a imprese, le imprese dovrebbero essere intese quali definite agli articoli 101 e 102 TFUE a  tali fini. Se le sanzioni  amministrative sono  inflitte a  persone  che non  sono  imprese, l’autorità di controllo dovrebbe tenere conto del livello generale di reddito nello Stato membro come pure della situazione economica della persona nel valutare l’importo appropriato della sanzione pecuniaria. Il meccanismo di coerenza può  essere utilizzato  anche  per  favorire un’applicazione  coerente  delle sanzioni  amministrative pecuniarie. Dovrebbe spettare agli Stati membri determinare se e in che misura le autorità pubbliche debbano essere soggette a sanzioni amministrative pecuniarie. Imporre una sanzione amministrativa pecuniaria o dare un avvertimento non incide sull’applicazione di altri poteri delle autorità di controllo o di altre sanzioni a norma del regolamento. (1)  Regolamento (UE) n. 1215/2012  del Parlamento europeo e del Consiglio, del 12 dicembre 2012, concernente la competenza giurisdi­zionale, il riconoscimento e l’esecuzione delle decisioni in materia civile e commerciale (GU L 351 del 20.12.2012, pag. 1).

(151)  I sistemi giudiziari di Danimarca ed Estonia non consentono l’irrogazione di sanzioni amministrative pecuniarie come previsto dal presente regolamento. Le norme relative alle sanzioni amministrative pecuniarie possono essere applicate in maniera tale che in Danimarca la sanzione pecuniaria sia irrogata dalle competenti autorità giurisdi­ zionali nazionali quale sanzione penale e in Estonia la sanzione pecuniaria sia imposta dall’autorità di controllo nel quadro di una procedura d’infrazione, purché l’applicazione di tali norme in detti Stati membri abbia effetto equivalente alle sanzioni amministrative pecuniarie irrogate dalle autorità di controllo. Le competenti autorità giurisdizionali nazionali dovrebbero pertanto  tener conto  della raccomandazione dell’autorità di controllo che avvia l’azione sanzionatoria. In ogni caso, le sanzioni pecuniarie irrogate dovrebbero essere effettive, propor­ zionate e dissuasive.

(152)  Se il presente regolamento non armonizza le sanzioni amministrative o se necessario in altri casi, ad esempio in caso di gravi violazioni del regolamento, gli Stati membri dovrebbero attuare un sistema che preveda sanzioni effettive, proporzionate  e  dissuasive. La natura  di  tali  sanzioni,  penali  o  amministrative,  dovrebbe  essere determinata dal diritto degli Stati membri.

(153)  Il diritto  degli Stati membri  dovrebbe  conciliare le  norme  che  disciplinano la  libertà  di  espressione e  di informazione, comprese l’espressione giornalistica, accademica, artistica o letteraria, con il diritto alla protezione dei dati personali ai sensi del presente regolamento. Il trattamento dei dati personali effettuato unicamente a scopi giornalistici o di espressione accademica, artistica o letteraria dovrebbe essere soggetto a deroghe o esenzioni rispetto ad alcune disposizioni del presente regolamento se necessario per conciliare il diritto alla protezione dei dati personali e il diritto alla libertà d’espressione e di informazione sancito nell’articolo 11  della Carta. Ciò dovrebbe applicarsi in particolare al trattamento dei dati personali nel settore audiovisivo, negli archivi stampa e nelle emeroteche. È  pertanto opportuno  che gli Stati adottino misure legislative che prevedano le deroghe e le esenzioni necessarie ai fini di un equilibrio tra tali diritti fondamentali. Gli Stati membri dovrebbero adottare tali esenzioni e deroghe con riferimento alle disposizioni riguardanti i principi generali, i diritti dell’interessato, il titolare del trattamento e il responsabile del trattamento, il trasferimento di dati personali verso paesi terzi o a organizzazioni  internazionali,  le  autorità  di  controllo  indipendenti,  la  cooperazione  e  la  coerenza  nonché situazioni di trattamento dei dati specifiche. Qualora tali esenzioni o deroghe differiscano da uno Stato membro all’altro, dovrebbe applicarsi il diritto dello Stato membro cui è soggetto il titolare del trattamento. Per tenere conto  dell’importanza  del  diritto  alla  libertà  di  espressione in  tutte  le  società  democratiche  è  necessario interpretare in modo esteso i concetti relativi a detta libertà, quali la nozione di giornalismo.

(154)  Il presente regolamento ammette, nell’applicazione delle sue disposizioni, che si tenga conto del principio del pubblico accesso ai documenti ufficiali. L’accesso del pubblico ai documenti ufficiali può essere considerato di interesse pubblico. I dati personali contenuti in documenti conservati da un’autorità pubblica o da un organismo pubblico dovrebbero poter  essere diffusi da detta autorità o organismo se la diffusione è prevista dal diritto dell’Unione o degli Stati membri cui l’autorità pubblica o l’organismo pubblico sono soggetti. Tali disposizioni legislative dovrebbero conciliare l’accesso del pubblico ai documenti ufficiali e il riutilizzo delle informazioni del settore  pubblico  con  il diritto  alla protezione  dei  dati  personali e  possono  quindi  prevedere la  necessaria conciliazione  con  il  diritto  alla  protezione  dei  dati  personali,  in  conformità  del  presente  regolamento.  Il riferimento alle autorità pubbliche e agli organismi pubblici dovrebbe comprendere, in tale contesto, tutte le autorità o altri organismi cui si applica il diritto degli Stati membri sull’accesso del pubblico ai documenti. La direttiva 2003/98/CE del Parlamento europeo e del Consiglio (1) non pregiudica in alcun modo il livello di tutela delle persone fisiche con riguardo al trattamento dei dati personali ai sensi delle disposizioni di diritto dell’Unione e degli Stati membri e non modifica, in particolare, gli obblighi e i diritti previsti dal presente regolamento. Nello specifico, tale direttiva non dovrebbe applicarsi ai documenti il cui accesso è escluso o limitato in virtù dei regimi di accesso per motivi di protezione dei dati personali, e a parti di documenti accessibili in virtù di tali regimi che contengono  dati personali il cui riutilizzo è stato previsto per legge come incompatibile con la normativa in materia di tutela delle persone fisiche con riguardo al trattamento dei dati personali. (1)  Direttiva 2003/98/CE del Parlamento europeo e del Consiglio, del 17 novembre 2003, relativa al riutilizzo dell’informazione del settore pubblico (GU L 345 del 31.12.2003, pag. 90).

(155)  Il diritto degli Stati membri o i contratti collettivi, ivi compresi gli «accordi aziendali», possono prevedere norme specifiche per il trattamento dei dati personali dei dipendenti nell’ambito dei rapporti di lavoro, in particolare per quanto riguarda le condizioni alle quali i dati personali nei rapporti di lavoro possono essere trattati sulla base del consenso del dipendente, per finalità di assunzione, esecuzione del contratto  di lavoro, compreso l’adem­ pimento degli obblighi stabiliti dalla legge o da contratti collettivi, di gestione, pianificazione e organizzazione del lavoro, parità e diversità sul posto di lavoro, salute e sicurezza sul lavoro, e ai fini dell’esercizio e del godimento, individuale o collettivo, dei diritti e dei vantaggi connessi al lavoro, nonché per finalità di cessazione del rapporto di lavoro.

(156)  Il trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici dovrebbe essere soggetto a garanzie adeguate per i diritti e le libertà dell’interessato, in conformità del presente regolamento. Tali garanzie dovrebbero assicurare che siano state predisposte misure tecniche e organiz­ zative al fine di garantire, in particolare, il principio della minimizzazione dei dati. L’ulteriore trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o  storica o  a fini statistici è da effettuarsi quando  il titolare del trattamento  ha valutato la fattibilità di conseguire tali finalità trattando  dati personali che  non  consentono  o  non  consentono  più  di  identificare l’interessato, purché  esistano  garanzie adeguate (come ad esempio la pseudonimizzazione dei dati personali). Gli Stati membri dovrebbero prevedere garanzie adeguate per il trattamento  di dati personali per finalità di archiviazione nel pubblico interesse, per finalità di ricerca scientifica o storica o per finalità statistiche. Gli Stati membri dovrebbero essere autorizzati a fornire, a specifiche condizioni e fatte salve adeguate garanzie per gli interessati, specifiche e deroghe relative ai requisiti in  materia di informazione e ai diritti alla rettifica, alla cancellazione, all’oblio, alla limitazione del trattamento, alla portabilità dei dati personali, nonché al diritto di opporsi in caso di trattamento di dati personali per  finalità di archiviazione nel pubblico interesse, per  finalità di ricerca scientifica o  storica o  per  finalità statistiche. Le condizioni e le garanzie in questione possono comprendere procedure specifiche per l’esercizio di tali diritti da parte degli interessati, qualora ciò sia appropriato  alla luce delle finalità previste dallo specifico trattamento, oltre a misure tecniche e organizzative intese a ridurre al minimo il trattamento dei dati personali conformemente  ai  principi  di  proporzionalità  e  di  necessità. Il  trattamento  dei  dati  personali  per  finalità scientifiche dovrebbe rispettare anche altre normative pertinenti, ad esempio quelle sulle sperimentazioni cliniche.

(157)  Combinando informazioni provenienti dai registri, i ricercatori possono ottenere nuove conoscenze di grande utilità relativamente a patologie diffuse come le malattie cardiovascolari, il cancro e la depressione. Avvalendosi dei registri, i risultati delle ricerche possono acquistare maggiore rilevanza, dal momento che si basano su una popolazione più ampia. Nell’ambito delle scienze sociali, la ricerca basata sui registri consente ai ricercatori di ottenere  conoscenze  essenziali sulla correlazione a  lungo  termine  tra  numerose  condizioni  sociali, quali la disoccupazione e il livello di istruzione, e altre condizioni di vita. I  risultati delle ricerche ottenuti dai registri forniscono conoscenze solide e di alta qualità, che possono costituire la base per l’elaborazione e l’attuazione di politiche basate sulla conoscenza, migliorare la qualità della vita per molte persone, migliorare l’efficienza dei servizi sociali. Al fine di facilitare la ricerca scientifica, i dati personali possono  essere trattati  per finalità di ricerca scientifica fatte salve condizioni e garanzie adeguate previste dal diritto dell’Unione o degli Stati membri.

(158)  Qualora i dati personali siano trattati a fini di archiviazione, il presente regolamento dovrebbe applicarsi anche a tale tipo di trattamento, tenendo presente che non dovrebbe applicarsi ai dati delle persone decedute. Le autorità pubbliche o gli organismi pubblici o privati che tengono registri di interesse pubblico dovrebbero essere servizi che, in virtù del diritto dell’Unione o degli Stati membri, hanno l’obbligo legale di acquisire, conservare, valutare, organizzare, descrivere, comunicare, promuovere, diffondere e fornire accesso a registri con un valore a lungo termine per l’interesse pubblico generale. Gli Stati membri dovrebbero inoltre essere autorizzati a prevedere il trattamento  ulteriore dei dati personali per finalità di archiviazione, per esempio al fine di fornire specifiche informazioni connesse al comportamento  politico sotto precedenti regimi statali totalitari, a genocidi, crimini contro l’umanità, in particolare l’Olocausto, o crimini di guerra.

(159)  Qualora i dati personali siano trattati per finalità di ricerca scientifica, il presente regolamento dovrebbe applicarsi anche a tale trattamento. Nell’ambito del presente regolamento, il trattamento  di dati personali per finalità di ricerca scientifica dovrebbe essere interpretato  in  senso lato  e includere ad  esempio sviluppo tecnologico e dimostrazione, ricerca fondamentale, ricerca applicata e ricerca finanziata da privati, oltre a tenere conto dell’o­ biettivo dell’Unione di istituire uno spazio europeo della ricerca ai sensi dell’articolo 179, paragrafo 1, TFUE. Le finalità di ricerca scientifica dovrebbero altresì includere gli studi svolti nell’interesse pubblico nel settore della sanità pubblica. Per rispondere alle specificità del trattamento dei dati personali per finalità di ricerca scientifica dovrebbero applicarsi condizioni specifiche, in particolare per quanto riguarda la pubblicazione o la diffusione in altra forma di dati personali nel contesto delle finalità di ricerca scientifica. Se il risultato della ricerca scientifica, in particolare nel contesto sanitario, costituisce motivo per ulteriori misure nell’interesse dell’interessato, le norme generali del presente regolamento dovrebbero applicarsi in vista di tali misure.

(160)  Qualora i dati personali siano trattati a fini di ricerca storica, il presente regolamento dovrebbe applicarsi anche a tale trattamento. Ciò dovrebbe comprendere anche la ricerca storica e la ricerca a fini genealogici, tenendo conto del fatto che il presente regolamento non dovrebbe applicarsi ai dati delle persone decedute.

(161)  Ai fini del consenso alla partecipazione ad attività di ricerca scientifica nell’ambito di sperimentazioni cliniche dovrebbero applicarsi le pertinenti disposizioni del regolamento (UE) n. 536/2014  del Parlamento europeo e del Consiglio (1).

(162)  Qualora i dati personali siano trattati per finalità statistiche, il presente regolamento dovrebbe applicarsi a tale trattamento.  Il diritto  dell’Unione o  degli Stati membri  dovrebbe, entro  i  limiti del  presente  regolamento, determinare i contenuti statistici, il controllo dell’accesso, le specifiche per il trattamento dei dati personali per finalità statistiche e le misure adeguate per tutelare i diritti e le libertà dell’interessato e per garantire il segreto statistico. Per finalità statistiche si intende qualsiasi operazione di raccolta e trattamento di dati personali necessari alle indagini statistiche o alla produzione di risultati statistici. Tali risultati statistici possono essere ulteriormente usati per finalità diverse, anche per finalità di ricerca scientifica. La finalità statistica implica che il risultato del trattamento  per  finalità statistiche non  siano dati personali, ma  dati aggregati, e  che tale risultato  o  i dati personali non siano utilizzati a sostegno di misure o decisioni riguardanti persone fisiche specifiche.

(163)  È opportuno  proteggere le informazioni riservate raccolte dalle autorità statistiche nazionali e dell’Unione per la produzione  di  statistiche ufficiali europee  e  nazionali.  Le statistiche europee  dovrebbero  essere sviluppate, prodotte  e diffuse conformemente ai principi statistici di cui all’articolo 338,  paragrafo 2,  TFUE,  mentre  le statistiche  nazionali  dovrebbero  essere conformi  anche  al  diritto  degli Stati  membri.  Il  regolamento  (CE) n. 223/2009   del Parlamento europeo  e del Consiglio (2)  fornisce ulteriori specificazioni in merito  al segreto statistico per quanto riguarda le statistiche europee.

(164)  Per quanto riguarda il potere delle autorità di controllo di ottenere, dal titolare del trattamento o dal responsabile del trattamento, accesso ai dati personali e accesso ai loro locali, gli Stati membri possono stabilire per legge, nei limiti del presente regolamento, norme specifiche per tutelare il segreto professionale o altri obblighi equivalenti di segretezza, qualora si rendano  necessarie per  conciliare il diritto alla protezione  dei dati personali con  il segreto professionale. Ciò non pregiudica gli obblighi esistenti degli Stati membri di adottare norme relative al segreto professionale laddove richiesto dal diritto dell’Unione.

(165)  Il presente regolamento rispetta e non pregiudica lo status di cui godono le chiese e le associazioni o comunità religiose negli Stati membri in virtù del diritto costituzionale vigente, in conformità dell’articolo 17 TFUE.

(166)  Al fine di conseguire gli obiettivi del regolamento, segnatamente tutelare i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali, e garantire la libera circolazione di tali dati nell’Unione, è opportuno delegare alla Commissione il potere di adottare atti conformemente all’articolo 290 TFUE. In particolare, dovrebbero essere adottati atti delegati riguardanti i criteri e i requisiti dei meccanismi di certificazione, le informazioni da presentare sotto forma di icone standardizzate e le procedure per fornire tali icone. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti. Nella preparazione e nell’elaborazione degli atti delegati, la Commissione dovrebbe provvedere alla contestuale, tempestiva  e  appropriata  trasmissione  dei  documenti  pertinenti  al  Parlamento europeo e al Consiglio. (1)  Regolamento (UE) n. 536/2014 del Parlamento europeo e del Consiglio, del 16 aprile 2014, sulla sperimentazione clinica di medicinali per uso umano e che abroga la direttiva 2001/20/CE (GU L 158 del 27.5.2014, pag. 1). (2)  Regolamento (CE) n. 223/2009  del Parlamento europeo e del Consiglio, dell’11 marzo 2009, relativo alle statistiche europee e che abroga il regolamento (CE, Euratom) n. 1101/2008 del Parlamento europeo e del Consiglio, relativo alla trasmissione all’Istituto statistico delle Comunità europee di dati statistici protetti dal segreto, il regolamento (CE)  n. 322/97  del Consiglio, relativo alle statistiche comunitarie, e la decisione 89/382/CEE, Euratom del Consiglio, che istituisce un comitato del programma statistico delle Comunità europee (GU L 87 del 31.3.2009, pag. 164).

(167)  Al fine di garantire condizioni uniformi di esecuzione del presente regolamento, dovrebbero essere attribuite alla Commissione competenze  di esecuzione ove previsto dal presente regolamento. Tali competenze  dovrebbero essere esercitate conformemente al regolamento (UE) n. 182/2011  del Parlamento europeo e del Consiglio.A tal fine, la Commissione dovrebbe contemplare misure specifiche per le micro, piccole e medie imprese.

(168)  È opportuno applicare la procedura d’esame per l’adozione di atti di esecuzione su: clausole contrattuali tipo tra i titolari del trattamento  e i responsabili del trattamento  e tra responsabili del trattamento,  codici di condotta; norme  tecniche e meccanismi di certificazione; adeguato livello di protezione  offerto da un  paese terzo, un territorio o settore specifico all’interno del paese terzo, o da un’organizzazione internazionale; clausole tipo di protezione  dei dati; formati e procedure per lo scambio di informazioni per  via elettronica tra i titolari del trattamento, i responsabili del trattamento e le autorità di controllo per norme vincolanti d’impresa; assistenza reciproca; e modalità per lo scambio di informazioni per via elettronica tra autorità di controllo e tra le autorità di controllo e il comitato.

(169)  È  opportuno  che la Commissione adotti atti di esecuzione immediatamente applicabili quando gli elementi a disposizione indicano che un paese terzo, un territorio o settore di specifico all’interno di tale paese terzo, o un’organizzazione internazionale non  garantisce un  livello di protezione  adeguato e ciò è reso necessario da imperativi motivi di urgenza.

(170)  Poiché l’obiettivo del presente regolamento, vale a dire garantire un livello equivalente di tutela delle persone fisiche e la libera circolazione dei dati personali nell’Unione, non può essere conseguito in misura sufficiente dagli Stati membri ma, a motivo della portata e degli effetti dell’azione in questione, può essere conseguito meglio a livello di Unione, quest’ultima può  intervenire in base al principio di sussidiarietà sancito dall’articolo 5  del trattato sull’Unione europea (TUE).  Il presente regolamento si limita a quanto è necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.

(171)  Il presente  regolamento  dovrebbe  abrogare  la  direttiva 95/46/CE.  Il trattamento  già in  corso  alla data  di applicazione del presente regolamento dovrebbe essere reso conforme al presente regolamento entro un periodo di due anni dall’entrata in vigore del presente regolamento. Qualora il trattamento si basi sul consenso a norma della direttiva 95/46/CE, non  occorre che l’interessato presti nuovamente il suo  consenso, se questo è stato espresso secondo modalità conformi alle condizioni del presente regolamento, affinché il titolare del trattamento possa proseguire il trattamento in questione dopo la data di applicazione del presente regolamento. Le decisioni della Commissione e le autorizzazioni delle autorità di controllo basate sulla direttiva 95/46/CE rimangono in vigore fino a quando non vengono modificate, sostituite o abrogate.

(172)  Il Garante europeo della protezione dei dati è stato consultato conformemente all’articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001  e ha espresso un parere il 7 marzo 2012 (1).

(173)  È opportuno  che il presente regolamento si applichi a tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali con riguardo al trattamento  dei dati personali che non  rientrino in obblighi specifici, aventi lo stesso obiettivo, di cui alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio (2), compresi gli obblighi del titolare del trattamento e i diritti delle persone fisiche. Per chiarire il rapporto tra il presente regolamento e la direttiva 2002/58/CE,  è  opportuno  modificare quest’ultima di  conseguenza. Una  volta  adottato  il  presente regolamento, la direttiva 2002/58/CE dovrebbe essere riesaminata in particolare per assicurare la coerenza con il presente regolamento, (1)  GU C 192 del 30.6.2012, pag. 7. (2)  Direttiva 2002/58/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201 del 31.7.2002, pag. 37).

Indietro – Torna su – Prosegui