{"id":63066,"date":"2025-03-31T16:47:25","date_gmt":"2025-03-31T14:47:25","guid":{"rendered":"https:\/\/www.linkjuice.it\/63066-2\/"},"modified":"2025-07-18T10:54:20","modified_gmt":"2025-07-18T08:54:20","slug":"63066-2","status":"publish","type":"page","link":"https:\/\/www.linkjuice.it\/fr\/63066-2\/","title":{"rendered":""},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\n\t\n<\/svg>\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Privacy Policy<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La presente Privacy Policy ha lo scopo di descrivere le modalit\u00e0 di gestione di questo sito, in riferimento al trattamento dei dati personali degli utenti\/visitatori che lo consultano. Si tratta di un\u2019informativa che \u00e8 resa anche ai sensi dell\u2019art. 13 del D. Lgs. 196\/03 \u2013 Codice in materia di protezione dei dati personali \u2013 a coloro che si collegano al sito web aziendale della LinkJuice Srl e usufruiscono dei relativi servizi web a partire dall\u2019indirizzo www.linkjuice.it. L\u2019informativa \u00e8 resa soltanto per i siti sopra menzionati e non anche per altri siti web eventualmente consultati dall\u2019utente tramite appositi link.<\/em>
Il sito www.linkjuice.it \u00e8 di propriet\u00e0 di LinkJuice Srl, gestito da Xool Srl che garantisce il rispetto della normativa in materia di protezione dei dati personali (D. Lgs. 196\/03). Gli utenti\/visitatori dovranno leggere attentamente la presente Privacy Policy prima di inoltrare qualsiasi tipo di informazione personale e\/o compilare qualunque modulo elettronico presente sul sito stesso.<\/em><\/p>

 <\/p>

TIPOLOGIA DI DATI TRATTATI E FINALIT\u00c0 DEL TRATTAMENTO<\/h4>

1) Dati di navigazione<\/span>
I sistemi informatici e le procedure software preposte al funzionamento di questo sito acquisiscono, nel normale esercizio, alcuni dati personali che vengono poi trasmessi implicitamente nell\u2019uso dei protocolli di comunicazione Internet. Si tratta di informazioni che non sono raccolte per essere associate a interessati identificati, ma che per loro stessa natura potrebbero, attraverso elaborazioni e associazioni con dati detenuti da terzi, permettere di identificare gli utenti. In questa categoria di dati rientrano gli indirizzi IP o i nomi a dominio dei computer utilizzati dagli utenti che si connettono al sito, gli indirizzi in notazione URI (Uniform Resource Identifier) delle risorse richieste, l\u2019orario della richiesta, il metodo utilizzato nel sottoporre la richiesta al server, la dimensione del file ottenuto in risposta, il codice numerico indicante lo stato della risposta data dal server (buon fine, errore, ecc.) ed altri parametri relativi al sistema operativo e all\u2019ambiente informatico dell\u2019utente. Questi dati vengono utilizzati al solo fine di ricavare informazioni statistiche anonime sull\u2019uso del sito e per controllarne il corretto funzionamento e vengono cancellati immediatamente dopo l\u2019elaborazione. I dati potrebbero essere utilizzati per l\u2019accertamento di responsabilit\u00e0 in caso di ipotetici reati informatici ai danni del sito: salva questa eventualit\u00e0, i dati sui contatti web non persistono per pi\u00f9 di sette giorni.<\/p>

2) Dati forniti volontariamente dagli utenti\/visitatori<\/span>
Qualora gli utenti\/visitatori, collegandosi a questo sito, inviino propri dati personali per accedere a determinati servizi, ovvero per effettuare richieste in posta elettronica, ci\u00f2 comporta l\u2019acquisizione da parte di LinkJuice Srl dell\u2019indirizzo del mittente e\/o di altri eventuali dati personali che verranno trattati esclusivamente per rispondere alla richiesta, ovvero per la fornitura del servizio. I dati personali forniti dagli utenti\/visitatori verranno comunicati a terzi solo nel caso in cui la II comunicazione sia necessaria per ottemperare alle richieste degli utenti\/visitatori medesimi.<\/p>

3) Cookies<\/span>
Non viene fatto uso di cookies per la trasmissione di informazioni di carattere personale, n\u00e9 vengono utilizzati c.d. cookies persistenti di alcun tipo, ovvero sistemi per il tracciamento degli utenti. L\u2019uso di c.d. cookies di sessione (che non vengono memorizzati in modo persistente sul computer dell\u2019utente e svaniscono con la chiusura del browser) \u00e8 strettamente limitato alla trasmissione di identificativi di sessione (costituiti da numeri casuali generati dal server) necessari per consentire l\u2019esplorazione sicura ed efficiente del sito. I c.d. cookies di sessione utilizzati in questo sito evitano il ricorso ad altre tecniche informatiche potenzialmente pregiudizievoli per la riservatezza della navigazione degli utenti e non consentono l\u2019acquisizione di dati personali identificativi dell\u2019utente.<\/p>

Normativa sui cookies.<\/a><\/p>

Modalit\u00e0 del trattamento<\/span>
I dati personali sono trattati con strumenti automatizzati per il tempo strettamente necessario a conseguire gli scopi per cui sono stati raccolti. Specifiche misure di sicurezza sono osservate per prevenire la perdita dei dati, usi illeciti o non corretti ed accessi non autorizzati. Facoltativit\u00e0 del conferimento dei dati A parte quanto specificato per i dati di navigazione, gli utenti\/visitatori sono liberi di fornire i propri dati personali. Il loro mancato conferimento pu\u00f2 comportare unicamente l\u2019impossibilit\u00e0 di ottenere quanto richiesto.<\/p>

Luogo di trattamento dei dati<\/span>
I trattamenti connessi ai servizi web dei siti sopra indicati, hanno luogo presso la sede aziendale di Linkjuice Srl, in Via March 14 \u2013 57121 LIVORNO del Titolare del trattamento e\/o presso la sede della societ\u00e0 di hosting e\/o gestione del sito web e sono curati solo da personale tecnico dell\u2019Ufficio incaricato del trattamento, oppure da eventuali incaricati di occasionali operazioni di manutenzione. Nessun dato derivante dal servizio web viene comunicato o diffuso. I dati personali forniti dagli utenti che inoltrano richieste di invio di materiale informativo sono utilizzati al solo fine di eseguire il servizio o la prestazione richiesta e sono comunicati a terzi nel solo caso in cui ci\u00f2 sia a tal fine necessario.<\/p>

Titolare del trattamento<\/span>
Il titolare del trattamento dei dati personali \u00e8 Xool Srl.
Via delle Corallaie 16, 57121 Livorno.<\/p>

Diritti degli interessati<\/span>
I soggetti cui si riferiscono i dati personali hanno il diritto in qualunque momento di ottenere la III conferma dell\u2019esistenza o meno dei medesimi dati e di conoscerne il contenuto e l\u2019origine, verificarne l\u2019esattezza o chiederne l\u2019integrazione l\u2019aggiornamento, oppure la rettificazione (art. 7 del D. Lgs. 196\/03). Ai sensi del medesimo articolo si ha il diritto di chiedere la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, nonch\u00e9 di opporsi in ogni caso, per motivi legittimi, al loro trattamento. Le richieste vanno inoltrate al Titolare del trattamento ai recapiti indicati sopra.<\/p>

REGOLAMENTO GDPR<\/h1>

REGOLAMENTO (UE) 2016\/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonch\u00e9 alla libera circolazione di tali dati e che abroga la direttiva 95\/46\/CE (regolamento generale sulla protezione dei dati) (Testo rilevante ai fini del SEE)<\/p>

IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL\u2019UNIONE EUROPEA,<\/p>

visto il trattato sul funzionamento dell\u2019Unione europea, in particolare l\u2019articolo 16,<\/p>

vista la proposta della Commissione europea,<\/p>

previa trasmissione del progetto di atto legislativo ai parlamenti nazionali,<\/p>

visto il parere del Comitato economico e sociale europeo (1),<\/p>

visto il parere del Comitato delle regioni (2),<\/p>

deliberando secondo la procedura legislativa ordinaria (3),<\/p>

considerando quanto segue:<\/p>

  1. La protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale \u00e8 un diritto fondamentale. L\u2019articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell\u2019Unione europea (\u00abCarta\u00bb) e l\u2019articolo 16, paragrafo 1, del trattato sul funzionamento dell\u2019Unione europea (\u00abTFUE\u00bb) stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.<\/li>
  2.  I principi e le norme a tutela delle persone fisiche con riguardo al trattamento dei dati personali dovrebbero rispettarne i diritti e le libert\u00e0 fondamentali, in particolare il diritto alla protezione dei dati personali, a prescindere dalla loro nazionalit\u00e0 o dalla loro residenza. Il presente regolamento \u00e8 inteso a contribuire alla realizzazione di uno spazio di libert\u00e0, sicurezza e giustizia e di un\u2019unione economica, al progresso economico e sociale, al rafforzamento e alla convergenza delle economie nel mercato interno e al benessere delle persone fisiche.<\/li>
  3. La direttiva 95\/46\/CE del Parlamento europeo e del Consiglio (4) ha come obiettivo di armonizzare la tutela dei diritti e delle libert\u00e0 fondamentali delle persone fisiche rispetto alle attivit\u00e0 di trattamento dei dati e assicurare la libera circolazione dei dati personali tra Stati membri.<\/li>
  4. Il trattamento dei dati personali dovrebbe essere al servizio dell\u2019uomo. Il diritto alla protezione dei dati di carattere personale non \u00e8 una prerogativa assoluta, ma va considerato alla luce della sua funzione sociale e va contemperato con altri diritti fondamentali, in ossequio al principio di proporzionalit\u00e0. Il presente regolamento rispetta tutti i diritti fondamentali e osserva le libert\u00e0 e i principi riconosciuti dalla Carta, sanciti dai trattati, in particolare il rispetto della vita privata e familiare, del domicilio e delle comunicazioni, la protezione dei dati personali, la libert\u00e0 di pensiero, di coscienza e di religione, la libert\u00e0 di espressione e d\u2019informazione, la libert\u00e0 d\u2019impresa, il diritto a un ricorso effettivo e a un giudice imparziale, nonch\u00e9 la diversit\u00e0 culturale, religiosa e linguistica.<\/li>
  5. L\u2019integrazione economica e sociale conseguente al funzionamento del mercato interno ha condotto a un considerevole aumento dei flussi transfrontalieri di dati personali e quindi anche dei dati personali scambiati, in tutta l\u2019Unione, tra attori pubblici e privati, comprese persone fisiche, associazioni e imprese. Il diritto dell\u2019Unione impone alle autorit\u00e0 nazionali degli Stati membri di cooperare e scambiarsi dati personali per essere in grado di svolgere le rispettive funzioni o eseguire compiti per conto di un\u2019autorit\u00e0 di un altro Stato membro.<\/li>
  6. La rapidit\u00e0 dell\u2019evoluzione tecnologica e la globalizzazione comportano nuove sfide per la protezione dei dati personali. La portata della condivisione e della raccolta di dati personali \u00e8 aumentata in modo significativo. La tecnologia attuale consente tanto alle imprese private quanto alle autorit\u00e0 pubbliche di utilizzare dati personali, come mai in precedenza, nello svolgimento delle loro attivit\u00e0. Sempre pi\u00f9 spesso, le persone fisiche rendono disponibili al pubblico su scala mondiale informazioni personali che li riguardano. La tecnologia ha trasformato l\u2019economia e le relazioni sociali e dovrebbe facilitare ancora di pi\u00f9 la libera circolazione dei dati personali all\u2019interno dell\u2019Unione e il loro trasferimento verso paesi terzi e organizzazioni internazionali, garantendo al tempo stesso un elevato livello di protezione dei dati personali.<\/li>
  7. Tale evoluzione richiede un quadro pi\u00f9 solido e coerente in materia di protezione dei dati nell\u2019Unione, affiancato da efficaci misure di attuazione, data l\u2019importanza di creare il clima di fiducia che consentir\u00e0 lo sviluppo dell\u2019economia digitale in tutto il mercato interno. \u00c8 opportuno che le persone fisiche abbiano il controllo dei dati personali che li riguardano e che la certezza giuridica e operativa sia rafforzata tanto per le persone fisiche quanto per gli operatori economici e le autorit\u00e0 pubbliche.<\/li>
  8. Ove il presente regolamento preveda specificazioni o limitazioni delle sue norme ad opera del diritto degli Stati membri, gli Stati membri possono, nella misura necessaria per la coerenza e per rendere le disposizioni nazionali comprensibili alle persone cui si applicano, integrare elementi del presente regolamento nel proprio diritto nazionale.<\/li>
  9. Sebbene i suoi obiettivi e principi rimangano tuttora validi, la direttiva 95\/46\/CE non ha impedito la frammentazione dell\u2019applicazione della protezione dei dati personali nel territorio dell\u2019Unione, n\u00e9 ha eliminato l\u2019incertezza giuridica o la percezione, largamente diffusa nel pubblico, che in particolare le operazioni online comportino rischi per la protezione delle persone fisiche. La compresenza di diversi livelli di protezione dei diritti e delle libert\u00e0 delle persone fisiche, in particolare del diritto alla protezione dei dati personali, con riguardo al trattamento di tali dati negli Stati membri pu\u00f2 ostacolare la libera circolazione dei dati personali all\u2019interno dell\u2019Unione. Tali differenze possono pertanto costituire un freno all\u2019esercizio delle attivit\u00e0 economiche su scala dell\u2019Unione, falsare la concorrenza e impedire alle autorit\u00e0 nazionali di adempiere agli obblighi loro derivanti dal diritto dell\u2019Unione. Tale divario creatosi nei livelli di protezione \u00e8 dovuto alle divergenze nell\u2019attuare e applicare la direttiva 95\/46\/CE.<\/li>
  10. Al fine di assicurare un livello coerente ed elevato di protezione delle persone fisiche e rimuovere gli ostacoli alla circolazione dei dati personali all\u2019interno dell\u2019Unione, il livello di protezione dei diritti e delle libert\u00e0 delle persone fisiche con riguardo al trattamento di tali dati dovrebbe essere equivalente in tutti gli Stati membri. \u00c8 opportuno assicurare un\u2019applicazione coerente e omogenea delle norme a protezione dei diritti e delle libert\u00e0 fondamentali delle persone fisiche con riguardo al trattamento dei dati personali in tutta l\u2019Unione. Per quanto riguarda il trattamento dei dati personali per l\u2019adempimento di un obbligo legale, per l\u2019esecuzione di un compito di interesse pubblico o connesso all\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento, gli Stati membri dovrebbero rimanere liberi di mantenere o introdurre norme nazionali al fine di specificare ulteriormente l\u2019applicazione delle norme del presente regolamento. In combinato disposto con la legislazione generale e orizzontale in materia di protezione dei dati che attua la direttiva 95\/46\/CE gli Stati membri dispongono di varie leggi settoriali in settori che richiedono disposizioni pi\u00f9 specifiche. Il presente regolamento prevede anche un margine di manovra degli Stati membri per precisarne le norme, anche con riguardo al trattamento di categorie particolari di dati personali (\u00abdati sensibili\u00bb). In tal senso, il presente regolamento non esclude che il diritto degli Stati membri stabilisca le condizioni per specifiche situazioni di trattamento, anche determinando con maggiore precisione le condizioni alle quali il trattamento di dati personali \u00e8 lecito.<\/li>
  11. Un\u2019efficace protezione dei dati personali in tutta l\u2019Unione presuppone il rafforzamento e la disciplina dettagliata dei diritti degli interessati e degli obblighi di coloro che effettuano e determinano il trattamento dei dati personali, nonch\u00e9 poteri equivalenti per controllare e assicurare il rispetto delle norme di protezione dei dati personali e sanzioni equivalenti per le violazioni negli Stati membri.<\/li>
  12. L\u2019articolo 16, paragrafo 2, TFUE conferisce al Parlamento europeo e al Consiglio il mandato di stabilire le norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale e le norme relative alla libera circolazione di tali dati.<\/li>
  13. Per assicurare un livello coerente di protezione delle persone fisiche in tutta l\u2019Unione e prevenire disparit\u00e0 che possono ostacolare la libera circolazione dei dati personali nel mercato interno, \u00e8 necessario un regolamento che garantisca certezza del diritto e trasparenza agli operatori economici, comprese le micro, piccole e medie imprese, offra alle persone fisiche in tutti gli Stati membri il medesimo livello di diritti azionabili e di obblighi e responsabilit\u00e0 dei titolari del trattamento e dei responsabili del trattamento e assicuri un monitoraggio coerente del trattamento dei dati personali, sanzioni equivalenti in tutti gli Stati membri e una cooperazione efficace tra le autorit\u00e0 di controllo dei diversi Stati membri. Per il buon funzionamento del mercato interno \u00e8 necessario che la libera circolazione dei dati personali all\u2019interno dell\u2019Unione non sia limitata n\u00e9 vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali. Per tener conto della specifica situazione delle micro, piccole e medie imprese, il presente regolamento prevede una deroga per le organizzazioni che hanno meno di 250 dipendenti per quanto riguarda la conservazione delle registrazioni. Inoltre, le istituzioni e gli organi dell\u2019Unione e gli Stati membri e le loro autorit\u00e0 di controllo sono invitati a considerare le esigenze specifiche delle micro, piccole e medie imprese nell\u2019applicare il presente regolamento. La nozione di micro, piccola e media impresa dovrebbe ispirarsi all\u2019articolo 2 dell\u2019allegato della raccomandazione 2003\/361\/CE della Commissione (5).<\/li>
  14. \u00c8 opportuno che la protezione prevista dal presente regolamento si applichi alle persone fisiche, a prescindere dalla nazionalit\u00e0 o dal luogo di residenza, in relazione al trattamento dei loro dati personali. Il presente regolamento non disciplina il trattamento dei dati personali relativi a persone giuridiche, in particolare imprese dotate di personalit\u00e0 giuridica, compresi il nome e la forma della persona giuridica e i suoi dati di contatto.<\/li>
  15. Al fine di evitare l\u2019insorgere di gravi rischi di elusione, la protezione delle persone fisiche dovrebbe essere neutrale sotto il profilo tecnologico e non dovrebbe dipendere dalle tecniche impiegate. La protezione delle persone fisiche dovrebbe applicarsi sia al trattamento automatizzato che al trattamento manuale dei dati personali, se i dati personali sono contenuti o destinati a essere contenuti in un archivio. Non dovrebbero rientrare nell\u2019ambito di applicazione del presente regolamento i fascicoli o le serie di fascicoli non strutturati secondo criteri specifici, cos\u00ec come le rispettive copertine.<\/li>
  16. Il presente regolamento non si applica a questioni di tutela dei diritti e delle libert\u00e0 fondamentali o di libera circolazione dei dati personali riferite ad attivit\u00e0 che non rientrano nell\u2019ambito di applicazione del diritto dell\u2019Unione, quali le attivit\u00e0 riguardanti la sicurezza nazionale. Il presente regolamento non si applica al trattamento dei dati personali effettuato dagli Stati membri nell\u2019esercizio di attivit\u00e0 relative alla politica estera e di sicurezza comune dell\u2019Unione.<\/li>
  17. Il regolamento (CE) n. 45\/2001 del Parlamento europeo e del Consiglio (6) si applica al trattamento di dati personali effettuato da istituzioni, organi, uffici e agenzie dell\u2019Unione. Il regolamento (CE) n. 45\/2001 e gli altri atti giuridici dell\u2019Unione applicabili a tale trattamento di dati personali dovrebbero essere adeguati ai principi e alle norme stabiliti dal presente regolamento e applicati alla luce dello stesso. Per offrire un quadro di protezione dei dati solido e coerente nell\u2019Unione, si dovrebbe procedere, successivamente all\u2019adozione del presente regolamento, ai necessari adeguamenti del regolamento (CE) n. 45\/2001, al fine di consentirne l\u2019applicazione contemporaneamente al presente regolamento.<\/li>
  18. Il presente regolamento non si applica al trattamento di dati personali effettuato da una persona fisica nell\u2019ambito di attivit\u00e0 a carattere esclusivamente personale o domestico e quindi senza una connessione con un\u2019attivit\u00e0 commerciale o professionale. Le attivit\u00e0 a carattere personale o domestico potrebbero comprendere la corrispondenza e gli indirizzari, o l\u2019uso dei social network e attivit\u00e0 online intraprese nel quadro di tali attivit\u00e0. Tuttavia, il presente regolamento si applica ai titolari del trattamento o ai responsabili del trattamento che forniscono i mezzi per trattare dati personali nell\u2019ambito di tali attivit\u00e0 a carattere personale o domestico.<\/li>
  19. La protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorit\u00e0 competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro, e la prevenzione di, minacce alla sicurezza pubblica, e la libera circolazione di tali dati sono oggetto di uno specifico atto dell\u2019Unione. Il presente regolamento non dovrebbe pertanto applicarsi ai trattamenti effettuati per tali finalit\u00e0. I dati personali trattati dalle autorit\u00e0 pubbliche in forza del presente regolamento, quando utilizzati per tali finalit\u00e0, dovrebbero invece essere disciplinati da un pi\u00f9 specifico atto dell\u2019Unione, segnatamente la direttiva (UE) 2016\/680 del Parlamento europeo e del Consiglio (7). Gli Stati membri possono conferire alle autorit\u00e0 competenti ai sensi della direttiva (UE) 2016\/680 altri compiti che non siano necessariamente svolti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro, e la prevenzione di, minacce alla sicurezza pubblica, affinch\u00e9 il trattamento di dati personali per tali altre finalit\u00e0, nella misura in cui ricada nell\u2019ambito di applicazione del diritto dell\u2019Unione, rientri nell\u2019ambito di applicazione del presente regolamento. Con riguardo al trattamento dei dati personali da parte di tali autorit\u00e0 competenti per finalit\u00e0 rientranti nell\u2019ambito di applicazione del presente regolamento, gli Stati membri dovrebbero poter mantenere o introdurre disposizioni pi\u00f9 specifiche per adattare l\u2019applicazione delle disposizioni del presente regolamento. Tali disposizioni possono determinare con maggiore precisione requisiti specifici per il trattamento di dati personali da parte di dette autorit\u00e0 competenti per tali altre finalit\u00e0, tenuto conto della struttura costituzionale, organizzativa e amministrativa dei rispettivi Stati membri. Quando il trattamento dei dati personali effettuato da organismi privati rientra nell\u2019ambito di applicazione del presente regolamento, \u00e8 opportuno che lo stesso preveda la facolt\u00e0 per gli Stati membri, a determinate condizioni, di adottare disposizioni legislative intese a limitare determinati obblighi e diritti, qualora tale limitazione costituisca una misura necessaria e proporzionata in una societ\u00e0 democratica per la salvaguardia di importanti interessi specifici, comprese la sicurezza pubblica e le attivit\u00e0 di prevenzione, indagine, accertamento e perseguimento di reati o l\u2019esecuzione di sanzioni penali, incluse la salvaguardia contro, e la prevenzione di, minacce alla sicurezza pubblica. Ci\u00f2 riveste particolare importanza ad esempio nel quadro del riciclaggio o di attivit\u00e0 di medicina legale.<\/li>
  20. Sebbene il presente regolamento si applichi, tra l\u2019altro, anche alle attivit\u00e0 delle autorit\u00e0 giurisdizionali e di altre autorit\u00e0 giudiziarie, il diritto dell\u2019Unione o degli Stati membri potrebbe specificare le operazioni e le procedure di trattamento relativamente al trattamento dei dati personali effettuato da autorit\u00e0 giurisdizionali e da altre autorit\u00e0 giudiziarie. Non \u00e8 opportuno che rientri nella competenza delle autorit\u00e0 di controllo il trattamento di dati personali effettuato dalle autorit\u00e0 giurisdizionali nell\u2019adempimento delle loro funzioni giurisdizionali, al fine di salvaguardare l\u2019indipendenza della magistratura nell\u2019adempimento dei suoi compiti giurisdizionali, compreso il processo decisionale. Si dovrebbe poter affidare il controllo su tali trattamenti di dati ad organismi specifici all\u2019interno del sistema giudiziario dello Stato membro, che dovrebbero in particolare assicurare la conformit\u00e0 alle norme del presente regolamento, rafforzare la consapevolezza della magistratura con riguardo agli obblighi che alla stessa derivano dal presente regolamento ed esaminare i reclami in relazione a tali operazioni di trattamento dei dati.<\/li>
  21. Il presente regolamento non pregiudica l\u2019applicazione della direttiva 2000\/31\/CE del Parlamento europeo e del Consiglio (8), in particolare delle norme relative alla responsabilit\u00e0 dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva. Detta direttiva mira a contribuire al buon funzionamento del mercato interno garantendo la libera circolazione dei servizi della societ\u00e0 dell\u2019informazione tra Stati membri.<\/li>
  22. Qualsiasi trattamento di dati personali effettuato nell\u2019ambito delle attivit\u00e0 di uno stabilimento di un titolare del trattamento o responsabile del trattamento nel territorio dell\u2019Unione dovrebbe essere conforme al presente regolamento, indipendentemente dal fatto che il trattamento avvenga all\u2019interno dell\u2019Unione. Lo stabilimento implica l\u2019effettivo e reale svolgimento di attivit\u00e0 nel quadro di un\u2019organizzazione stabile. A tale riguardo, non \u00e8 determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalit\u00e0 giuridica.<\/li>
  23. Onde evitare che una persona fisica venga privata della protezione cui ha diritto in base al presente regolamento, \u00e8 opportuno che questo disciplini il trattamento dei dati personali degli interessati che si trovano nell\u2019Unione effettuato da un titolare del trattamento o da un responsabile del trattamento non stabilito nell\u2019Unione, quando le attivit\u00e0 di trattamento sono connesse all\u2019offerta di beni o servizi a detti interessati indipendentemente dal fatto che vi sia un pagamento correlato. Per determinare se tale titolare o responsabile del trattamento stia offrendo beni o servizi agli interessati che si trovano nell\u2019Unione, \u00e8 opportuno verificare se risulta che il titolare o il responsabile del trattamento intenda fornire servizi agli interessati in uno o pi\u00f9 Stati membri dell\u2019Unione. Mentre la semplice accessibilit\u00e0 del sito web del titolare del trattamento, del responsabile del trattamento o di un intermediario nell\u2019Unione, di un indirizzo di posta elettronica o di altre coordinate di contatto o l\u2019impiego di una lingua abitualmente utilizzata nel paese terzo in cui il titolare del trattamento \u00e8 stabilito sono insufficienti per accertare tale intenzione, fattori quali l\u2019utilizzo di una lingua o di una moneta abitualmente utilizzata in uno o pi\u00f9 Stati membri, con la possibilit\u00e0 di ordinare beni e servizi in tale altra lingua, o la menzione di clienti o utenti che si trovano nell\u2019Unione possono evidenziare l\u2019intenzione del titolare o del responsabile del trattamento di offrire beni o servizi agli interessati nell\u2019Unione.<\/li>
  24. \u00c8 opportuno che anche il trattamento dei dati personali degli interessati che si trovano nell\u2019Unione ad opera di un titolare del trattamento o di un responsabile del trattamento non stabilito nell\u2019Unione sia soggetto al presente regolamento quando \u00e8 riferito al monitoraggio del comportamento di detti interessati, nella misura in cui tale comportamento ha luogo all\u2019interno dell\u2019Unione. Per stabilire se un\u2019attivit\u00e0 di trattamento sia assimilabile al controllo del comportamento dell\u2019interessato, \u00e8 opportuno verificare se le persone fisiche sono tracciate su internet, compreso l\u2019eventuale ricorso successivo a tecniche di trattamento dei dati personali che consistono nella profilazione della persona fisica, in particolare per adottare decisioni che la riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali.<\/li>
  25. Laddove vige il diritto di uno Stato membro in virt\u00f9 del diritto internazionale pubblico, ad esempio nella rappresentanza diplomatica o consolare di uno Stato membro, il presente regolamento dovrebbe applicarsi anche a un titolare del trattamento non stabilito nell\u2019Unione.<\/li>
  26. \u00c8 auspicabile applicare i principi di protezione dei dati a tutte le informazioni relative a una persona fisica identificata o identificabile. I dati personali sottoposti a pseudonimizzazione, i quali potrebbero essere attribuiti a una persona fisica mediante l\u2019utilizzo di ulteriori informazioni, dovrebbero essere considerati informazioni su una persona fisica identificabile. Per stabilire l\u2019identificabilit\u00e0 di una persona \u00e8 opportuno considerare tutti i mezzi, come l\u2019individuazione, di cui il titolare del trattamento o un terzo pu\u00f2 ragionevolmente avvalersi per identificare detta persona fisica direttamente o indirettamente. Per accertare la ragionevole probabilit\u00e0 di utilizzo dei mezzi per identificare la persona fisica, si dovrebbe prendere in considerazione l\u2019insieme dei fattori obiettivi, tra cui i costi e il tempo necessario per l\u2019identificazione, tenendo conto sia delle tecnologie disponibili al momento del trattamento, sia degli sviluppi tecnologici. I principi di protezione dei dati non dovrebbero pertanto applicarsi a informazioni anonime, vale a dire informazioni che non si riferiscono a una persona fisica identificata o identificabile o a dati personali resi sufficientemente anonimi da impedire o da non consentire pi\u00f9 l\u2019identificazione dell\u2019interessato. Il presente regolamento non si applica pertanto al trattamento di tali informazioni anonime, anche per finalit\u00e0 statistiche o di ricerca.<\/li>
  27. Il presente regolamento non si applica ai dati personali delle persone decedute. Gli Stati membri possono prevedere norme riguardanti il trattamento dei dati personali delle persone decedute.<\/li>
  28. L\u2019applicazione della pseudonimizzazione ai dati personali pu\u00f2 ridurre i rischi per gli interessati e aiutare i titolari del trattamento e i responsabili del trattamento a rispettare i loro obblighi di protezione dei dati. L\u2019introduzione esplicita della \u00abpseudonimizzazione\u00bb nel presente regolamento non \u00e8 quindi intesa a precludere altre misure di protezione dei dati.<\/li>
  29. Al fine di creare incentivi per l\u2019applicazione della pseudonimizzazione nel trattamento dei dati personali, dovrebbero essere possibili misure di pseudonimizzazione con possibilit\u00e0 di analisi generale all\u2019interno dello stesso titolare del trattamento, qualora il titolare del trattamento abbia adottato le misure tecniche e organizzative necessarie ad assicurare, per il trattamento interessato, l\u2019attuazione del presente regolamento, e che le informazioni aggiuntive per l\u2019attribuzione dei dati personali a un interessato specifico siano conservate separatamente. Il titolare del trattamento che effettua il trattamento dei dati personali dovrebbe indicare le persone autorizzate all\u2019interno dello stesso titolare del trattamento.<\/li>
  30. Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, a marcatori temporanei (cookies) o a identificativi di altro tipo, come i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle.<\/li>
  31. Le autorit\u00e0 pubbliche a cui i dati personali sono comunicati conformemente a un obbligo legale ai fini dell\u2019esercizio della loro missione istituzionale, quali autorit\u00e0 fiscali e doganali, unit\u00e0 di indagine finanziaria, autorit\u00e0 amministrative indipendenti o autorit\u00e0 dei mercati finanziari, responsabili della regolamentazione e della vigilanza dei mercati dei valori mobiliari, non dovrebbero essere considerate destinatari qualora ricevano dati personali che sono necessari per svolgere una specifica indagine nell\u2019interesse generale, conformemente al diritto dell\u2019Unione o degli Stati membri. Le richieste di comunicazione inviate dalle autorit\u00e0 pubbliche dovrebbero sempre essere scritte, motivate e occasionali e non dovrebbero riguardare un intero archivio o condurre all\u2019interconnessione di archivi. Il trattamento di tali dati personali da parte delle autorit\u00e0 pubbliche dovrebbe essere conforme alle norme in materia di protezione dei dati applicabili secondo le finalit\u00e0 del trattamento.<\/li>
  32. Il consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l\u2019interessato manifesta l\u2019intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Ci\u00f2 potrebbe comprendere la selezione di un\u2019apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della societ\u00e0 dell\u2019informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l\u2019interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il silenzio, l\u2019inattivit\u00e0 o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attivit\u00e0 di trattamento svolte per la stessa o le stesse finalit\u00e0. Qualora il trattamento abbia pi\u00f9 finalit\u00e0, il consenso dovrebbe essere prestato per tutte queste. Se il consenso dell\u2019interessato \u00e8 richiesto attraverso mezzi elettronici, la richiesta deve essere chiara, concisa e non interferire immotivatamente con il servizio per il quale il consenso \u00e8 espresso.<\/li>
  33. In molti casi non \u00e8 possibile individuare pienamente la finalit\u00e0 del trattamento dei dati personali a fini di ricerca scientifica al momento della raccolta dei dati. Pertanto, dovrebbe essere consentito agli interessati di prestare il proprio consenso a taluni settori della ricerca scientifica laddove vi sia rispetto delle norme deontologiche riconosciute per la ricerca scientifica. Gli interessati dovrebbero avere la possibilit\u00e0 di prestare il proprio consenso soltanto a determinati settori di ricerca o parti di progetti di ricerca nella misura consentita dalla finalit\u00e0 prevista.<\/li>
  34. \u00c8 opportuno che per dati genetici si intendano i dati personali relativi alle caratteristiche genetiche, ereditarie o acquisite, di una persona fisica, che risultino dall\u2019analisi di un campione biologico della persona fisica in questione, in particolare dall\u2019analisi dei cromosomi, dell\u2019acido desossiribonucleico (DNA) o dell\u2019acido ribonucleico (RNA), ovvero dall\u2019analisi di un altro elemento che consenta di ottenere informazioni equivalenti.<\/li>
  35. Nei dati personali relativi alla salute dovrebbero rientrare tutti i dati riguardanti lo stato di salute dell\u2019interessato che rivelino informazioni connesse allo stato di salute fisica o mentale passata, presente o futura dello stesso. Questi comprendono informazioni sulla persona fisica raccolte nel corso della sua registrazione al fine di ricevere servizi di assistenza sanitaria o della relativa prestazione di cui alla direttiva 2011\/24\/UE del Parlamento europeo e del Consiglio (9); un numero, un simbolo o un elemento specifico attribuito a una persona fisica per identificarla in modo univoco a fini sanitari; le informazioni risultanti da esami e controlli effettuati su una parte del corpo o una sostanza organica, compresi i dati genetici e i campioni biologici; e qualsiasi informazione riguardante, ad esempio, una malattia, una disabilit\u00e0, il rischio di malattie, l\u2019anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell\u2019interessato, indipendentemente dalla fonte, quale, ad esempio, un medico o altro operatore sanitario, un ospedale, un dispositivo medico o un test diagnostico in vitro.<\/li>
  36. Lo stabilimento principale di un titolare del trattamento nell\u2019Unione dovrebbe essere il luogo in cui ha sede la sua amministrazione centrale nell\u2019Unione, a meno che le decisioni sulle finalit\u00e0 e i mezzi del trattamento di dati personali siano adottate in un altro stabilimento del titolare del trattamento nell\u2019Unione, nel qual caso tale altro stabilimento dovrebbe essere considerato lo stabilimento principale. Lo stabilimento principale di un titolare del trattamento nell\u2019Unione dovrebbe essere determinato in base a criteri obiettivi e implicare l\u2019effettivo e reale svolgimento di attivit\u00e0 di gestione finalizzate alle principali decisioni sulle finalit\u00e0 e sui mezzi del trattamento nel quadro di un\u2019organizzazione stabile. Tale criterio non dovrebbe dipendere dal fatto che i dati personali siano trattati in quella sede. La presenza o l\u2019uso di mezzi tecnici e tecnologie di trattamento di dati personali o di attivit\u00e0 di trattamento non costituiscono di per s\u00e9 lo stabilimento principale n\u00e9 sono quindi criteri determinanti della sua esistenza. Per quanto riguarda il responsabile del trattamento, per \u00abstabilimento principale\u00bb dovrebbe intendersi il luogo in cui ha sede la sua amministrazione centrale nell\u2019Unione o, se non dispone di un\u2019amministrazione centrale nell\u2019Unione, il luogo in cui sono condotte le principali attivit\u00e0 di trattamento nell\u2019Unione. In caso di coinvolgimento sia del titolare del trattamento sia del responsabile del trattamento, l\u2019autorit\u00e0 di controllo competente capofila dovrebbe continuare a essere l\u2019autorit\u00e0 di controllo dello Stato membro in cui il titolare del trattamento ha lo stabilimento principale, ma l\u2019autorit\u00e0 di controllo del responsabile del trattamento dovrebbe essere considerata autorit\u00e0 di controllo interessata e tale autorit\u00e0 di controllo dovrebbe partecipare alla procedura di cooperazione prevista dal presente regolamento. In ogni caso, le autorit\u00e0 di controllo dello Stato membro o degli Stati membri in cui il responsabile del trattamento ha uno o pi\u00f9 stabilimenti non dovrebbero essere considerate autorit\u00e0 di controllo interessate quando il progetto di decisione riguarda soltanto il titolare del trattamento. Se il trattamento \u00e8 effettuato da un gruppo imprenditoriale, lo stabilimento principale dell\u2019impresa controllante dovrebbe essere considerato lo stabilimento principale del gruppo di imprese, tranne nei casi in cui le finalit\u00e0 e i mezzi del trattamento sono stabiliti da un\u2019altra impresa.<\/li>
  37. Un gruppo imprenditoriale dovrebbe costituirsi di un\u2019impresa controllante e delle sue controllate, l\u00e0 dove l\u2019impresa controllante dovrebbe essere quella che pu\u00f2 esercitare un\u2019influenza dominante sulle controllate in forza, ad esempio, della propriet\u00e0, della partecipazione finanziaria o delle norme societarie o del potere di fare applicare le norme in materia di protezione dei dati personali. Un\u2019impresa che controlla il trattamento dei dati personali in imprese a essa collegate dovrebbe essere considerata, unitamente a tali imprese, quale \u00abgruppo imprenditoriale\u00bb.<\/li>
  38. I minori meritano una specifica protezione relativamente ai loro dati personali, in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonch\u00e9 dei loro diritti in relazione al trattamento dei dati personali. Tale specifica protezione dovrebbe, in particolare, riguardare l\u2019utilizzo dei dati personali dei minori a fini di marketing o di creazione di profili di personalit\u00e0 o di utente e la raccolta di dati personali relativi ai minori all\u2019atto dell\u2019utilizzo di servizi forniti direttamente a un minore. Il consenso del titolare della responsabilit\u00e0 genitoriale non dovrebbe essere necessario nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore.<\/li>
  39. Qualsiasi trattamento di dati personali dovrebbe essere lecito e corretto. Dovrebbero essere trasparenti per le persone fisiche le modalit\u00e0 con cui sono raccolti, utilizzati, consultati o altrimenti trattati dati personali che li riguardano nonch\u00e9 la misura in cui i dati personali sono o saranno trattati. Il principio della trasparenza impone che le informazioni e le comunicazioni relative al trattamento di tali dati personali siano facilmente accessibili e comprensibili e che sia utilizzato un linguaggio semplice e chiaro. Tale principio riguarda, in particolare, l\u2019informazione degli interessati sull\u2019identit\u00e0 del titolare del trattamento e sulle finalit\u00e0 del trattamento e ulteriori informazioni per assicurare un trattamento corretto e trasparente con riguardo alle persone fisiche interessate e ai loro diritti di ottenere conferma e comunicazione di un trattamento di dati personali che li riguardano. \u00c8 opportuno che le persone fisiche siano sensibilizzate ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali, nonch\u00e9 alle modalit\u00e0 di esercizio dei loro diritti relativi a tale trattamento. In particolare, le finalit\u00e0 specifiche del trattamento dei dati personali dovrebbero essere esplicite e legittime e precisate al momento della raccolta di detti dati personali. I dati personali dovrebbero essere adeguati, pertinenti e limitati a quanto necessario per le finalit\u00e0 del loro trattamento. Da qui l\u2019obbligo, in particolare, di assicurare che il periodo di conservazione dei dati personali sia limitato al minimo necessario. I dati personali dovrebbero essere trattati solo se la finalit\u00e0 del trattamento non \u00e8 ragionevolmente conseguibile con altri mezzi. Onde assicurare che i dati personali non siano conservati pi\u00f9 a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica. \u00c8 opportuno adottare tutte le misure ragionevoli affinch\u00e9 i dati personali inesatti siano rettificati o cancellati. I dati personali dovrebbero essere trattati in modo da garantirne un\u2019adeguata sicurezza e riservatezza, anche per impedire l\u2019accesso o l\u2019utilizzo non autorizzato dei dati personali e delle attrezzature impiegate per il trattamento.<\/li>
  40. Perch\u00e9 sia lecito, il trattamento di dati personali dovrebbe fondarsi sul consenso dell\u2019interessato o su altra base legittima prevista per legge dal presente regolamento o dal diritto dell\u2019Unione o degli Stati membri, come indicato nel presente regolamento, tenuto conto della necessit\u00e0 di ottemperare all\u2019obbligo legale al quale il titolare del trattamento \u00e8 soggetto o della necessit\u00e0 di esecuzione di un contratto di cui l\u2019interessato \u00e8 parte o di esecuzione di misure precontrattuali adottate su richiesta dello stesso.<\/li>
  41. Qualora il presente regolamento faccia riferimento a una base giuridica o a una misura legislativa, ci\u00f2 non richiede necessariamente l\u2019adozione di un atto legislativo da parte di un parlamento, fatte salve le prescrizioni dell\u2019ordinamento costituzionale dello Stato membro interessato. Tuttavia, tale base giuridica o misura legislativa dovrebbe essere chiara e precisa, e la sua applicazione prevedibile, per le persone che vi sono sottoposte, in conformit\u00e0 della giurisprudenza della Corte di giustizia dell\u2019Unione europea (la \u00abCorte di giustizia\u00bb) e della Corte europea dei diritti dell\u2019uomo.<\/li>
  42. Per i trattamenti basati sul consenso dell\u2019interessato, il titolare del trattamento dovrebbe essere in grado di dimostrare che l\u2019interessato ha acconsentito al trattamento. In particolare, nel contesto di una dichiarazione scritta relativa a un\u2019altra questione dovrebbero esistere garanzie che assicurino che l\u2019interessato sia consapevole del fatto di esprimere un consenso e della misura in cui ci\u00f2 avviene. In conformit\u00e0 della direttiva 93\/13\/CEE del Consiglio (10) \u00e8 opportuno prevedere una dichiarazione di consenso predisposta dal titolare del trattamento in una forma comprensibile e facilmente accessibile, che usi un linguaggio semplice e chiaro e non contenga clausole abusive. Ai fini di un consenso informato, l\u2019interessato dovrebbe essere posto a conoscenza almeno dell\u2019identit\u00e0 del titolare del trattamento e delle finalit\u00e0 del trattamento cui sono destinati i dati personali. Il consenso non dovrebbe essere considerato liberamente espresso se l\u2019interessato non \u00e8 in grado di operare una scelta autenticamente libera o \u00e8 nell\u2019impossibilit\u00e0 di rifiutare o revocare il consenso senza subire pregiudizio.<\/li>
  43. Per assicurare la libert\u00e0 di espressione del consenso, \u00e8 opportuno che il consenso non costituisca un valido presupposto per il trattamento dei dati personali in un caso specifico, qualora esista un evidente squilibrio tra l\u2019interessato e il titolare del trattamento, specie quando il titolare del trattamento \u00e8 un\u2019autorit\u00e0 pubblica e ci\u00f2 rende pertanto improbabile che il consenso sia stato espresso liberamente in tutte le circostanze di tale situazione specifica. Si presume che il consenso non sia stato liberamente espresso se non \u00e8 possibile esprimere un consenso separato a distinti trattamenti di dati personali, nonostante sia appropriato nel singolo caso, o se l\u2019esecuzione di un contratto, compresa la prestazione di un servizio, \u00e8 subordinata al consenso sebbene esso non sia necessario per tale esecuzione.<\/li>
  44. Il trattamento dovrebbe essere considerato lecito se \u00e8 necessario nell\u2019ambito di un contratto o ai fini della conclusione di un contratto.<\/li>
  45. \u00c8 opportuno che il trattamento effettuato in conformit\u00e0 a un obbligo legale al quale il titolare del trattamento \u00e8 soggetto o necessario per l\u2019esecuzione di un compito svolto nel pubblico interesse o per l\u2019esercizio di pubblici poteri sia basato sul diritto dell\u2019Unione o di uno Stato membro. Il presente regolamento non impone che vi sia un atto legislativo specifico per ogni singolo trattamento. Un atto legislativo pu\u00f2 essere sufficiente come base per pi\u00f9 trattamenti effettuati conformemente a un obbligo legale cui \u00e8 soggetto il titolare del trattamento o se il trattamento \u00e8 necessario per l\u2019esecuzione di un compito svolto nel pubblico interesse o per l\u2019esercizio di pubblici poteri. Dovrebbe altres\u00ec spettare al diritto dell\u2019Unione o degli Stati membri stabilire la finalit\u00e0 del trattamento. Inoltre, tale atto legislativo potrebbe precisare le condizioni generali del presente regolamento che presiedono alla liceit\u00e0 del trattamento dei dati personali, prevedere le specificazioni per stabilire il titolare del trattamento, il tipo di dati personali oggetto del trattamento, gli interessati, i soggetti cui possono essere comunicati i dati personali, le limitazioni della finalit\u00e0, il periodo di conservazione e altre misure per garantire un trattamento lecito e corretto. Dovrebbe altres\u00ec spettare al diritto dell\u2019Unione o degli Stati membri stabilire se il titolare del trattamento che esegue un compito svolto nel pubblico interesse o per l\u2019esercizio di pubblici poteri debba essere una pubblica autorit\u00e0 o altra persona fisica o giuridica di diritto pubblico o, qualora sia nel pubblico interesse, anche per finalit\u00e0 inerenti alla salute, quali la sanit\u00e0 pubblica e la protezione sociale e la gestione dei servizi di assistenza sanitaria, di diritto privato, quale un\u2019associazione professionale.<\/li>
  46. Il trattamento di dati personali dovrebbe essere altres\u00ec considerato lecito quando \u00e8 necessario per proteggere un interesse essenziale per la vita dell\u2019interessato o di un\u2019altra persona fisica. Il trattamento di dati personali fondato sull\u2019interesse vitale di un\u2019altra persona fisica dovrebbe avere luogo in principio unicamente quando il trattamento non pu\u00f2 essere manifestamente fondato su un\u2019altra base giuridica. Alcuni tipi di trattamento dei dati personali possono rispondere sia a rilevanti motivi di interesse pubblico sia agli interessi vitali dell\u2019interessato, per esempio se il trattamento \u00e8 necessario a fini umanitari, tra l\u2019altro per tenere sotto controllo l\u2019evoluzione di epidemie e la loro diffusione o in casi di emergenze umanitarie, in particolare in casi di catastrofi di origine naturale e umana.<\/li>
  47. I legittimi interessi di un titolare del trattamento, compresi quelli di un titolare del trattamento a cui i dati personali possono essere comunicati, o di terzi possono costituire una base giuridica del trattamento, a condizione che non prevalgano gli interessi o i diritti e le libert\u00e0 fondamentali dell\u2019interessato, tenuto conto delle ragionevoli aspettative nutrite dall\u2019interessato in base alla sua relazione con il titolare del trattamento. Ad esempio, potrebbero sussistere tali legittimi interessi quando esista una relazione pertinente e appropriata tra l\u2019interessato e il titolare del trattamento, ad esempio quando l\u2019interessato \u00e8 un cliente o \u00e8 alle dipendenze del titolare del trattamento. In ogni caso, l\u2019esistenza di legittimi interessi richiede un\u2019attenta valutazione anche in merito all\u2019eventualit\u00e0 che l\u2019interessato, al momento e nell\u2019ambito della raccolta dei dati personali, possa ragionevolmente attendersi che abbia luogo un trattamento a tal fine. Gli interessi e i diritti fondamentali dell\u2019interessato potrebbero in particolare prevalere sugli interessi del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un ulteriore trattamento dei dati personali. Posto che spetta al legislatore prevedere per legge la base giuridica che autorizza le autorit\u00e0 pubbliche a trattare i dati personali, la base giuridica per un legittimo interesse del titolare del trattamento non dovrebbe valere per il trattamento effettuato dalle autorit\u00e0 pubbliche nell\u2019esecuzione dei loro compiti. Costituisce parimenti legittimo interesse del titolare del trattamento interessato trattare dati personali strettamente necessari a fini di prevenzione delle frodi. Pu\u00f2 essere considerato legittimo interesse trattare dati personali per finalit\u00e0 di marketing diretto.<\/li>
  48. I titolari del trattamento facenti parte di un gruppo imprenditoriale o di enti collegati a un organismo centrale possono avere un interesse legittimo a trasmettere dati personali all\u2019interno del gruppo imprenditoriale a fini amministrativi interni, compreso il trattamento di dati personali dei clienti o dei dipendenti. Sono fatti salvi i principi generali per il trasferimento di dati personali, all\u2019interno di un gruppo imprenditoriale, verso un\u2019impresa situata in un paese terzo.<\/li>
  49. Costituisce legittimo interesse del titolare del trattamento interessato trattare dati personali relativi al traffico, in misura strettamente necessaria e proporzionata per garantire la sicurezza delle reti e dell\u2019informazione, vale a dire la capacit\u00e0 di una rete o di un sistema d\u2019informazione di resistere, a un dato livello di sicurezza, a eventi imprevisti o atti illeciti o dolosi che compromettano la disponibilit\u00e0, l\u2019autenticit\u00e0, l\u2019integrit\u00e0 e la riservatezza dei dati personali conservati o trasmessi e la sicurezza dei relativi servizi offerti o resi accessibili tramite tali reti e sistemi da autorit\u00e0 pubbliche, organismi di intervento in caso di emergenza informatica (CERT), gruppi di intervento per la sicurezza informatica in caso di incidente (CSIRT), fornitori di reti e servizi di comunicazione elettronica e fornitori di tecnologie e servizi di sicurezza. Ci\u00f2 potrebbe, ad esempio, includere misure atte a impedire l\u2019accesso non autorizzato a reti di comunicazioni elettroniche e la diffusione di codici maligni, e a porre termine agli attacchi da \u00abblocco di servizio\u00bb e ai danni ai sistemi informatici e di comunicazione elettronica.<\/li>
  50. Il trattamento dei dati personali per finalit\u00e0 diverse da quelle per le quali i dati personali sono stati inizialmente raccolti dovrebbe essere consentito solo se compatibile con le finalit\u00e0 per le quali i dati personali sono stati inizialmente raccolti. In tal caso non \u00e8 richiesta alcuna base giuridica separata oltre a quella che ha consentito la raccolta dei dati personali. Se il trattamento \u00e8 necessario per l\u2019esecuzione di un compito di interesse pubblico o per l\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento, il diritto dell\u2019Unione o degli Stati membri pu\u00f2 stabilire e precisare le finalit\u00e0 e i compiti per i quali l\u2019ulteriore trattamento \u00e8 considerato lecito e compatibile. L\u2019ulteriore trattamento a fini di archiviazione nel pubblico interesse, o di ricerca scientifica o storica o a fini statistici dovrebbe essere considerato un trattamento lecito e compatibile. La base giuridica fornita dal diritto dell\u2019Unione o degli Stati membri per il trattamento dei dati personali pu\u00f2 anche costituire una base giuridica per l\u2019ulteriore trattamento. Per accertare se la finalit\u00e0 di un ulteriore trattamento sia compatibile con la finalit\u00e0 per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento dovrebbe, dopo aver soddisfatto tutti i requisiti per la liceit\u00e0 del trattamento originario, tener conto tra l\u2019altro di ogni nesso tra tali finalit\u00e0 e le finalit\u00e0 dell\u2019ulteriore trattamento previsto, del contesto in cui i dati personali sono stati raccolti, in particolare le ragionevoli aspettative dell\u2019interessato in base alla sua relazione con il titolare del trattamento con riguardo al loro ulteriore utilizzo; della natura dei dati personali; delle conseguenze dell\u2019ulteriore trattamento previsto per gli interessati; e dell\u2019esistenza di garanzie adeguate sia nel trattamento originario sia nell\u2019ulteriore trattamento previsto. Ove l\u2019interessato abbia prestato il suo consenso o il trattamento si basi sul diritto dell\u2019Unione o degli Stati membri che costituisce una misura necessaria e proporzionata in una societ\u00e0 democratica per salvaguardare, in particolare, importanti obiettivi di interesse pubblico generale, il titolare del trattamento dovrebbe poter sottoporre i dati personali a ulteriore trattamento a prescindere dalla compatibilit\u00e0 delle finalit\u00e0. In ogni caso, dovrebbe essere garantita l\u2019applicazione dei principi stabiliti dal presente regolamento, in particolare l\u2019obbligo di informare l\u2019interessato di tali altre finalit\u00e0 e dei suoi diritti, compreso il diritto di opporsi. L\u2019indicazione da parte del titolare del trattamento di possibili reati o minacce alla sicurezza pubblica e la trasmissione dei dati personali pertinenti a un\u2019autorit\u00e0 competente in singoli casi o in pi\u00f9 casi riguardanti lo stesso reato o la stessa minaccia alla sicurezza pubblica dovrebbero essere considerate nell\u2019interesse legittimo perseguito dal titolare del trattamento. Tuttavia, tale trasmissione nell\u2019interesse legittimo del titolare del trattamento o l\u2019ulteriore trattamento dei dati personali dovrebbero essere vietati se il trattamento non \u00e8 compatibile con un obbligo vincolante di segretezza, di natura giuridica, professionale o di altro genere.<\/li>
  51. Meritano una specifica protezione i dati personali che, per loro natura, sono particolarmente sensibili sotto il profilo dei diritti e delle libert\u00e0 fondamentali, dal momento che il contesto del loro trattamento potrebbe creare rischi significativi per i diritti e le libert\u00e0 fondamentali. Tra tali dati personali dovrebbero essere compresi anche i dati personali che rivelano l\u2019origine razziale o etnica, essendo inteso che l\u2019utilizzo dei termini \u00aborigine razziale\u00bb nel presente regolamento non implica l\u2019accettazione da parte dell\u2019Unione di teorie che tentano di dimostrare l\u2019esistenza di razze umane distinte. Il trattamento di fotografie non dovrebbe costituire sistematicamente un trattamento di categorie particolari di dati personali, poich\u00e9 esse rientrano nella definizione di dati biometrici soltanto quando saranno trattate attraverso un dispositivo tecnico specifico che consente l\u2019identificazione univoca o l\u2019autenticazione di una persona fisica. Tali dati personali non dovrebbero essere oggetto di trattamento, a meno che il trattamento non sia consentito nei casi specifici di cui al presente regolamento, tenendo conto del fatto che il diritto degli Stati membri pu\u00f2 stabilire disposizioni specifiche sulla protezione dei dati per adeguare l\u2019applicazione delle norme del presente regolamento ai fini della conformit\u00e0 a un obbligo legale o dell\u2019esecuzione di un compito di interesse pubblico o per l\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento. Oltre ai requisiti specifici per tale trattamento, dovrebbero applicarsi i principi generali e altre norme del presente regolamento, in particolare per quanto riguarda le condizioni per il trattamento lecito. \u00c8 opportuno prevedere espressamente deroghe al divieto generale di trattare tali categorie particolari di dati personali, tra l\u2019altro se l\u2019interessato esprime un consenso esplicito o in relazione a esigenze specifiche, in particolare se il trattamento \u00e8 eseguito nel corso di legittime attivit\u00e0 di talune associazioni o fondazioni il cui scopo sia permettere l\u2019esercizio delle libert\u00e0 fondamentali.<\/li>
  52. La deroga al divieto di trattare categorie particolari di dati personali dovrebbe essere consentita anche quando \u00e8 prevista dal diritto dell\u2019Unione o degli Stati membri, fatte salve adeguate garanzie, per proteggere i dati personali e altri diritti fondamentali, laddove ci\u00f2 avvenga nell\u2019interesse pubblico, in particolare il trattamento dei dati personali nel settore del diritto del lavoro e della protezione sociale, comprese le pensioni, e per finalit\u00e0 di sicurezza sanitaria, controllo e allerta, la prevenzione o il controllo di malattie trasmissibili e altre minacce gravi alla salute. Tale deroga pu\u00f2 avere luogo per finalit\u00e0 inerenti alla salute, compresa la sanit\u00e0 pubblica e la gestione dei servizi di assistenza sanitaria, soprattutto al fine di assicurare la qualit\u00e0 e l\u2019economicit\u00e0 delle procedure per soddisfare le richieste di prestazioni e servizi nell\u2019ambito del regime di assicurazione sanitaria, o a fini di archiviazione nel pubblico interesse o di ricerca scientifica o storica o a fini statistici. La deroga dovrebbe anche consentire di trattare tali dati personali se necessario per accertare, esercitare o difendere un diritto, che sia in sede giudiziale, amministrativa o stragiudiziale.<\/li>
  53. Le categorie particolari di dati personali che meritano una maggiore protezione dovrebbero essere trattate soltanto per finalit\u00e0 connesse alla salute, ove necessario per conseguire tali finalit\u00e0 a beneficio delle persone e dell\u2019intera societ\u00e0, in particolare nel contesto della gestione dei servizi e sistemi di assistenza sanitaria o sociale, compreso il trattamento di tali dati da parte della dirigenza e delle autorit\u00e0 sanitarie nazionali centrali a fini di controllo della qualit\u00e0, informazione sulla gestione e supervisione nazionale e locale generale del sistema di assistenza sanitaria o sociale, nonch\u00e9 per garantire la continuit\u00e0 dell\u2019assistenza sanitaria o sociale e dell\u2019assistenza sanitaria transfrontaliera o per finalit\u00e0 di sicurezza sanitaria, controllo e allerta o a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in base al diritto dell\u2019Unione o nazionale che deve perseguire un obiettivo di interesse pubblico, nonch\u00e9 per studi svolti nel pubblico interesse nell\u2019ambito della sanit\u00e0 pubblica. Pertanto il presente regolamento dovrebbe prevedere condizioni armonizzate per il trattamento di categorie particolari di dati personali relativi alla salute in relazione a esigenze specifiche, in particolare qualora il trattamento di tali dati sia svolto da persone vincolate dal segreto professionale per talune finalit\u00e0 connesse alla salute. Il diritto dell\u2019Unione o degli Stati membri dovrebbe prevedere misure specifiche e appropriate a protezione dei diritti fondamentali e dei dati personali delle persone fisiche. Gli Stati membri dovrebbero rimanere liberi di mantenere o introdurre ulteriori condizioni, fra cui limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute, senza tuttavia ostacolare la libera circolazione dei dati personali all\u2019interno dell\u2019Unione quando tali condizioni si applicano al trattamento transfrontaliero degli stessi.<\/li>
  54. Il trattamento di categorie particolari di dati personali pu\u00f2 essere necessario per motivi di interesse pubblico nei settori della sanit\u00e0 pubblica, senza il consenso dell\u2019interessato. Tale trattamento dovrebbe essere soggetto a misure appropriate e specifiche a tutela dei diritti e delle libert\u00e0 delle persone fisiche. In tale contesto, la nozione di \u00absanit\u00e0 pubblica\u00bb dovrebbe essere interpretata secondo la definizione del regolamento (CE) n. 1338\/2008 del Parlamento europeo e del Consiglio (11): tutti gli elementi relativi alla salute, ossia lo stato di salute, morbilit\u00e0 e disabilit\u00e0 incluse, i determinanti aventi un effetto su tale stato di salute, le necessit\u00e0 in materia di assistenza sanitaria, le risorse destinate all\u2019assistenza sanitaria, la prestazione di assistenza sanitaria e l\u2019accesso universale a essa, la spesa sanitaria e il relativo finanziamento e le cause di mortalit\u00e0. Il trattamento dei dati relativi alla salute effettuato per motivi di interesse pubblico non dovrebbe comportare il trattamento dei dati personali per altre finalit\u00e0 da parte di terzi, quali datori di lavoro, compagnie di assicurazione e istituti di credito.<\/li>
  55. Inoltre, \u00e8 effettuato per motivi di interesse pubblico il trattamento di dati personali a cura di autorit\u00e0 pubbliche allo scopo di realizzare fini, previsti dal diritto costituzionale o dal diritto internazionale pubblico, di associazioni religiose ufficialmente riconosciute.<\/li>
  56. Se, nel corso di attivit\u00e0 elettorali, il funzionamento del sistema democratico presuppone, in uno Stato membro, che i partiti politici raccolgano dati personali sulle opinioni politiche delle persone, pu\u00f2 esserne consentito il trattamento di tali dati per motivi di interesse pubblico, purch\u00e9 siano predisposte garanzie adeguate.<\/li>
  57. Se i dati personali che tratta non gli consentono di identificare una persona fisica, il titolare del trattamento non dovrebbe essere obbligato ad acquisire ulteriori informazioni per identificare l\u2019interessato al solo fine di rispettare una disposizione del presente regolamento. Tuttavia, il titolare del trattamento non dovrebbe rifiutare le ulteriori informazioni fornite dall\u2019interessato al fine di sostenere l\u2019esercizio dei suoi diritti. L\u2019identificazione dovrebbe includere l\u2019identificazione digitale di un interessato, ad esempio mediante un meccanismo di autenticazione quali le stesse credenziali, utilizzate dall\u2019interessato per l\u2019accesso (log in) al servizio on line offerto dal titolare del trattamento.<\/li>
  58. Il principio della trasparenza impone che le informazioni destinate al pubblico o all\u2019interessato siano concise, facilmente accessibili e di facile comprensione e che sia usato un linguaggio semplice e chiaro, oltre che, se del caso, una visualizzazione. Tali informazioni potrebbero essere fornite in formato elettronico, ad esempio, se destinate al pubblico, attraverso un sito web. Ci\u00f2 \u00e8 particolarmente utile in situazioni in cui la molteplicit\u00e0 degli operatori coinvolti e la complessit\u00e0 tecnologica dell\u2019operazione fanno s\u00ec che sia difficile per l\u2019interessato comprendere se, da chi e per quali finalit\u00e0 sono raccolti dati personali che lo riguardano, quali la pubblicit\u00e0 online. Dato che i minori meritano una protezione specifica, quando il trattamento dati li riguarda, qualsiasi informazione e comunicazione dovrebbe utilizzare un linguaggio semplice e chiaro che un minore possa capire facilmente.<\/li>
  59. \u00c8 opportuno prevedere modalit\u00e0 volte ad agevolare l\u2019esercizio, da parte dell\u2019interessato, dei diritti di cui al presente regolamento, compresi i meccanismi per richiedere e, se del caso, ottenere gratuitamente, in particolare l\u2019accesso ai dati, la loro rettifica e cancellazione e per esercitare il diritto di opposizione. Il titolare del trattamento dovrebbe predisporre anche i mezzi per inoltrare le richieste per via elettronica, in particolare qualora i dati personali siano trattati con mezzi elettronici. Il titolare del trattamento dovrebbe essere tenuto a rispondere alle richieste dell\u2019interessato senza ingiustificato ritardo e al pi\u00f9 tardi entro un mese e a motivare la sua eventuale intenzione di non accogliere tali richieste.<\/li>
  60. I principi di trattamento corretto e trasparente implicano che l\u2019interessato sia informato dell\u2019esistenza del trattamento e delle sue finalit\u00e0. Il titolare del trattamento dovrebbe fornire all\u2019interessato eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e del contesto specifici in cui i dati personali sono trattati. Inoltre l\u2019interessato dovrebbe essere informato dell\u2019esistenza di una profilazione e delle conseguenze della stessa. In caso di dati personali raccolti direttamente presso l\u2019interessato, questi dovrebbe inoltre essere informato dell\u2019eventuale obbligo di fornire i dati personali e delle conseguenze in cui incorre se si rifiuta di fornirli. Tali informazioni possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d\u2019insieme del trattamento previsto. Se presentate elettronicamente, le icone dovrebbero essere leggibili da dispositivo automatico.<\/li>
  61. L\u2019interessato dovrebbe ricevere le informazioni relative al trattamento di dati personali che lo riguardano al momento della raccolta presso l\u2019interessato o, se i dati sono ottenuti da altra fonte, entro un termine ragionevole, in funzione delle circostanze del caso. Se i dati personali possono essere legittimamente comunicati a un altro destinatario, l\u2019interessato dovrebbe esserne informato nel momento in cui il destinatario riceve la prima comunicazione dei dati personali. Il titolare del trattamento, qualora intenda trattare i dati personali per una finalit\u00e0 diversa da quella per cui essi sono stati raccolti, dovrebbe fornire all\u2019interessato, prima di tale ulteriore trattamento, informazioni in merito a tale finalit\u00e0 diversa e altre informazioni necessarie. Qualora non sia possibile comunicare all\u2019interessato l\u2019origine dei dati personali, perch\u00e9 sono state utilizzate varie fonti, dovrebbe essere fornita un\u2019informazione di carattere generale.<\/li>
  62. Per contro, non \u00e8 necessario imporre l\u2019obbligo di fornire l\u2019informazione se l\u2019interessato dispone gi\u00e0 dell\u2019informazione, se la registrazione o la comunicazione dei dati personali sono previste per legge o se informare l\u2019interessato si rivela impossibile o richiederebbe uno sforzo sproporzionato. Quest\u2019ultima eventualit\u00e0 potrebbe verificarsi, ad esempio, nei trattamenti eseguiti a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici. In tali casi si pu\u00f2 tener conto del numero di interessati, dell\u2019antichit\u00e0 dei dati e di eventuali garanzie adeguate in essere.<\/li>
  63. Un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che la riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceit\u00e0. Ci\u00f2 include il diritto di accedere ai dati relativi alla salute, ad esempio le cartelle mediche contenenti informazioni quali diagnosi, risultati di esami, pareri di medici curanti o eventuali terapie o interventi praticati. Ogni interessato dovrebbe pertanto avere il diritto di conoscere e ottenere comunicazioni in particolare in relazione alla finalit\u00e0 per cui i dati personali sono trattati, ove possibile al periodo in cui i dati personali sono trattati, ai destinatari dei dati personali, alla logica cui risponde qualsiasi trattamento automatizzato dei dati e, almeno quando \u00e8 basato sulla profilazione, alle possibili conseguenze di tale trattamento. Ove possibile, il titolare del trattamento dovrebbe poter fornire l\u2019accesso remoto a un sistema sicuro che consenta all\u2019interessato di consultare direttamente i propri dati personali. Tale diritto non dovrebbe ledere i diritti e le libert\u00e0 altrui, compreso il segreto industriale e aziendale e la propriet\u00e0 intellettuale, segnatamente i diritti d\u2019autore che tutelano il software. Tuttavia, tali considerazioni non dovrebbero condurre a un diniego a fornire all\u2019interessato tutte le informazioni. Se il titolare del trattamento tratta una notevole quantit\u00e0 d\u2019informazioni riguardanti l\u2019interessato, il titolare in questione dovrebbe poter richiedere che l\u2019interessato precisi, prima che siano fornite le informazioni, l\u2019informazione o le attivit\u00e0 di trattamento cui la richiesta si riferisce.<\/li>
  64. Il titolare del trattamento dovrebbe adottare tutte le misure ragionevoli per verificare l\u2019identit\u00e0 di un interessato che chieda l\u2019accesso, in particolare nel contesto di servizi online e di identificativi online. Il titolare del trattamento non dovrebbe conservare dati personali al solo scopo di poter rispondere a potenziali richieste.<\/li>
  65. Un interessato dovrebbe avere il diritto di ottenere la rettifica dei dati personali che la riguardano e il \u00abdiritto all\u2019oblio\u00bb se la conservazione di tali dati violi il presente regolamento o il diritto dell\u2019Unione o degli Stati membri cui \u00e8 soggetto il titolare del trattamento. In particolare, l\u2019interessato dovrebbe avere il diritto di chiedere che siano cancellati e non pi\u00f9 sottoposti a trattamento i propri dati personali che non siano pi\u00f9 necessari per le finalit\u00e0 per le quali sono stati raccolti o altrimenti trattati, quando abbia ritirato il proprio consenso o si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al presente regolamento. Tale diritto \u00e8 in particolare rilevante se l\u2019interessato ha prestato il proprio consenso quando era minore, e quindi non pienamente consapevole dei rischi derivanti dal trattamento, e vuole successivamente eliminare tale tipo di dati personali, in particolare da internet. L\u2019interessato dovrebbe poter esercitare tale diritto indipendentemente dal fatto che non sia pi\u00f9 un minore. Tuttavia, dovrebbe essere lecita l\u2019ulteriore conservazione dei dati personali qualora sia necessaria per esercitare il diritto alla libert\u00e0 di espressione e di informazione, per adempiere un obbligo legale, per eseguire un compito di interesse pubblico o nell\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento, per motivi di interesse pubblico nel settore della sanit\u00e0 pubblica, a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, ovvero per accertare, esercitare o difendere un diritto in sede giudiziaria.<\/li>
  66. Per rafforzare il \u00abdiritto all\u2019oblio\u00bb nell\u2019ambiente online, \u00e8 opportuno che il diritto di cancellazione sia esteso in modo tale da obbligare il titolare del trattamento che ha pubblicato dati personali a informare i titolari del trattamento che trattano tali dati personali di cancellare qualsiasi link verso tali dati personali o copia o riproduzione di detti dati personali. Nel fare ci\u00f2, \u00e8 opportuno che il titolare del trattamento adotti misure ragionevoli tenendo conto della tecnologia disponibile e dei mezzi a disposizione del titolare del trattamento, comprese misure tecniche, per informare della richiesta dell\u2019interessato i titolari del trattamento che trattano i dati personali.<\/li>
  67. Le modalit\u00e0 per limitare il trattamento dei dati personali potrebbero consistere, tra l\u2019altro, nel trasferire temporaneamente i dati selezionati verso un altro sistema di trattamento, nel rendere i dati personali selezionati inaccessibili agli utenti o nel rimuovere temporaneamente i dati pubblicati da un sito web. Negli archivi automatizzati, la limitazione del trattamento dei dati personali dovrebbe in linea di massima essere assicurata mediante dispositivi tecnici in modo tale che i dati personali non siano sottoposti a ulteriori trattamenti e non possano pi\u00f9 essere modificati. Il sistema dovrebbe indicare chiaramente che il trattamento dei dati personali \u00e8 stato limitato.<\/li>
  68. Per rafforzare ulteriormente il controllo sui propri dati \u00e8 opportuno anche che l\u2019interessato abbia il diritto, qualora i dati personali siano trattati con mezzi automatizzati, di ricevere in un formato strutturato, di uso comune, leggibile da dispositivo automatico e interoperabile i dati personali che lo riguardano che abbia fornito a un titolare del trattamento e di trasmetterli a un altro titolare del trattamento. \u00c8 opportuno incoraggiare i titolari del trattamento a sviluppare formati interoperabili che consentano la portabilit\u00e0 dei dati. Tale diritto dovrebbe applicarsi qualora l\u2019interessato abbia fornito i dati personali sulla base del proprio consenso o se il trattamento \u00e8 necessario per l\u2019esecuzione di un contratto. Non dovrebbe applicarsi qualora il trattamento si basi su un fondamento giuridico diverso dal consenso o contratto. Per sua stessa natura, tale diritto non dovrebbe essere esercitato nei confronti dei titolari del trattamento che trattano dati personali nell\u2019esercizio delle loro funzioni pubbliche. Non dovrebbe pertanto applicarsi quando il trattamento dei dati personali \u00e8 necessario per l\u2019adempimento di un obbligo legale cui \u00e8 soggetto il titolare del trattamento o per l\u2019esecuzione di un compito svolto nel pubblico interesse oppure nell\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento. Il diritto dell\u2019interessato di trasmettere o ricevere dati personali che lo riguardano non dovrebbe comportare l\u2019obbligo per i titolari del trattamento di adottare o mantenere sistemi di trattamento tecnicamente compatibili. Qualora un certo insieme di dati personali riguardi pi\u00f9 di un interessato, il diritto di ricevere i dati personali non dovrebbe pregiudicare i diritti e le libert\u00e0 degli altri interessati in ottemperanza del presente regolamento. Inoltre tale diritto non dovrebbe pregiudicare il diritto dell\u2019interessato di ottenere la cancellazione dei dati personali e le limitazioni di tale diritto di cui al presente regolamento e non dovrebbe segnatamente implicare la cancellazione dei dati personali riguardanti l\u2019interessato forniti da quest\u2019ultimo per l\u2019esecuzione di un contratto, nella misura in cui e fintantoch\u00e9 i dati personali siano necessari all\u2019esecuzione di tale contratto. Ove tecnicamente fattibile, l\u2019interessato dovrebbe avere il diritto di ottenere che i dati personali siano trasmessi direttamente da un titolare del trattamento a un altro.<\/li>
  69. Qualora i dati personali possano essere lecitamente trattati, essendo il trattamento necessario per l\u2019esecuzione di un compito svolto nel pubblico interesse oppure nell\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento, ovvero per i legittimi interessi di un titolare del trattamento o di terzi, l\u2019interessato dovrebbe comunque avere il diritto di opporsi al trattamento dei dati personali che riguardano la sua situazione particolare. \u00c8 opportuno che incomba al titolare del trattamento dimostrare che i suoi interessi legittimi cogenti prevalgono sugli interessi o sui diritti e sulle libert\u00e0 fondamentali dell\u2019interessato.<\/li>
  70. Qualora i dati personali siano trattati per finalit\u00e0 di marketing diretto, l\u2019interessato dovrebbe avere il diritto, in qualsiasi momento e gratuitamente, di opporsi a tale trattamento, sia con riguardo a quello iniziale o ulteriore, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto. Tale diritto dovrebbe essere esplicitamente portato all\u2019attenzione dell\u2019interessato e presentato chiaramente e separatamente da qualsiasi altra informazione.<\/li>
  71. L\u2019interessato dovrebbe avere il diritto di non essere sottoposto a una decisione, che possa includere una misura, che valuti aspetti personali che lo riguardano, che sia basata unicamente su un trattamento automatizzato e che produca effetti giuridici che lo riguardano o incida in modo analogo significativamente sulla sua persona, quali il rifiuto automatico di una domanda di credito online o pratiche di assunzione elettronica senza interventi umani. Tale trattamento comprende la \u00abprofilazione\u00bb, che consiste in una forma di trattamento automatizzato dei dati personali che valuta aspetti personali concernenti una persona fisica, in particolare al fine di analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l\u2019affidabilit\u00e0 o il comportamento, l\u2019ubicazione o gli spostamenti dell\u2019interessato, ove ci\u00f2 produca effetti giuridici che la riguardano o incida in modo analogo significativamente sulla sua persona. Tuttavia, \u00e8 opportuno che sia consentito adottare decisioni sulla base di tale trattamento, compresa la profilazione, se ci\u00f2 \u00e8 espressamente previsto dal diritto dell\u2019Unione o degli Stati membri cui \u00e8 soggetto il titolare del trattamento, anche a fini di monitoraggio e prevenzione delle frodi e dell\u2019evasione fiscale secondo i regolamenti, le norme e le raccomandazioni delle istituzioni dell\u2019Unione o degli organismi nazionali di vigilanza e a garanzia della sicurezza e dell\u2019affidabilit\u00e0 di un servizio fornito dal titolare del trattamento, o se \u00e8 necessario per la conclusione o l\u2019esecuzione di un contratto tra l\u2019interessato e un titolare del trattamento, o se l\u2019interessato ha espresso il proprio consenso esplicito. In ogni caso, tale trattamento dovrebbe essere subordinato a garanzie adeguate, che dovrebbero comprendere la specifica informazione all\u2019interessato e il diritto di ottenere l\u2019intervento umano, di esprimere la propria opinione, di ottenere una spiegazione della decisione conseguita dopo tale valutazione e di contestare la decisione. Tale misura non dovrebbe riguardare un minore. Al fine di garantire un trattamento corretto e trasparente nel rispetto dell\u2019interessato, tenendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati, \u00e8 opportuno che il titolare del trattamento utilizzi procedure matematiche o statistiche appropriate per la profilazione, metta in atto misure tecniche e organizzative adeguate al fine di garantire, in particolare, che siano rettificati i fattori che comportano inesattezze dei dati e sia minimizzato il rischio di errori e al fine di garantire la sicurezza dei dati personali secondo una modalit\u00e0 che tenga conto dei potenziali rischi esistenti per gli interessi e i diritti dell\u2019interessato e che impedisca tra l\u2019altro effetti discriminatori nei confronti di persone fisiche sulla base della razza o dell\u2019origine etnica, delle opinioni politiche, della religione o delle convinzioni personali, dell\u2019appartenenza sindacale, dello status genetico, dello stato di salute o dell\u2019orientamento sessuale, ovvero che comportano misure aventi tali effetti. Il processo decisionale automatizzato e la profilazione basati su categorie particolari di dati personali dovrebbero essere consentiti solo a determinate condizioni.<\/li>
  72. La profilazione \u00e8 soggetta alle norme del presente regolamento che disciplinano il trattamento dei dati personali, quali le basi giuridiche del trattamento o i principi di protezione dei dati. Il comitato europeo per la protezione dei dati istituito dal presente regolamento (\u00abcomitato\u00bb) dovrebbe poter emanare orientamenti in tale contesto.<\/li>
  73. Il diritto dell\u2019Unione o degli Stati membri pu\u00f2 imporre limitazioni a specifici principi e ai diritti di informazione, accesso, rettifica e cancellazione di dati, al diritto alla portabilit\u00e0 dei dati, al diritto di opporsi, alle decisioni basate sulla profilazione, nonch\u00e9 alla comunicazione di una violazione di dati personali all\u2019interessato e ad alcuni obblighi connessi in capo ai titolari del trattamento, ove ci\u00f2 sia necessario e proporzionato in una societ\u00e0 democratica per la salvaguardia della sicurezza pubblica, ivi comprese la tutela della vita umana, in particolare in risposta a catastrofi di origine naturale o umana, le attivit\u00e0 di prevenzione, indagine e perseguimento di reati o l\u2019esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica, o di violazioni della deontologia professionale, per la tutela di altri importanti obiettivi di interesse pubblico generale dell\u2019Unione o di uno Stato membro, tra cui un interesse economico o finanziario rilevante dell\u2019Unione o di uno Stato membro, per la tenuta di registri pubblici per ragioni di interesse pubblico generale, per l\u2019ulteriore trattamento di dati personali archiviati al fine di fornire informazioni specifiche connesse al comportamento politico sotto precedenti regimi statali totalitari o per la tutela dell\u2019interessato o dei diritti e delle libert\u00e0 altrui, compresi la protezione sociale, la sanit\u00e0 pubblica e gli scopi umanitari. Tali limitazioni dovrebbero essere conformi alla Carta e alla Convenzione europea per la salvaguardia dei diritti dell\u2019uomo e delle libert\u00e0 fondamentali.<\/li>
  74. \u00c8 opportuno stabilire la responsabilit\u00e0 generale del titolare del trattamento per qualsiasi trattamento di dati personali che quest\u2019ultimo abbia effettuato direttamente o che altri abbiano effettuato per suo conto. In particolare, il titolare del trattamento dovrebbe essere tenuto a mettere in atto misure adeguate ed efficaci ed essere in grado di dimostrare la conformit\u00e0 delle attivit\u00e0 di trattamento con il presente regolamento, compresa l\u2019efficacia delle misure. Tali misure dovrebbero tener conto della natura, dell\u2019ambito di applicazione, del contesto e delle finalit\u00e0 del trattamento, nonch\u00e9 del rischio per i diritti e le libert\u00e0 delle persone fisiche.<\/li>
  75. I rischi per i diritti e le libert\u00e0 delle persone fisiche, aventi probabilit\u00e0 e gravit\u00e0 diverse, possono derivare da trattamenti di dati personali suscettibili di cagionare un danno fisico, materiale o immateriale, in particolare: se il trattamento pu\u00f2 comportare discriminazioni, furto o usurpazione d\u2019identit\u00e0, perdite finanziarie, pregiudizio alla reputazione, perdita di riservatezza dei dati personali protetti da segreto professionale, decifratura non autorizzata della pseudonimizzazione, o qualsiasi altro danno economico o sociale significativo; se gli interessati rischiano di essere privati dei loro diritti e delle loro libert\u00e0 o venga loro impedito l\u2019esercizio del controllo sui dati personali che li riguardano; se sono trattati dati personali che rivelano l\u2019origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l\u2019appartenenza sindacale, nonch\u00e9 dati genetici, dati relativi alla salute o i dati relativi alla vita sessuale o a condanne penali e a reati o alle relative misure di sicurezza; in caso di valutazione di aspetti personali, in particolare mediante l\u2019analisi o la previsione di aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze o gli interessi personali, l\u2019affidabilit\u00e0 o il comportamento, l\u2019ubicazione o gli spostamenti, al fine di creare o utilizzare profili personali; se sono trattati dati personali di persone fisiche vulnerabili, in particolare minori; se il trattamento riguarda una notevole quantit\u00e0 di dati personali e un vasto numero di interessati.<\/li>
  76. La probabilit\u00e0 e la gravit\u00e0 del rischio per i diritti e le libert\u00e0 dell\u2019interessato dovrebbero essere determinate con riguardo alla natura, all\u2019ambito di applicazione, al contesto e alle finalit\u00e0 del trattamento. Il rischio dovrebbe essere considerato in base a una valutazione oggettiva mediante cui si stabilisce se i trattamenti di dati comportano un rischio o un rischio elevato.<\/li>
  77. Gli orientamenti per la messa in atto di opportune misure e per dimostrare la conformit\u00e0 da parte del titolare del trattamento o dal responsabile del trattamento in particolare per quanto riguarda l\u2019individuazione del rischio connesso al trattamento, la sua valutazione in termini di origine, natura, probabilit\u00e0 e gravit\u00e0, e l\u2019individuazione di migliori prassi per attenuare il rischio, potrebbero essere forniti in particolare mediante codici di condotta approvati, certificazioni approvate, linee guida fornite dal comitato o indicazioni fornite da un responsabile della protezione dei dati. Il comitato pu\u00f2 inoltre pubblicare linee guida sui trattamenti che si ritiene improbabile possano presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche e indicare quali misure possono essere sufficienti in tali casi per far fronte a tale rischio.<\/li>
  78. La tutela dei diritti e delle libert\u00e0 delle persone fisiche relativamente al trattamento dei dati personali richiede l\u2019adozione di misure tecniche e organizzative adeguate per garantire il rispetto delle disposizioni del presente regolamento. Al fine di poter dimostrare la conformit\u00e0 con il presente regolamento, il titolare del trattamento dovrebbe adottare politiche interne e attuare misure che soddisfino in particolare i principi della protezione dei dati fin dalla progettazione e della protezione dei dati di default. Tali misure potrebbero consistere, tra l\u2019altro, nel ridurre al minimo il trattamento dei dati personali, pseudonimizzare i dati personali il pi\u00f9 presto possibile, offrire trasparenza per quanto riguarda le funzioni e il trattamento di dati personali, consentire all\u2019interessato di controllare il trattamento dei dati e consentire al titolare del trattamento di creare e migliorare caratteristiche di sicurezza. In fase di sviluppo, progettazione, selezione e utilizzo di applicazioni, servizi e prodotti basati sul trattamento di dati personali o che trattano dati personali per svolgere le loro funzioni, i produttori dei prodotti, dei servizi e delle applicazioni dovrebbero essere incoraggiati a tenere conto del diritto alla protezione dei dati allorch\u00e9 sviluppano e progettano tali prodotti, servizi e applicazioni e, tenuto debito conto dello stato dell\u2019arte, a far s\u00ec che i titolari del trattamento e i responsabili del trattamento possano adempiere ai loro obblighi di protezione dei dati. I principi della protezione dei dati fin dalla progettazione e di default dovrebbero essere presi in considerazione anche nell\u2019ambito degli appalti pubblici.<\/li>
  79. La protezione dei diritti e delle libert\u00e0 degli interessati cos\u00ec come la responsabilit\u00e0 generale dei titolari del trattamento e dei responsabili del trattamento, anche in relazione al monitoraggio e alle misure delle autorit\u00e0 di controllo, esigono una chiara ripartizione delle responsabilit\u00e0 ai sensi del presente regolamento, compresi i casi in cui un titolare del trattamento stabilisca le finalit\u00e0 e i mezzi del trattamento congiuntamente con altri titolari del trattamento o quando l\u2019operazione di trattamento viene eseguita per conto del titolare del trattamento.<\/li>
  80. Quando un titolare del trattamento o un responsabile del trattamento non stabilito nell\u2019Unione tratta dati personali di interessati che si trovano nell\u2019Unione e le sue attivit\u00e0 di trattamento sono connesse all\u2019offerta di beni o alla prestazione di servizi a tali interessati nell\u2019Unione, indipendentemente dall\u2019obbligatoriet\u00e0 di un pagamento dell\u2019interessato, o al controllo del loro comportamento, nella misura in cui tale comportamento ha luogo all\u2019interno dell\u2019Unione, \u00e8 opportuno che tale titolare del trattamento o responsabile del trattamento designi un rappresentante, tranne se il trattamento \u00e8 occasionale, non include il trattamento, su larga scala, di categorie particolari di dati personali o il trattamento di dati personali relativi alle condanne penali e ai reati, ed \u00e8 improbabile che presenti un rischio per i diritti e le libert\u00e0 delle persone fisiche, tenuto conto della natura, del contesto, dell\u2019ambito di applicazione e delle finalit\u00e0 del trattamento, o se il titolare del trattamento \u00e8 un\u2019autorit\u00e0 pubblica o un organismo pubblico. Il rappresentante dovrebbe agire per conto del titolare del trattamento o del responsabile del trattamento e pu\u00f2 essere interpellato da qualsiasi autorit\u00e0 di controllo. Il rappresentante dovrebbe essere esplicitamente designato mediante mandato scritto del titolare del trattamento o del responsabile del trattamento ad agire per conto di questi ultimi con riguardo agli obblighi che a questi derivano dal presente regolamento. La designazione di tale rappresentante non incide sulla responsabilit\u00e0 generale del titolare del trattamento o del responsabile del trattamento ai sensi del presente regolamento. Tale rappresentante dovrebbe svolgere i suoi compiti nel rispetto del mandato conferitogli dal titolare del trattamento o dal responsabile del trattamento, anche per quanto riguarda la cooperazione con le autorit\u00e0 di controllo competenti per qualsiasi misura adottata al fine di garantire il rispetto del presente regolamento. Il rappresentante designato dovrebbe essere oggetto di misure attuative in caso di inadempienza da parte del titolare del trattamento o del responsabile del trattamento.<\/li>
  81. Per garantire che siano rispettate le prescrizioni del presente regolamento riguardo al trattamento che il responsabile del trattamento deve eseguire per conto del titolare del trattamento, quando affida delle attivit\u00e0 di trattamento a un responsabile del trattamento il titolare del trattamento dovrebbe ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilit\u00e0 e risorse, per mettere in atto misure tecniche e organizzative che soddisfino i requisiti del presente regolamento, anche per la sicurezza del trattamento. L\u2019applicazione da parte del responsabile del trattamento di un codice di condotta approvato o di un meccanismo di certificazione approvato pu\u00f2 essere utilizzata come elemento per dimostrare il rispetto degli obblighi da parte del titolare del trattamento. L\u2019esecuzione dei trattamenti da parte di un responsabile del trattamento dovrebbe essere disciplinata da un contratto o da altro atto giuridico a norma del diritto dell\u2019Unione o degli Stati membri che vincoli il responsabile del trattamento al titolare del trattamento, in cui siano stipulati la materia disciplinata e la durata del trattamento, la natura e le finalit\u00e0 del trattamento, il tipo di dati personali e le categorie di interessati, tenendo conto dei compiti e responsabilit\u00e0 specifici del responsabile del trattamento nel contesto del trattamento da eseguire e del rischio in relazione ai diritti e alle libert\u00e0 dell\u2019interessato. Il titolare del trattamento e il responsabile del trattamento possono scegliere di usare un contratto individuale o clausole contrattuali tipo che sono adottate direttamente dalla Commissione oppure da un\u2019autorit\u00e0 di controllo in conformit\u00e0 del meccanismo di coerenza e successivamente dalla Commissione. Dopo il completamento del trattamento per conto del titolare del trattamento, il responsabile del trattamento dovrebbe, a scelta del titolare del trattamento, restituire o cancellare i dati personali salvo che il diritto dell\u2019Unione o degli Stati membri cui \u00e8 soggetto il responsabile del trattamento prescriva la conservazione dei dati personali.<\/li>
  82. Per dimostrare che si conforma al presente regolamento, il titolare del trattamento o il responsabile del trattamento dovrebbe tenere un registro delle attivit\u00e0 di trattamento effettuate sotto la sua responsabilit\u00e0. Sarebbe necessario obbligare tutti i titolari del trattamento e i responsabili del trattamento a cooperare con l\u2019autorit\u00e0 di controllo e a mettere, su richiesta, detti registri a sua disposizione affinch\u00e9 possano servire per monitorare detti trattamenti.<\/li>
  83. Per mantenere la sicurezza e prevenire trattamenti in violazione al presente regolamento, il titolare del trattamento o il responsabile del trattamento dovrebbe valutare i rischi inerenti al trattamento e attuare misure per limitare tali rischi, quali la cifratura. Tali misure dovrebbero assicurare un adeguato livello di sicurezza, inclusa la riservatezza, tenuto conto dello stato dell\u2019arte e dei costi di attuazione rispetto ai rischi che presentano i trattamenti e alla natura dei dati personali da proteggere. Nella valutazione del rischio per la sicurezza dei dati \u00e8 opportuno tenere in considerazione i rischi presentati dal trattamento dei dati personali, come la distruzione accidentale o illegale, la perdita, la modifica, la rivelazione o l\u2019accesso non autorizzati a dati personali trasmessi, conservati o comunque elaborati, che potrebbero cagionare in particolare un danno fisico, materiale o immateriale.<\/li>
  84. Per potenziare il rispetto del presente regolamento qualora i trattamenti possano presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento dovrebbe essere responsabile dello svolgimento di una valutazione d\u2019impatto sulla protezione dei dati per determinare, in particolare, l\u2019origine, la natura, la particolarit\u00e0 e la gravit\u00e0 di tale rischio. L\u2019esito della valutazione dovrebbe essere preso in considerazione nella determinazione delle opportune misure da adottare per dimostrare che il trattamento dei dati personali rispetta il presente regolamento. Laddove la valutazione d\u2019impatto sulla protezione dei dati indichi che i trattamenti presentano un rischio elevato che il titolare del trattamento non pu\u00f2 attenuare mediante misure opportune in termini di tecnologia disponibile e costi di attuazione, prima del trattamento si dovrebbe consultare l\u2019autorit\u00e0 di controllo.<\/li>
  85. Una violazione dei dati personali pu\u00f2, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone fisiche, ad esempio perdita del controllo dei dati personali che li riguardano o limitazione dei loro diritti, discriminazione, furto o usurpazione d\u2019identit\u00e0, perdite finanziarie, decifratura non autorizzata della pseudonimizzazione, pregiudizio alla reputazione, perdita di riservatezza dei dati personali protetti da segreto professionale o qualsiasi altro danno economico o sociale significativo alla persona fisica interessata. Pertanto, non appena viene a conoscenza di un\u2019avvenuta violazione dei dati personali, il titolare del trattamento dovrebbe notificare la violazione dei dati personali all\u2019autorit\u00e0 di controllo competente, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne \u00e8 venuto a conoscenza, a meno che il titolare del trattamento non sia in grado di dimostrare che, conformemente al principio di responsabilizzazione, \u00e8 improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libert\u00e0 delle persone fisiche. Oltre il termine di 72 ore, tale notifica dovrebbe essere corredata delle ragioni del ritardo e le informazioni potrebbero essere fornite in fasi successive senza ulteriore ingiustificato ritardo.<\/li>
  86. Il titolare del trattamento dovrebbe comunicare all\u2019interessato la violazione dei dati personali senza indebito ritardo, qualora questa violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libert\u00e0 della persona fisica, al fine di consentirgli di prendere le precauzioni necessarie. La comunicazione dovrebbe descrivere la natura della violazione dei dati personali e formulare raccomandazioni per la persona fisica interessata intese ad attenuare i potenziali effetti negativi. Tali comunicazioni agli interessati dovrebbero essere effettuate non appena ragionevolmente possibile e in stretta collaborazione con l\u2019autorit\u00e0 di controllo e nel rispetto degli orientamenti impartiti da questa o da altre autorit\u00e0 competenti quali le autorit\u00e0 incaricate dell\u2019applicazione della legge. Ad esempio, la necessit\u00e0 di attenuare un rischio immediato di danno richiederebbe che la comunicazione agli interessati fosse tempestiva, ma la necessit\u00e0 di attuare opportune misure per contrastare violazioni di dati personali ripetute o analoghe potrebbe giustificare tempi pi\u00f9 lunghi per la comunicazione.<\/li>
  87. \u00c8 opportuno verificare se siano state messe in atto tutte le misure tecnologiche e organizzative adeguate di protezione per stabilire immediatamente se c\u2019\u00e8 stata violazione dei dati personali e informare tempestivamente l\u2019autorit\u00e0 di controllo e l\u2019interessato. \u00c8 opportuno stabilire il fatto che la notifica sia stata trasmessa senza ingiustificato ritardo, tenendo conto in particolare della natura e della gravit\u00e0 della violazione dei dati personali e delle sue conseguenze e effetti negativi per l\u2019interessato. Siffatta notifica pu\u00f2 dar luogo a un intervento dell\u2019autorit\u00e0 di controllo nell\u2019ambito dei suoi compiti e poteri previsti dal presente regolamento.<\/li>
  88. Nel definire modalit\u00e0 dettagliate relative al formato e alle procedure applicabili alla notifica delle violazioni di dati personali, \u00e8 opportuno tenere debitamente conto delle circostanze di tale violazione, ad esempio stabilire se i dati personali fossero o meno protetti con misure tecniche adeguate di protezione atte a limitare efficacemente il rischio di furto d\u2019identit\u00e0 o altre forme di abuso. Inoltre, \u00e8 opportuno che tali modalit\u00e0 e procedure tengano conto dei legittimi interessi delle autorit\u00e0 incaricate dell\u2019applicazione della legge, qualora una divulgazione prematura possa ostacolare inutilmente l\u2019indagine sulle circostanze di una violazione di dati personali.<\/li>
  89. La direttiva 95\/46\/CE ha introdotto un obbligo generale di notificare alle autorit\u00e0 di controllo il trattamento dei dati personali. Mentre tale obbligo comporta oneri amministrativi e finanziari, non ha sempre contribuito a migliorare la protezione dei dati personali. \u00c8 pertanto opportuno abolire tali obblighi generali e indiscriminati di notifica e sostituirli con meccanismi e procedure efficaci che si concentrino piuttosto su quei tipi di trattamenti che potenzialmente presentano un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche, per loro natura, ambito di applicazione, contesto e finalit\u00e0. Tali tipi di trattamenti includono, in particolare, quelli che comportano l\u2019utilizzo di nuove tecnologie o quelli che sono di nuovo tipo e in relazione ai quali il titolare del trattamento non ha ancora effettuato una valutazione d\u2019impatto sulla protezione dei dati, o la valutazione d\u2019impatto sulla protezione dei dati si riveli necessaria alla luce del tempo trascorso dal trattamento iniziale.<\/li>
  90. In tali casi, \u00e8 opportuno che il titolare del trattamento effettui una valutazione d\u2019impatto sulla protezione dei dati prima del trattamento, per valutare la particolare probabilit\u00e0 e gravit\u00e0 del rischio, tenuto conto della natura, dell\u2019ambito di applicazione, del contesto e delle finalit\u00e0 del trattamento e delle fonti di rischio. La valutazione di impatto dovrebbe vertere, in particolare, anche sulle misure, sulle garanzie e sui meccanismi previsti per attenuare tale rischio assicurando la protezione dei dati personali e dimostrando la conformit\u00e0 al presente regolamento.<\/li>
  91. Ci\u00f2 dovrebbe applicarsi in particolare ai trattamenti su larga scala, che mirano al trattamento di una notevole quantit\u00e0 di dati personali a livello regionale, nazionale o sovranazionale e che potrebbero incidere su un vasto numero di interessati e che potenzialmente presentano un rischio elevato, ad esempio, data la loro sensibilit\u00e0, laddove, in conformit\u00e0 con il grado di conoscenze tecnologiche raggiunto, si utilizzi una nuova tecnologia su larga scala, nonch\u00e9 ad altri trattamenti che presentano un rischio elevato per i diritti e le libert\u00e0 degli interessati, specialmente qualora tali trattamenti rendano pi\u00f9 difficoltoso, per gli interessati, l\u2019esercizio dei propri diritti. \u00c8 opportuno altres\u00ec effettuare una valutazione d\u2019impatto sulla protezione dei dati nei casi in cui i dati personali sono trattati per adottare decisioni riguardanti determinate persone fisiche in seguito a una valutazione sistematica e globale di aspetti personali relativi alle persone fisiche, basata sulla profilazione di tali dati, o in seguito al trattamento di categorie particolari di dati personali, dati biometrici o dati relativi a condanne penali e reati o a connesse misure di sicurezza. Una valutazione d\u2019impatto sulla protezione dei dati \u00e8 altres\u00ec richiesta per la sorveglianza di zone accessibili al pubblico su larga scala, in particolare se effettuata mediante dispositivi optoelettronici, o per altri trattamenti che l\u2019autorit\u00e0 di controllo competente ritiene possano presentare un rischio elevato per i diritti e le libert\u00e0 degli interessati, specialmente perch\u00e9 impediscono a questi ultimi di esercitare un diritto o di avvalersi di un servizio o di un contratto, oppure perch\u00e9 sono effettuati sistematicamente su larga scala. Il trattamento di dati personali non dovrebbe essere considerato un trattamento su larga scala qualora riguardi dati personali di pazienti o clienti da parte di un singolo medico, operatore sanitario o avvocato. In tali casi non dovrebbe essere obbligatorio procedere a una valutazione d\u2019impatto sulla protezione dei dati.<\/li>
  92. Vi sono circostanze in cui pu\u00f2 essere ragionevole ed economico effettuare una valutazione d\u2019impatto sulla protezione dei dati che verta su un oggetto pi\u00f9 ampio di un unico progetto, per esempio quando autorit\u00e0 pubbliche o enti pubblici intendono istituire un\u2019applicazione o una piattaforma di trattamento comuni o quando diversi titolari del trattamento progettano di introdurre un\u2019applicazione o un ambiente di trattamento comuni in un settore o segmento industriale o per una attivit\u00e0 trasversale ampiamente utilizzata.<\/li>
  93. In vista dell\u2019adozione della legge degli Stati membri che disciplina i compiti dell\u2019autorit\u00e0 pubblica o dell\u2019organismo pubblico e lo specifico trattamento o insieme di trattamenti, gli Stati membri possono ritenere necessario effettuare tale valutazione prima di procedere alle attivit\u00e0 di trattamento.<\/li>
  94. Se dalla valutazione d\u2019impatto sulla protezione dei dati risulta che il trattamento, in mancanza delle garanzie, delle misure di sicurezza e dei meccanismi per attenuare il rischio, presenterebbe un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche e il titolare del trattamento \u00e8 del parere che il rischio non possa essere ragionevolmente attenuato in termini di tecnologie disponibili e costi di attuazione, \u00e8 opportuno consultare l\u2019autorit\u00e0 di controllo prima dell\u2019inizio delle attivit\u00e0 di trattamento. Tale rischio elevato potrebbe scaturire da certi tipi di trattamento e dall\u2019estensione e frequenza del trattamento, da cui potrebbe derivare altres\u00ec un danno o un\u2019interferenza con i diritti e le libert\u00e0 della persona fisica. L\u2019autorit\u00e0 di controllo che riceve una richiesta di consultazione dovrebbe darvi seguito entro un termine determinato. Tuttavia, la mancanza di reazione dell\u2019autorit\u00e0 di controllo entro tale termine dovrebbe far salvo ogni intervento della stessa nell\u2019ambito dei suoi compiti e poteri previsti dal presente regolamento, compreso il potere di vietare i trattamenti. Nell\u2019ambito di tale processo di consultazione, pu\u00f2 essere presentato all\u2019autorit\u00e0 di controllo il risultato di una valutazione d\u2019impatto sulla protezione dei dati effettuata riguardo al trattamento in questione, in particolare le misure previste per attenuare il rischio per i diritti e le libert\u00e0 delle persone fisiche.<\/li>
  95. Il responsabile del trattamento, se necessario e su richiesta, dovrebbe assistere il titolare del trattamento nel garantire il rispetto degli obblighi derivanti dallo svolgimento di una valutazione d\u2019impatto sulla protezione dei dati e dalla previa consultazione dell\u2019autorit\u00e0 di controllo.<\/li>
  96. L\u2019autorit\u00e0 di controllo dovrebbe essere altres\u00ec consultata durante l\u2019elaborazione di una misura legislativa o regolamentare che prevede il trattamento di dati personali al fine di garantire che il trattamento previsto rispetti il presente regolamento e, in particolare, che si attenui il rischio per l\u2019interessato.<\/li>
  97. Per i trattamenti effettuati da un\u2019autorit\u00e0 pubblica, eccettuate le autorit\u00e0 giurisdizionali o autorit\u00e0 giudiziarie indipendenti quando esercitano le loro funzioni giurisdizionali, o per i trattamenti effettuati nel settore privato da un titolare del trattamento le cui attivit\u00e0 principali consistono in trattamenti che richiedono un monitoraggio regolare e sistematico degli interessati su larga scala, o ove le attivit\u00e0 principali del titolare del trattamento o del responsabile del trattamento consistano nel trattamento su larga scala di categorie particolari di dati personali e di dati relativi alle condanne penali e ai reati, il titolare del trattamento o il responsabile del trattamento dovrebbe essere assistito da una persona che abbia una conoscenza specialistica della normativa e delle pratiche in materia di protezione dei dati nel controllo del rispetto a livello interno del presente regolamento. Nel settore privato le attivit\u00e0 principali del titolare del trattamento riguardano le sue attivit\u00e0 primarie ed esulano dal trattamento dei dati personali come attivit\u00e0 accessoria. Il livello necessario di conoscenza specialistica dovrebbe essere determinato in particolare in base ai trattamenti di dati effettuati e alla protezione richiesta per i dati personali trattati dal titolare del trattamento o dal responsabile del trattamento. Tali responsabili della protezione dei dati, dipendenti o meno del titolare del trattamento, dovrebbero poter adempiere alle funzioni e ai compiti loro incombenti in maniera indipendente.<\/li>
  98. Le associazioni o altre organizzazioni rappresentanti le categorie di titolari del trattamento o di responsabili del trattamento dovrebbero essere incoraggiate a elaborare codici di condotta, nei limiti del presente regolamento, in modo da facilitarne l\u2019effettiva applicazione, tenendo conto delle caratteristiche specifiche dei trattamenti effettuati in alcuni settori e delle esigenze specifiche delle microimprese e delle piccole e medie imprese. In particolare, tali codici di condotta potrebbero calibrare gli obblighi dei titolari del trattamento e dei responsabili del trattamento, tenuto conto del potenziale rischio del trattamento per i diritti e le libert\u00e0 delle persone fisiche.<\/li>
  99. Nell\u2019elaborare un codice di condotta, o nel modificare o prorogare tale codice, le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o di responsabili del trattamento dovrebbero consultare le parti interessate pertinenti, compresi, quando possibile, gli interessati, e tener conto delle osservazioni ricevute e delle opinioni espresse in riscontro a tali consultazioni.<\/li>
  100. Al fine di migliorare la trasparenza e il rispetto del presente regolamento dovrebbe essere incoraggiata l\u2019istituzione di meccanismi di certificazione e sigilli nonch\u00e9 marchi di protezione dei dati che consentano agli interessati di valutare rapidamente il livello di protezione dei dati dei relativi prodotti e servizi.<\/li>
  101. I flussi di dati personali verso e da paesi al di fuori dell\u2019Unione e organizzazioni internazionali sono necessari per l\u2019espansione del commercio internazionale e della cooperazione internazionale. L\u2019aumento di tali flussi ha posto nuove sfide e problemi riguardanti la protezione dei dati personali. \u00c8 opportuno per\u00f2 che, quando i dati personali sono trasferiti dall\u2019Unione a titolari del trattamento e responsabili del trattamento o altri destinatari in paesi terzi o a organizzazioni internazionali, il livello di tutela delle persone fisiche assicurato nell\u2019Unione dal presente regolamento non sia compromesso, anche nei casi di trasferimenti successivi dei dati personali dal paese terzo o dall\u2019organizzazione internazionale verso titolari del trattamento e responsabili del trattamento nello stesso o in un altro paese terzo o presso un\u2019altra organizzazione internazionale. In ogni caso, i trasferimenti verso paesi terzi e organizzazioni internazionali potrebbero essere effettuati soltanto nel pieno rispetto del presente regolamento. Il trasferimento potrebbe aver luogo soltanto se, fatte salve le altre disposizioni del presente regolamento, il titolare del trattamento o il responsabile del trattamento rispetta le condizioni stabilite dalle disposizioni del presente regolamento in relazione al trasferimento di dati personali verso paesi terzi o organizzazioni internazionali.<\/li>
  102. Il presente regolamento lascia impregiudicate le disposizioni degli accordi internazionali conclusi tra l\u2019Unione e i paesi terzi che disciplinano il trasferimento di dati personali, comprese adeguate garanzie per gli interessati. Gli Stati membri possono concludere accordi internazionali che implicano il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, purch\u00e9 tali accordi non incidano sul presente regolamento o su qualsiasi altra disposizione del diritto dell\u2019Unione e includano un adeguato livello di protezione per i diritti fondamentali degli interessati.<\/li>
  103. La Commissione pu\u00f2 decidere, con effetto nell\u2019intera Unione, che un paese terzo, un territorio o un settore specifico all\u2019interno di un paese terzo, o un\u2019organizzazione internazionale offrono un livello adeguato di protezione dei dati, garantendo in tal modo la certezza del diritto e l\u2019uniformit\u00e0 in tutta l\u2019Unione nei confronti del paese terzo o dell\u2019organizzazione internazionale che si ritiene offra tale livello di protezione. In tali casi, i trasferimenti di dati personali verso tale paese terzo od organizzazione internazionale possono avere luogo senza ulteriori autorizzazioni. La Commissione pu\u00f2 inoltre decidere, dopo aver fornito una dichiarazione completa che illustra le motivazioni al paese terzo o all\u2019organizzazione internazionale, di revocare una tale decisione.<\/li>
  104. In linea con i valori fondamentali su cui \u00e8 fondata l\u2019Unione, in particolare la tutela dei diritti dell\u2019uomo, \u00e8 opportuno che la Commissione, nella sua valutazione del paese terzo, o di un territorio o di un settore specifico all\u2019interno di un paese terzo, tenga conto del modo in cui tale paese rispetta lo stato di diritto, l\u2019accesso alla giustizia e le norme e gli standard internazionali in materia di diritti dell\u2019uomo, nonch\u00e9 la legislazione generale e settoriale riguardante segnatamente la sicurezza pubblica, la difesa e la sicurezza nazionale, come pure l\u2019ordine pubblico e il diritto penale. L\u2019adozione di una decisione di adeguatezza nei confronti di un territorio o di un settore specifico all\u2019interno di un paese terzo dovrebbe prendere in considerazione criteri chiari e obiettivi come specifiche attivit\u00e0 di trattamento e l\u2019ambito di applicazione delle norme giuridiche e degli atti legislativi applicabili in vigore nel paese terzo. Il paese terzo dovrebbe offrire garanzie di un adeguato livello di protezione sostanzialmente equivalente a quello assicurato all\u2019interno dell\u2019Unione, segnatamente quando i dati personali sono trattati in uno o pi\u00f9 settori specifici. In particolare, il paese terzo dovrebbe assicurare un effettivo controllo indipendente della protezione dei dati e dovrebbe prevedere meccanismi di cooperazione con autorit\u00e0 di protezione dei dati degli Stati membri e agli interessati dovrebbero essere riconosciuti diritti effettivi e azionabili e un mezzo di ricorso effettivo in sede amministrativa e giudiziale.<\/li>
  105. Al di l\u00e0 degli impegni internazionali che il paese terzo o l\u2019organizzazione internazionale hanno assunto, la Commissione dovrebbe tenere in considerazione gli obblighi derivanti dalla partecipazione del paese terzo o dell\u2019organizzazione internazionale a sistemi multilaterali o regionali, soprattutto in relazione alla protezione dei dati personali, nonch\u00e9 all\u2019attuazione di tali obblighi. In particolare si dovrebbe tenere in considerazione l\u2019adesione dei paesi terzi alla convenzione del Consiglio d\u2019Europa, del 28 gennaio 1981, sulla protezione delle persone rispetto al trattamento automatizzato di dati di carattere personale e relativo protocollo addizionale. La Commissione, nel valutare l\u2019adeguatezza del livello di protezione nei paesi terzi o nelle organizzazioni internazionali, dovrebbe consultare il comitato.<\/li>
  106. \u00c8 opportuno che la Commissione controlli il funzionamento delle decisioni sul livello di protezione in un paese terzo, in un territorio o settore specifico all\u2019interno di un paese terzo, o un\u2019organizzazione internazionale, e monitorare il funzionamento delle decisioni adottate sulla base dell\u2019articolo 25, paragrafo 6, o dell\u2019articolo 26, paragrafo 4, della direttiva 95\/46\/CE. Nella sua decisione di adeguatezza, la Commissione dovrebbe prevedere un meccanismo di riesame periodico del loro funzionamento. Tale riesame periodico dovrebbe essere effettuato in consultazione con il paese terzo o l\u2019organizzazione internazionale in questione e tenere conto di tutti gli sviluppi pertinenti nel paese terzo o nell\u2019organizzazione internazionale. Ai fini del controllo e dello svolgimento dei riesami periodici, la Commissione dovrebbe tener conto delle posizioni e delle conclusioni del Parlamento europeo e del Consiglio, nonch\u00e9 di altri organismi e fonti pertinenti. La Commissione dovrebbe valutare, entro un termine ragionevole, il funzionamento di tali ultime decisioni e riferire eventuali riscontri pertinenti al comitato ai sensi del regolamento (UE) n. 182\/2011 del Parlamento europeo e del Consiglio (12), come stabilito a norma del presente regolamento, al Parlamento europeo e al Consiglio.<\/li>
  107. La Commissione pu\u00f2 riconoscere che un paese terzo, un territorio o un settore specifico all\u2019interno di un paese terzo, o un\u2019organizzazione internazionale non garantiscono pi\u00f9 un livello adeguato di protezione dei dati. Di conseguenza il trasferimento di dati personali verso tale paese terzo od organizzazione internazionale dovrebbe essere vietato, a meno che non siano soddisfatti i requisiti di cui al presente regolamento relativamente ai trasferimenti sottoposti a garanzie adeguate, comprese norme vincolanti d\u2019impresa, e a deroghe per situazioni particolari. In tal caso \u00e8 opportuno prevedere consultazioni tra la Commissione e detti paesi terzi o organizzazioni internazionali. La Commissione dovrebbe informare tempestivamente il paese terzo o l\u2019organizzazione internazionale dei motivi e avviare consultazioni con questi al fine di risolvere la situazione.<\/li>
  108. In mancanza di una decisione di adeguatezza, il titolare del trattamento o il responsabile del trattamento dovrebbe provvedere a compensare la carenza di protezione dei dati in un paese terzo con adeguate garanzie a tutela dell\u2019interessato. Tali adeguate garanzie possono consistere nell\u2019applicazione di norme vincolanti d\u2019impresa, clausole tipo di protezione dei dati adottate dalla Commissione, clausole tipo di protezione dei dati adottate da un\u2019autorit\u00e0 di controllo o clausole contrattuali autorizzate da un\u2019autorit\u00e0 di controllo. Tali garanzie dovrebbero assicurare un rispetto dei requisiti in materia di protezione dei dati e dei diritti degli interessati adeguato ai trattamenti all\u2019interno dell\u2019Unione, compresa la disponibilit\u00e0 di diritti azionabili degli interessati e di mezzi di ricorso effettivi, fra cui il ricorso effettivo in sede amministrativa o giudiziale e la richiesta di risarcimento, nell\u2019Unione o in un paese terzo. Esse dovrebbero riguardare, in particolare, la conformit\u00e0 rispetto ai principi generali in materia di trattamento dei dati personali e ai principi di protezione dei dati fin dalla progettazione e di protezione dei dati di default. I trasferimenti possono essere effettuati anche da autorit\u00e0 pubbliche o organismi pubblici ad autorit\u00e0 pubbliche o organismi pubblici di paesi terzi, o organizzazioni internazionali con analoghi compiti o funzioni, anche sulla base di disposizioni da inserire in accordi amministrativi, quali un memorandum d\u2019intesa, che prevedano per gli interessati diritti effettivi e azionabili. L\u2019autorizzazione dell\u2019autorit\u00e0 di controllo competente dovrebbe essere ottenuta quando le garanzie sono offerte nell\u2019ambito di accordi amministrativi giuridicamente non vincolanti.<\/li>
  109. La possibilit\u00e0 che il titolare del trattamento o il responsabile del trattamento utilizzi clausole tipo di protezione dei dati adottate dalla Commissione o da un\u2019autorit\u00e0 di controllo non dovrebbe precludere ai titolari del trattamento o ai responsabili del trattamento la possibilit\u00e0 di includere tali clausole tipo in un contratto pi\u00f9 ampio, anche in un contratto tra il responsabile del trattamento e un altro responsabile del trattamento, n\u00e9 di aggiungere altre clausole o garanzie supplementari, purch\u00e9 non contraddicano, direttamente o indirettamente, le clausole contrattuali tipo adottate dalla Commissione o da un\u2019autorit\u00e0 di controllo o ledano i diritti o le libert\u00e0 fondamentali degli interessati. I titolari del trattamento e i responsabili del trattamento dovrebbero essere incoraggiati a fornire garanzie supplementari attraverso impegni contrattuali che integrino le clausole tipo di protezione.<\/li>
  110. Un gruppo imprenditoriale o un gruppo di imprese che svolge un\u2019attivit\u00e0 economica comune dovrebbe poter applicare le norme vincolanti d\u2019impresa approvate per i trasferimenti internazionali dall\u2019Unione agli organismi dello stesso gruppo imprenditoriale o gruppo d\u2019imprese che svolge un\u2019attivit\u00e0 economica comune, purch\u00e9 tali norme contemplino tutti i principi fondamentali e diritti azionabili che costituiscano adeguate garanzie per i trasferimenti o categorie di trasferimenti di dati personali.<\/li>
  111. \u00c8 opportuno prevedere la possibilit\u00e0 di trasferire dati in alcune circostanze se l\u2019interessato ha esplicitamente acconsentito, se il trasferimento \u00e8 occasionale e necessario in relazione a un contratto o un\u2019azione legale, che sia in sede giudiziale, amministrativa o stragiudiziale, compresi i procedimenti dinanzi alle autorit\u00e0 di regolamentazione. \u00c8 altres\u00ec opportuno prevedere la possibilit\u00e0 di trasferire dati se sussistono motivi di rilevante interesse pubblico previsti dal diritto dell\u2019Unione o degli Stati membri o se i dati sono trasferiti da un registro stabilito per legge e destinato a essere consultato dal pubblico o dalle persone aventi un legittimo interesse. In quest\u2019ultimo caso, il trasferimento non dovrebbe riguardare la totalit\u00e0 dei dati personali o delle categorie di dati contenuti nel registro; inoltre, quando il registro \u00e8 destinato a essere consultato dalle persone aventi un legittimo interesse, i dati possono essere trasferiti soltanto se tali persone lo richiedono o ne sono destinatarie, tenendo pienamente conto degli interessi e dei diritti fondamentali dell\u2019interessato.<\/li>
  112. Tali deroghe dovrebbero in particolare valere per i trasferimenti di dati richiesti e necessari per importanti motivi di interesse pubblico, ad esempio nel caso di scambio internazionale di dati tra autorit\u00e0 garanti della concorrenza, amministrazioni fiscali o doganali, autorit\u00e0 di controllo finanziario, servizi competenti in materia di sicurezza sociale o sanit\u00e0 pubblica, ad esempio in caso di ricerca di contatti per malattie contagiose o al fine di ridurre e\/o eliminare il doping nello sport. Il trasferimento di dati personali dovrebbe essere altres\u00ec considerato lecito quando \u00e8 necessario per salvaguardare un interesse che \u00e8 essenziale per gli interessi vitali dell\u2019interessato o di un\u2019altra persona, comprese la vita o l\u2019integrit\u00e0 fisica, qualora l\u2019interessato si trovi nell\u2019incapacit\u00e0 di prestare il proprio consenso. In mancanza di una decisione di adeguatezza, il diritto dell\u2019Unione o degli Stati membri pu\u00f2, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un\u2019organizzazione internazionale. Gli Stati membri dovrebbero notificare tali disposizioni alla Commissione. Qualunque trasferimento a un\u2019organizzazione internazionale umanitaria di dati personali di un interessato che si trovi nell\u2019incapacit\u00e0 fisica o giuridica di prestare il proprio consenso ai fini dell\u2019esecuzione di un compito derivante dalle convenzioni di Ginevra o al fine di rispettare il diritto internazionale umanitario applicabile nei conflitti armati potrebbe essere considerato necessario per importanti motivi di interesse pubblico o nell\u2019interesse vitale dell\u2019interessato.<\/li>
  113. Potrebbero altres\u00ec essere autorizzati i trasferimenti qualificabili come non ripetitivi e riguardanti soltanto un numero limitato di interessati ai fini del perseguimento degli interessi legittimi cogenti del titolare del trattamento, a meno che non prevalgano gli interessi o i diritti e le libert\u00e0 dell\u2019interessato e qualora il titolare del trattamento abbia valutato tutte le circostanze relative al trasferimento. Il titolare del trattamento dovrebbe considerare con particolare attenzione la natura dei dati personali, la finalit\u00e0 e la durata del trattamento o dei trattamenti proposti, nonch\u00e9 la situazione nel paese d\u2019origine, nel paese terzo e nel paese di destinazione finale, e dovrebbe offrire garanzie adeguate per la tutela dei diritti e delle libert\u00e0 fondamentali delle persone fisiche con riguardo al trattamento dei loro dati personali. Tali trasferimenti dovrebbero essere ammessi soltanto nei casi residui in cui nessuno degli altri presupposti per il trasferimento \u00e8 applicabile. Per finalit\u00e0 di ricerca scientifica o storica o a fini statistici, \u00e8 opportuno tener conto delle legittime aspettative della societ\u00e0 nei confronti di un miglioramento delle conoscenze. Il titolare del trattamento dovrebbe informare l\u2019autorit\u00e0 di controllo e l\u2019interessato in merito al trasferimento.<\/li>
  114. In ogni caso, se la Commissione non ha adottato alcuna decisione circa il livello adeguato di protezione dei dati di un paese terzo, il titolare del trattamento o il responsabile del trattamento dovrebbe ricorrere a soluzioni che diano all\u2019interessato diritti effettivi e azionabili in relazione al trattamento dei suoi dati personali nell\u2019Unione, dopo il trasferimento, cos\u00ec da continuare a beneficiare dei diritti fondamentali e delle garanzie.<\/li>
  115. Alcuni paesi terzi adottano leggi, regolamenti e altri atti normativi finalizzati a disciplinare direttamente le attivit\u00e0 di trattamento di persone fisiche e giuridiche poste sotto la giurisdizione degli Stati membri. Essi possono includere le sentenze di autorit\u00e0 giurisdizionali o le decisioni di autorit\u00e0 amministrative di paesi terzi che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento e non sono basate su un accordo internazionale in vigore tra il paese terzo richiedente e l\u2019Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria. L\u2019applicazione extraterritoriale di tali leggi, regolamenti e altri atti normativi potrebbe essere contraria al diritto internazionale e ostacolare il conseguimento della protezione delle persone fisiche assicurata nell\u2019Unione con il presente regolamento. I trasferimenti dovrebbero quindi essere consentiti solo se ricorrono le condizioni previste dal presente regolamento per i trasferimenti a paesi terzi. Ci\u00f2 vale, tra l\u2019altro, quando la comunicazione \u00e8 necessaria per un rilevante motivo di interesse pubblico riconosciuto dal diritto dell\u2019Unione o degli Stati membri cui \u00e8 soggetto il titolare del trattamento.<\/li>
  116. Con i trasferimenti transfrontalieri di dati personali al di fuori dell\u2019Unione potrebbe aumentare il rischio che la persona fisica non possa esercitare il proprio diritto alla protezione dei dati, in particolare per tutelarsi da usi o comunicazioni illeciti di tali informazioni. Allo stesso tempo, le autorit\u00e0 di controllo possono concludere di non essere in grado di dar corso ai reclami o svolgere indagini relative ad attivit\u00e0 condotte oltre frontiera. I loro sforzi di collaborazione nel contesto transfrontaliero possono anche essere ostacolati dall\u2019insufficienza di poteri per prevenire e correggere, da regimi giuridici incoerenti e da difficolt\u00e0 pratiche quali la limitatezza delle risorse disponibili. Pertanto vi \u00e8 la necessit\u00e0 di promuovere una pi\u00f9 stretta cooperazione tra le autorit\u00e0 di controllo della protezione dei dati affinch\u00e9 possano scambiare informazioni e condurre indagini di concerto con le loro controparti internazionali. Al fine di sviluppare meccanismi di cooperazione internazionale per agevolare e prestare mutua assistenza a livello internazionale nell\u2019applicazione della legislazione sulla protezione dei dati personali, la Commissione e le autorit\u00e0 di controllo dovrebbero scambiare informazioni e cooperare, nell\u2019ambito di attivit\u00e0 connesse con l\u2019esercizio dei loro poteri, con le autorit\u00e0 competenti in paesi terzi, sulla base della reciprocit\u00e0 e in conformit\u00e0 del presente regolamento.<\/li>
  117. L\u2019istituzione di autorit\u00e0 di controllo a cui \u00e8 conferito il potere di eseguire i loro compiti ed esercitare i loro poteri in totale indipendenza in ciascuno Stato membro \u00e8 un elemento essenziale della protezione delle persone fisiche con riguardo al trattamento dei loro dati personali. Gli Stati membri dovrebbero poter istituire pi\u00f9 di una autorit\u00e0 di controllo, al fine di rispecchiare la loro struttura costituzionale, organizzativa e amministrativa.<\/li>
  118. L\u2019indipendenza delle autorit\u00e0 di controllo non dovrebbe significare che tali autorit\u00e0 non possano essere assoggettate a meccanismi di controllo o monitoraggio con riguardo alle loro spese o a controllo giurisdizionale.<\/li>
  119. Laddove siano istituite pi\u00f9 autorit\u00e0 di controllo, lo Stato membro dovrebbe stabilire per legge meccanismi atti ad assicurare la partecipazione effettiva di dette autorit\u00e0 al meccanismo di coerenza. Lo Stato membro dovrebbe in particolare designare l\u2019autorit\u00e0 di controllo che funge da punto di contatto unico per l\u2019effettiva partecipazione di tutte le autorit\u00e0 al meccanismo, onde garantire la rapida e agevole cooperazione con altre autorit\u00e0 di controllo, il comitato e la Commissione.<\/li>
  120. Ciascuna autorit\u00e0 di controllo dovrebbe disporre delle risorse umane e finanziarie, dei locali e delle infrastrutture necessari per l\u2019effettivo adempimento dei propri compiti, compresi quelli di assistenza reciproca e cooperazione con altre autorit\u00e0 di controllo in tutta l\u2019Unione. Ciascuna autorit\u00e0 di controllo dovrebbe disporre di un bilancio annuale, separato e pubblico, che pu\u00f2 far parte del bilancio generale statale o nazionale.<\/li>
  121. Le condizioni generali applicabili al membro o ai membri dell\u2019autorit\u00e0 di controllo dovrebbero essere stabilite per legge da ciascuno Stato membro e dovrebbero in particolare prevedere che tali membri devono essere nominati, attraverso una procedura trasparente, dal parlamento, dal governo o dal capo di Stato dello Stato membro, sulla base di una proposta del governo, di un membro del governo, del parlamento o di una sua camera, o da un organismo indipendente incaricato ai sensi del diritto degli Stati membri. Al fine di assicurare l\u2019indipendenza dell\u2019autorit\u00e0 di controllo, \u00e8 opportuno che il membro o i membri di tale autorit\u00e0 agiscano con integrit\u00e0, si astengano da qualunque azione incompatibile con le loro funzioni e, per tutta la durata del mandato, non esercitino alcuna altra attivit\u00e0 incompatibile, remunerata o meno. L\u2019autorit\u00e0 di controllo dovrebbe disporre di proprio personale, scelto dalla stessa autorit\u00e0 di controllo o da un organismo indipendente istituito ai sensi del diritto degli Stati membri, che dovrebbe essere soggetto alla direzione esclusiva del membro o dei membri dell\u2019autorit\u00e0 di controllo.<\/li>
  122. Ogni autorit\u00e0 di controllo dovrebbe avere la competenza, nel territorio del proprio Stato membro, a esercitare i poteri e ad assolvere i compiti a essa attribuiti a norma del presente regolamento. Ci\u00f2 dovrebbe comprendere in particolare il trattamento nell\u2019ambito delle attivit\u00e0 di uno stabilimento del titolare del trattamento o del responsabile del trattamento sul territorio del proprio Stato membro, il trattamento di dati personali effettuato dalle pubbliche autorit\u00e0 o dagli organismi privati che agiscono nel pubblico interesse, il trattamento riguardante gli interessati nel suo territorio o il trattamento effettuato da un titolare del trattamento o da un responsabile del trattamento non stabilito nell\u2019Unione europea riguardante interessati non residenti nel suo territorio. Ci\u00f2 dovrebbe includere l\u2019esame dei reclami proposti dall\u2019interessato, lo svolgimento di indagini sull\u2019applicazione del regolamento e la promozione della sensibilizzazione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti relativi al trattamento dei dati personali.<\/li>
  123. Le autorit\u00e0 di controllo dovrebbero controllare l\u2019applicazione delle disposizioni del presente regolamento e contribuire alla sua coerente applicazione in tutta l\u2019Unione, cos\u00ec da tutelare le persone fisiche in relazione al trattamento dei loro dati personali e facilitare la libera circolazione di tali dati nel mercato interno. A tal fine, le autorit\u00e0 di controllo dovrebbero cooperare tra loro e con la Commissione, senza che siano necessari accordi tra gli Stati membri sulla mutua assistenza o su tale tipo di cooperazione.<\/li>
  124. Qualora il trattamento dei dati personali abbia luogo nell\u2019ambito delle attivit\u00e0 di uno stabilimento di un titolare del trattamento o di un responsabile del trattamento nell\u2019Unione e il titolare del trattamento o il responsabile del trattamento sia stabilito in pi\u00f9 di uno Stato membro o qualora il trattamento effettuato nell\u2019ambito delle attivit\u00e0 dello stabilimento unico di un titolare del trattamento o responsabile del trattamento nell\u2019Unione incida o possa verosimilmente incidere in modo sostanziale su interessati in pi\u00f9 di uno Stato membro, l\u2019autorit\u00e0 di controllo dello stabilimento principale del titolare del trattamento o del responsabile del trattamento o dello stabilimento unico del titolare del trattamento o del responsabile del trattamento dovrebbe fungere da autorit\u00e0 capofila. Essa dovrebbe cooperare con le altre autorit\u00e0 interessate perch\u00e9 il titolare del trattamento o il responsabile del trattamento ha uno stabilimento nel territorio dei loro Stati membri, perch\u00e9 il trattamento incide in modo sostanziale sugli interessati residenti nel loro territorio o perch\u00e9 \u00e8 stato proposto loro un reclamo. Anche in caso di reclamo proposto da un interessato non residente in tale Stato membro, l\u2019autorit\u00e0 di controllo cui \u00e8 stato proposto detto reclamo dovrebbe essere considerata un\u2019autorit\u00e0 di controllo interessata. Nell\u2019ambito del suo compito di rilascio di linee guida su qualsiasi questione relativa all\u2019applicazione del presente regolamento, il comitato dovrebbe essere in grado di pubblicare linee guida in particolare sui criteri da prendere in considerazione per accertare se il trattamento in questione incida in modo sostanziale su interessati in pi\u00f9 di uno Stato membro e su cosa costituisca obiezione pertinente e motivata.<\/li>
  125. L\u2019autorit\u00e0 capofila dovrebbe essere competente per l\u2019adozione di decisioni vincolanti riguardanti misure di applicazione dei poteri di cui gode a norma del presente regolamento. Nella sua qualit\u00e0 di autorit\u00e0 capofila, l\u2019autorit\u00e0 di controllo dovrebbe coinvolgere e coordinare strettamente le autorit\u00e0 di controllo interessate nel processo decisionale. In caso di decisione di rigetto del reclamo dell\u2019interessato, in tutto o in parte, tale decisione dovrebbe essere adottata dall\u2019autorit\u00e0 di controllo a cui il reclamo \u00e8 stato proposto.<\/li>
  126. La decisione dovrebbe essere adottata congiuntamente dall\u2019autorit\u00e0 di controllo capofila e dalle autorit\u00e0 di controllo interessate e dovrebbe essere rivolta allo stabilimento principale o unico del titolare del trattamento o del responsabile del trattamento ed essere vincolante per il titolare del trattamento e il responsabile del trattamento. Il titolare del trattamento o il responsabile del trattamento dovrebbe adottare le misure necessarie per garantire la conformit\u00e0 al presente regolamento e l\u2019attuazione della decisione notificata dall\u2019autorit\u00e0 di controllo capofila allo stabilimento principale del titolare del trattamento o del responsabile del trattamento per quanto riguarda le attivit\u00e0 di trattamento nell\u2019Unione.<\/li>
  127. Ogni autorit\u00e0 di controllo che non agisce in qualit\u00e0 di autorit\u00e0 di controllo capofila dovrebbe essere competente a trattare casi locali qualora il titolare del trattamento o il responsabile del trattamento sia stabilito in pi\u00f9 di uno Stato membro, ma l\u2019oggetto dello specifico trattamento riguardi unicamente il trattamento effettuato in un singolo Stato membro e coinvolga soltanto interessati in tale singolo Stato membro, ad esempio quando l\u2019oggetto riguardi il trattamento di dati personali di dipendenti nell\u2019ambito di specifici rapporti di lavoro in uno Stato membro. In tali casi, l\u2019autorit\u00e0 di controllo dovrebbe informare senza indugio l\u2019autorit\u00e0 di controllo capofila sulla questione. Dopo essere stata informata, l\u2019autorit\u00e0 di controllo capofila dovrebbe decidere se intende trattare il caso a norma della disposizione sulla cooperazione tra l\u2019autorit\u00e0 di controllo capofila e altre autorit\u00e0 di controllo interessate (\u00abmeccanismo dello sportello unico\u00bb), ovvero se l\u2019autorit\u00e0 di controllo che l\u2019ha informata debba trattarlo a livello locale. Al momento di decidere se intende trattare il caso, l\u2019autorit\u00e0 di controllo capofila dovrebbe tenere conto dell\u2019eventuale esistenza, nello Stato membro dell\u2019autorit\u00e0 di controllo che l\u2019ha informata, di uno stabilimento del titolare del trattamento o del responsabile del trattamento, al fine di garantire l\u2019effettiva applicazione di una decisione nei confronti del titolare del trattamento o del responsabile del trattamento. Qualora l\u2019autorit\u00e0 di controllo capofila decida di trattare il caso, l\u2019autorit\u00e0 di controllo che l\u2019ha informata dovrebbe avere la possibilit\u00e0 di presentare un progetto di decisione, che l\u2019autorit\u00e0 di controllo capofila dovrebbe tenere nella massima considerazione nella preparazione del proprio progetto di decisione nell\u2019ambito di tale meccanismo di sportello unico.<\/li>
  128. Le norme sull\u2019autorit\u00e0 di controllo capofila e sul meccanismo di sportello unico non dovrebbero applicarsi quando il trattamento \u00e8 effettuato da autorit\u00e0 pubbliche o da organismi privati nell\u2019interesse pubblico. In tali casi l\u2019unica autorit\u00e0 di controllo competente a esercitare i poteri a essa conferiti a norma del presente regolamento dovrebbe essere l\u2019autorit\u00e0 di controllo dello Stato membro in cui l\u2019autorit\u00e0 pubblica o l\u2019organismo privato sono stabiliti.<\/li>
  129. Al fine di garantire un monitoraggio e un\u2019applicazione coerenti del presente regolamento in tutta l\u2019Unione, le autorit\u00e0 di controllo dovrebbero avere in ciascuno Stato membro gli stessi compiti e poteri effettivi, fra cui poteri di indagine, poteri correttivi e sanzionatori, e poteri autorizzativi e consultivi, segnatamente in caso di reclamo proposto da persone fisiche, e fatti salvi i poteri delle autorit\u00e0 preposte all\u2019esercizio dell\u2019azione penale ai sensi del diritto degli Stati membri, il potere di intentare un\u2019azione e di agire in sede giudiziale o stragiudiziale in caso di violazione del presente regolamento. Tali poteri dovrebbero includere anche il potere di imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento. Gli Stati membri possono precisare altri compiti connessi alla protezione dei dati personali ai sensi del presente regolamento. \u00c8 opportuno che i poteri delle autorit\u00e0 di controllo siano esercitati nel rispetto di garanzie procedurali adeguate previste dal diritto dell\u2019Unione e degli Stati membri, in modo imparziale ed equo ed entro un termine ragionevole. In particolare ogni misura dovrebbe essere appropriata, necessaria e proporzionata al fine di assicurare la conformit\u00e0 al presente regolamento, tenuto conto delle circostanze di ciascun singolo caso, rispettare il diritto di ogni persona di essere ascoltata prima che nei suoi confronti sia adottato un provvedimento individuale che le rechi pregiudizio ed evitare costi superflui ed eccessivi disagi per le persone interessate. I poteri di indagine per quanto riguarda l\u2019accesso ai locali dovrebbero essere esercitati nel rispetto dei requisiti specifici previsti dal diritto processuale degli Stati membri, quale l\u2019obbligo di ottenere un\u2019autorizzazione giudiziaria preliminare. Ogni misura giuridicamente vincolante dell\u2019autorit\u00e0 di controllo dovrebbe avere forma scritta, essere chiara e univoca, riportare l\u2019autorit\u00e0 di controllo che ha adottato la misura e la relativa data di adozione, recare la firma del responsabile o di un membro dell\u2019autorit\u00e0 di controllo da lui autorizzata, precisare i motivi della misura e fare riferimento al diritto a un ricorso effettivo. Ci\u00f2 non dovrebbe precludere requisiti supplementari ai sensi del diritto processuale degli Stati membri. L\u2019adozione di una decisione giuridicamente vincolante implica che essa pu\u00f2 essere soggetta a controllo giurisdizionale nello Stato membro dell\u2019autorit\u00e0 di controllo che ha adottato la decisione.<\/li>
  130. Qualora l\u2019autorit\u00e0 di controllo cui sia stato proposto il reclamo non sia l\u2019autorit\u00e0 di controllo capofila, l\u2019autorit\u00e0 di controllo capofila dovrebbe cooperare strettamente con l\u2019autorit\u00e0 di controllo cui \u00e8 stato proposto il reclamo in conformit\u00e0 delle disposizioni sulla cooperazione e la coerenza previste dal presente regolamento. In tali casi, l\u2019autorit\u00e0 di controllo capofila, nell\u2019adottare le misure intese a produrre effetti giuridici, compresa l\u2019imposizione di sanzioni amministrative pecuniarie, dovrebbe tenere nella massima considerazione il parere dell\u2019autorit\u00e0 di controllo cui \u00e8 stato proposto il reclamo e che dovrebbe rimanere competente per svolgere indagini nel territorio del proprio Stato membro in collegamento con l\u2019autorit\u00e0 di controllo capofila.<\/li>
  131. Qualora un\u2019altra autorit\u00e0 di controllo agisca in qualit\u00e0 di autorit\u00e0 di controllo capofila per le attivit\u00e0 di trattamento del titolare del trattamento o del responsabile del trattamento, ma il concreto oggetto di un reclamo o la possibile violazione riguardi solo attivit\u00e0 di trattamento del titolare del trattamento o del responsabile del trattamento nello Stato membro di presentazione del reclamo o di accertamento della possibile violazione e la questione non incida in modo sostanziale o \u00e8 improbabile che incida in modo sostanziale su interessati in altri Stati membri, l\u2019autorit\u00e0 di controllo che riceva un reclamo o che accerti o sia altrimenti informata di situazioni che implicano possibili violazioni del regolamento dovrebbe tentare una composizione amichevole con il titolare del trattamento e, qualora ci\u00f2 non abbia esito, esercitare l\u2019intera sua gamma di poteri. Ci\u00f2 dovrebbe includere: il trattamento specifico effettuato nel territorio dello Stato membro dell\u2019autorit\u00e0 di controllo o con riguardo agli interessati nel territorio di tale Stato membro; il trattamento effettuato nell\u2019ambito di un\u2019offerta di beni o prestazione di servizi specificamente riguardante gli interessati nel territorio dello Stato membro dell\u2019autorit\u00e0 di controllo; o il trattamento che deve essere oggetto di valutazione tenuto conto dei pertinenti obblighi giuridici ai sensi della legislazione degli Stati membri.<\/li>
  132. Le attivit\u00e0 di sensibilizzazione delle autorit\u00e0 di controllo nei confronti del pubblico dovrebbero comprendere misure specifiche per i titolari del trattamento e i responsabili del trattamento, comprese le micro, piccole e medie imprese, e le persone fisiche in particolare nel contesto educativo.<\/li>
  133. Le autorit\u00e0 di controllo dovrebbero prestarsi assistenza reciproca nell\u2019adempimento dei loro compiti, in modo da garantire la coerente applicazione e attuazione del presente regolamento nel mercato interno. L\u2019autorit\u00e0 di controllo che chiede assistenza reciproca pu\u00f2 adottare una misura provvisoria in caso di mancato riscontro a una richiesta di assistenza reciproca entro un mese dal ricevimento di tale richiesta da parte dell\u2019altra autorit\u00e0 di controllo.<\/li>
  134. Ciascuna autorit\u00e0 di controllo dovrebbe, se del caso, partecipare alle operazioni congiunte con altre autorit\u00e0 di controllo. L\u2019autorit\u00e0 di controllo che riceve una richiesta dovrebbe darvi seguito entro un termine determinato.<\/li>
  135. \u00c8 opportuno istituire un meccanismo di coerenza per la cooperazione tra le autorit\u00e0 di controllo, al fine di assicurare un\u2019applicazione coerente del presente regolamento in tutta l\u2019Unione. Tale meccanismo dovrebbe applicarsi in particolare quando un\u2019autorit\u00e0 di controllo intenda adottare una misura intesa a produrre effetti giuridici con riguardo ad attivit\u00e0 di trattamento che incidono in modo sostanziale su un numero significativo di interessati in vari Stati membri. \u00c8 opportuno che il meccanismo si attivi anche quando un\u2019autorit\u00e0 di controllo interessata o la Commissione chiede che tale questione sia trattata nell\u2019ambito del meccanismo di coerenza. Tale meccanismo non dovrebbe pregiudicare le misure che la Commissione pu\u00f2 adottare nell\u2019esercizio dei suoi poteri a norma dei trattati.<\/li>
  136. In applicazione del meccanismo di coerenza il comitato dovrebbe emettere un parere entro un termine determinato, se i suoi membri lo decidono a maggioranza o se a richiederlo \u00e8 un\u2019autorit\u00e0 di controllo interessata o la Commissione. Il comitato dovrebbe altres\u00ec avere il potere di adottare decisioni giuridicamente vincolanti qualora insorgano controversie tra autorit\u00e0 di controllo. A tal fine, dovrebbe adottare, in linea di principio a maggioranza dei due terzi dei suoi membri, decisioni giuridicamente vincolanti in casi chiaramente determinati in cui vi siano pareri divergenti tra le autorit\u00e0 di controllo segnatamente nell\u2019ambito del meccanismo di cooperazione tra l\u2019autorit\u00e0 di controllo capofila e le autorit\u00e0 di controllo interessate sul merito del caso, in particolare sulla sussistenza di una violazione del presente regolamento.<\/li>
  137. Potrebbe essere necessario intervenire urgentemente per tutelare i diritti e le libert\u00e0 degli interessati, in particolare quando sussiste il pericolo che l\u2019esercizio di un diritto possa essere gravemente ostacolato. Un\u2019autorit\u00e0 di controllo potrebbe pertanto essere in grado di adottare misure provvisorie debitamente giustificate nel proprio territorio, con un periodo di validit\u00e0 determinato che non dovrebbe superare tre mesi.<\/li>
  138. L\u2019applicazione di tale meccanismo dovrebbe essere un presupposto di liceit\u00e0 di una misura intesa a produrre effetti giuridici adottata dall\u2019autorit\u00e0 di controllo nei casi in cui la sua applicazione \u00e8 obbligatoria. In altri casi di rilevanza transfrontaliera, si dovrebbe applicare il meccanismo di cooperazione tra autorit\u00e0 di controllo capofila e autorit\u00e0 di controllo interessate e le autorit\u00e0 di controllo interessate potrebbero prestarsi assistenza reciproca ed effettuare operazioni congiunte, su base bilaterale o multilaterale, senza attivare il meccanismo di coerenza.<\/li>
  139. Per promuovere l\u2019applicazione coerente del presente regolamento, il comitato dovrebbe essere istituito come un organismo indipendente dell\u2019Unione. Per conseguire i suoi obiettivi, il comitato dovrebbe essere dotato di personalit\u00e0 giuridica. Il comitato dovrebbe essere rappresentato dal suo presidente. Esso dovrebbe sostituire il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito con direttiva 95\/46\/CE. Il comitato dovrebbe essere composto dalla figura di vertice dell\u2019autorit\u00e0 di controllo di ciascuno Stato membro e dal garante europeo della protezione dei dati, o dai rispettivi rappresentanti. \u00c8 opportuno che la Commissione partecipi alle attivit\u00e0 del comitato senza diritto di voto e che il garante europeo della protezione dei dati abbia diritti di voto specifici. Il comitato dovrebbe contribuire all\u2019applicazione coerente del presente regolamento in tutta l\u2019Unione, anche fornendo consulenza alla Commissione, in particolare sul livello di protezione garantito dai paesi terzi o dalle organizzazioni internazionali, e promuovendo la cooperazione delle autorit\u00e0 di controllo in tutta l\u2019Unione. Esso dovrebbe assolvere i suoi compiti in piena indipendenza.<\/li>
  140. Il comitato dovrebbe essere assistito da un segretariato messo a disposizione dal garante europeo della protezione dei dati. Il personale del garante europeo della protezione dei dati impegnato nell\u2019assolvimento dei compiti attribuiti al comitato dal presente regolamento dovrebbe svolgere i suoi compiti esclusivamente secondo le istruzioni del presidente del comitato e riferire a quest\u2019ultimo.<\/li>
  141. Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un\u2019unica autorit\u00e0 di controllo, in particolare nello Stato membro in cui risiede abitualmente, e il diritto a un ricorso giurisdizionale effettivo a norma dell\u2019articolo 47 della Carta qualora ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento o se l\u2019autorit\u00e0 di controllo non d\u00e0 seguito a un reclamo, lo respinge in tutto o in parte o lo archivia o non agisce quando \u00e8 necessario intervenire per proteggere i diritti dell\u2019interessato. Successivamente al reclamo si dovrebbe condurre un\u2019indagine, soggetta a controllo giurisdizionale, nella misura in cui ci\u00f2 sia opportuno nel caso specifico. \u00c8 opportuno che l\u2019autorit\u00e0 di controllo informi gli interessati dello stato e dell\u2019esito del reclamo entro un termine ragionevole. Se il caso richiede un\u2019ulteriore indagine o il coordinamento con un\u2019altra autorit\u00e0 di controllo, l\u2019interessato dovrebbe ricevere informazioni interlocutorie. Per agevolare la proposizione di reclami, ogni autorit\u00e0 di controllo dovrebbe adottare misure quali la messa a disposizione di un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.<\/li>
  142. Qualora l\u2019interessato ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento, dovrebbe avere il diritto di dare mandato a un organismo, un\u2019organizzazione o un\u2019associazione che non abbiano scopo di lucro, costituiti in conformit\u00e0 del diritto di uno Stato membro, con obiettivi statutari di pubblico interesse, e che siano attivi nel settore della protezione dei dati personali, per proporre reclamo per suo conto a un\u2019autorit\u00e0 di controllo, esercitare il diritto a un ricorso giurisdizionale per conto degli interessati o esercitare il diritto di ottenere il risarcimento del danno per conto degli interessati se quest\u2019ultimo \u00e8 previsto dal diritto degli Stati membri. Gli Stati membri possono prescrivere che tale organismo, organizzazione o associazione abbia il diritto di proporre reclamo in tale Stato membro, indipendentemente dall\u2019eventuale mandato dell\u2019interessato, e il diritto di proporre un ricorso giurisdizionale effettivo qualora abbia motivo di ritenere che i diritti di un interessato siano stati violati in conseguenza di un trattamento dei dati personali che violi il presente regolamento. tale organismo, organizzazione o associazione pu\u00f2 non essere autorizzato a chiedere il risarcimento del danno per conto di un interessato indipendentemente dal mandato dell\u2019interessato.<\/li>
  143. Qualsiasi persona fisica o giuridica ha diritto di proporre un ricorso per l\u2019annullamento delle decisioni del comitato dinanzi alla Corte di giustizia, alle condizioni previste all\u2019articolo 263 TFUE. In quanto destinatari di tali decisioni, le autorit\u00e0 di controllo interessate che intendono impugnarle, devono proporre ricorso entro due mesi dalla loro notifica, conformemente all\u2019articolo 263 TFUE. Ove le decisioni del comitato si riferiscano direttamente e individualmente a un titolare del trattamento, a un responsabile del trattamento o al reclamante, quest\u2019ultimo pu\u00f2 proporre un ricorso per l\u2019annullamento di tali decisioni e dovrebbe farlo entro due mesi dalla loro pubblicazione sul sito web del comitato, conformemente all\u2019articolo 263 TFUE. Fatto salvo tale diritto ai sensi dell\u2019articolo 263 TFUE, ogni persona fisica o giuridica dovrebbe poter proporre un ricorso giurisdizionale effettivo dinanzi alle competenti autorit\u00e0 giurisdizionali nazionali contro una decisione dell\u2019autorit\u00e0 di controllo che produce effetti giuridici nei confronti di detta persona. Tale decisione riguarda in particolare l\u2019esercizio di poteri di indagine, correttivi e autorizzativi da parte dell\u2019autorit\u00e0 di controllo o l\u2019archiviazione o il rigetto dei reclami. Tuttavia, tale diritto a un ricorso giurisdizionale effettivo non comprende altre misure adottate dalle autorit\u00e0 di controllo che non sono giuridicamente vincolanti, come pareri o consulenza forniti dall\u2019autorit\u00e0 di controllo. Le azioni contro l\u2019autorit\u00e0 di controllo dovrebbero essere promosse dinanzi alle autorit\u00e0 giurisdizionali dello Stato membro in cui l\u2019autorit\u00e0 di controllo \u00e8 stabilita e dovrebbero essere effettuate in conformit\u00e0 del diritto processuale dello Stato membro in questione. Tali autorit\u00e0 giurisdizionali dovrebbero esercitare i loro pieni poteri giurisdizionali, ivi compreso quello di esaminare tutte le questioni di fatto e di diritto che abbiano rilevanza per la controversia dinanzi a esse pendente. Se un reclamo \u00e8 stato rigettato o archiviato da un\u2019autorit\u00e0 di controllo, il reclamante pu\u00f2 proporre ricorso giurisdizionale nello stesso Stato membro. Nell\u2019ambito dei ricorsi giurisdizionali relativi all\u2019applicazione del presente regolamento, le autorit\u00e0 giurisdizionali nazionali che ritengano necessario, ai fini di una sentenza, disporre di una decisione in merito, possono, o nel caso di cui all\u2019articolo 267 TFUE, devono chiedere alla Corte di giustizia di pronunciarsi, in via pregiudiziale, sull\u2019interpretazione del diritto dell\u2019Unione, compreso il presente regolamento. Inoltre, se una decisione dell\u2019autorit\u00e0 di controllo che attua una decisione del comitato \u00e8 impugnata dinanzi a un\u2019autorit\u00e0 giurisdizionale nazionale ed \u00e8 in questione la validit\u00e0 della decisione del comitato, tale autorit\u00e0 giurisdizionale nazionale non ha il potere di invalidare la decisione del comitato, ma deve deferire la questione di validit\u00e0 alla Corte di giustizia ai sensi dell\u2019articolo 267 TFUE quale interpretato dalla Corte di giustizia, ove ritenga la decisione non valida. Tuttavia, un\u2019autorit\u00e0 giurisdizionale nazionale non pu\u00f2 deferire una questione relativa alla validit\u00e0 di una decisione del comitato su richiesta di una persona fisica o giuridica che ha avuto la possibilit\u00e0 di proporre un ricorso per l\u2019annullamento di tale decisione, specialmente se direttamente e individualmente interessata da siffatta decisione, ma non ha agito in tal senso entro il termine stabilito dall\u2019articolo 263 TFUE.<\/li>
  144. Qualora un\u2019autorit\u00e0 giurisdizionale adita per un\u2019azione contro una decisione di un\u2019autorit\u00e0 di controllo abbia motivo di ritenere che le azioni riguardanti lo stesso trattamento, quale lo stesso oggetto relativamente al trattamento da parte dello stesso titolare del trattamento o dello stesso responsabile del trattamento, o lo stesso titolo, siano sottoposte a un\u2019autorit\u00e0 giurisdizionale competente in un altro Stato membro, l\u2019autorit\u00e0 giurisdizionale adita dovrebbe contattare tale autorit\u00e0 giurisdizionale al fine di confermare l\u2019esistenza di tali azioni connesse. Se le azioni connesse sono pendenti dinanzi a un\u2019autorit\u00e0 giurisdizionale in un altro Stato membro, qualsiasi autorit\u00e0 giurisdizionale successivamente adita pu\u00f2 sospendere l\u2019azione proposta dinanzi a essa o, su richiesta di una delle parti, pu\u00f2 dichiarare la propria incompetenza a favore della prima autorit\u00e0 giurisdizionale adita se tale autorit\u00e0 giurisdizionale \u00e8 competente a conoscere delle azioni in questione e la sua legge consente la riunione delle azioni. Le azioni sono considerate connesse quando hanno tra loro un legame cos\u00ec stretto da rendere opportuno trattarle e decidere in merito contestualmente, per evitare il rischio di sentenze incompatibili risultanti da azioni separate.<\/li>
  145. Nelle azioni contro un titolare del trattamento o responsabile del trattamento, il ricorrente dovrebbe poter avviare un\u2019azione legale dinanzi all\u2019autorit\u00e0 giurisdizionale dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento o in cui risiede l\u2019interessato, salvo che il titolare del trattamento sia un\u2019autorit\u00e0 pubblica di uno Stato membro che agisce nell\u2019esercizio dei suoi poteri pubblici.<\/li>
  146. Il titolare del trattamento o il responsabile del trattamento dovrebbe risarcire i danni cagionati a una persona da un trattamento non conforme al presente regolamento ma dovrebbe essere esonerato da tale responsabilit\u00e0 se dimostra che l\u2019evento dannoso non gli \u00e8 in alcun modo imputabile. Il concetto di danno dovrebbe essere interpretato in senso lato alla luce della giurisprudenza della Corte di giustizia in modo tale da rispecchiare pienamente gli obiettivi del presente regolamento. Ci\u00f2 non pregiudica le azioni di risarcimento di danni derivanti dalla violazione di altre norme del diritto dell\u2019Unione o degli Stati membri. Un trattamento non conforme al presente regolamento comprende anche il trattamento non conforme agli atti delegati e agli atti di esecuzione adottati in conformit\u00e0 del presente regolamento e alle disposizioni del diritto degli Stati membri che specificano disposizioni del presente regolamento. Gli interessati dovrebbero ottenere pieno ed effettivo risarcimento per il danno subito. Qualora i titolari del trattamento o i responsabili del trattamento siano coinvolti nello stesso trattamento, ogni titolare del trattamento o responsabile del trattamento dovrebbe rispondere per la totalit\u00e0 del danno. Tuttavia, qualora essi siano riuniti negli stessi procedimenti giudiziari conformemente al diritto degli Stati membri, il risarcimento pu\u00f2 essere ripartito in base alla responsabilit\u00e0 che ricade su ogni titolare del trattamento o responsabile del trattamento per il danno cagionato dal trattamento, a condizione che sia assicurato il pieno ed effettivo risarcimento dell\u2019interessato che ha subito il danno. Il titolare del trattamento o il responsabile del trattamento che ha pagato l\u2019intero risarcimento del danno pu\u00f2 successivamente proporre un\u2019azione di regresso contro altri titolari del trattamento o responsabili del trattamento coinvolti nello stesso trattamento.<\/li>
  147. Qualora il presente regolamento preveda disposizioni specifiche in materia di giurisdizione, in particolare riguardo a procedimenti che prevedono il ricorso giurisdizionale, compreso quello per risarcimento, contro un titolare del trattamento o un responsabile del trattamento, disposizioni generali in materia di giurisdizione quali quelle di cui al regolamento (UE) n. 1215\/2012 del Parlamento europeo e del Consiglio (13) non dovrebbero pregiudicare l\u2019applicazione di dette disposizioni specifiche.<\/li>
  148. Per rafforzare il rispetto delle norme del presente regolamento, dovrebbero essere imposte sanzioni, comprese sanzioni amministrative pecuniarie per violazione del regolamento,in aggiunta o in sostituzione di misure appropriate imposte dall\u2019autorit\u00e0 di controllo ai sensi del presente regolamento. In caso di violazione minore o se la sanzione pecuniaria che dovrebbe essere imposta costituisse un onere sproporzionato per una persona fisica, potrebbe essere rivolto un ammonimento anzich\u00e9 imposta una sanzione pecuniaria. Si dovrebbe prestare tuttavia debita attenzione alla natura, alla gravit\u00e0 e alla durata della violazione, al carattere doloso della violazione e alle misure adottate per attenuare il danno subito, al grado di responsabilit\u00e0 o eventuali precedenti violazioni pertinenti, alla maniera in cui l\u2019autorit\u00e0 di controllo ha preso conoscenza della violazione, al rispetto dei provvedimenti disposti nei confronti del titolare del trattamento o del responsabile del trattamento, all\u2019adesione a un codice di condotta e eventuali altri fattori aggravanti o attenuanti. L\u2019imposizione di sanzioni, comprese sanzioni amministrative pecuniarie dovrebbe essere soggetta a garanzie procedurali appropriate in conformit\u00e0 dei principi generali del diritto dell\u2019Unione e della Carta, inclusi l\u2019effettiva tutela giurisdizionale e il giusto processo.<\/li>
  149. Gli Stati membri dovrebbero poter stabilire disposizioni relative a sanzioni penali per violazioni del presente regolamento, comprese violazioni di norme nazionali adottate in virt\u00f9 ed entro i limiti del presente regolamento. Tali sanzioni penali possono altres\u00ec autorizzare la sottrazione dei profitti ottenuti attraverso violazioni del presente regolamento. Tuttavia, l\u2019imposizione di sanzioni penali per violazioni di tali norme nazionali e di sanzioni amministrative non dovrebbe essere in contrasto con il principio del ne bis in idem quale interpretato dalla Corte di giustizia.<\/li>
  150. Al fine di rafforzare e armonizzare le sanzioni amministrative applicabili per violazione del presente regolamento, ogni autorit\u00e0 di controllo dovrebbe poter imporre sanzioni amministrative pecuniarie. Il presente regolamento dovrebbe specificare le violazioni, indicare il limite massimo e i criteri per prevedere la relativa sanzione amministrativa pecuniaria, che dovrebbe essere stabilita dall\u2019autorit\u00e0 di controllo competente in ogni singolo caso, tenuto conto di tutte le circostanze pertinenti della situazione specifica, in particolare della natura, gravit\u00e0 e durata dell\u2019infrazione e delle relative conseguenze, nonch\u00e9 delle misure adottate per assicurare la conformit\u00e0 agli obblighi derivanti dal presente regolamento e prevenire o attenuare le conseguenze della violazione. Se le sanzioni amministrative sono inflitte a imprese, le imprese dovrebbero essere intese quali definite agli articoli 101 e 102 TFUE a tali fini. Se le sanzioni amministrative sono inflitte a persone che non sono imprese, l\u2019autorit\u00e0 di controllo dovrebbe tenere conto del livello generale di reddito nello Stato membro come pure della situazione economica della persona nel valutare l\u2019importo appropriato della sanzione pecuniaria. Il meccanismo di coerenza pu\u00f2 essere utilizzato anche per favorire un\u2019applicazione coerente delle sanzioni amministrative pecuniarie. Dovrebbe spettare agli Stati membri determinare se e in che misura le autorit\u00e0 pubbliche debbano essere soggette a sanzioni amministrative pecuniarie. Imporre una sanzione amministrativa pecuniaria o dare un avvertimento non incide sull\u2019applicazione di altri poteri delle autorit\u00e0 di controllo o di altre sanzioni a norma del regolamento.<\/li>
  151. I sistemi giudiziari di Danimarca ed Estonia non consentono l\u2019irrogazione di sanzioni amministrative pecuniarie come previsto dal presente regolamento. Le norme relative alle sanzioni amministrative pecuniarie possono essere applicate in maniera tale che in Danimarca la sanzione pecuniaria sia irrogata dalle competenti autorit\u00e0 giurisdizionali nazionali quale sanzione penale e in Estonia la sanzione pecuniaria sia imposta dall\u2019autorit\u00e0 di controllo nel quadro di una procedura d\u2019infrazione, purch\u00e9 l\u2019applicazione di tali norme in detti Stati membri abbia effetto equivalente alle sanzioni amministrative pecuniarie irrogate dalle autorit\u00e0 di controllo. Le competenti autorit\u00e0 giurisdizionali nazionali dovrebbero pertanto tener conto della raccomandazione dell\u2019autorit\u00e0 di controllo che avvia l\u2019azione sanzionatoria. In ogni caso, le sanzioni pecuniarie irrogate dovrebbero essere effettive, proporzionate e dissuasive.<\/li>
  152. Se il presente regolamento non armonizza le sanzioni amministrative o se necessario in altri casi, ad esempio in caso di gravi violazioni del regolamento, gli Stati membri dovrebbero attuare un sistema che preveda sanzioni effettive, proporzionate e dissuasive. La natura di tali sanzioni, penali o amministrative, dovrebbe essere determinata dal diritto degli Stati membri.<\/li>
  153. Il diritto degli Stati membri dovrebbe conciliare le norme che disciplinano la libert\u00e0 di espressione e di informazione, comprese l\u2019espressione giornalistica, accademica, artistica o letteraria, con il diritto alla protezione dei dati personali ai sensi del presente regolamento. Il trattamento dei dati personali effettuato unicamente a scopi giornalistici o di espressione accademica, artistica o letteraria dovrebbe essere soggetto a deroghe o esenzioni rispetto ad alcune disposizioni del presente regolamento se necessario per conciliare il diritto alla protezione dei dati personali e il diritto alla libert\u00e0 d\u2019espressione e di informazione sancito nell\u2019articolo 11 della Carta. Ci\u00f2 dovrebbe applicarsi in particolare al trattamento dei dati personali nel settore audiovisivo, negli archivi stampa e nelle emeroteche. \u00c8 pertanto opportuno che gli Stati adottino misure legislative che prevedano le deroghe e le esenzioni necessarie ai fini di un equilibrio tra tali diritti fondamentali. Gli Stati membri dovrebbero adottare tali esenzioni e deroghe con riferimento alle disposizioni riguardanti i principi generali, i diritti dell\u2019interessato, il titolare del trattamento e il responsabile del trattamento, il trasferimento di dati personali verso paesi terzi o a organizzazioni internazionali, le autorit\u00e0 di controllo indipendenti, la cooperazione e la coerenza nonch\u00e9 situazioni di trattamento dei dati specifiche. Qualora tali esenzioni o deroghe differiscano da uno Stato membro all\u2019altro, dovrebbe applicarsi il diritto dello Stato membro cui \u00e8 soggetto il titolare del trattamento. Per tenere conto dell\u2019importanza del diritto alla libert\u00e0 di espressione in tutte le societ\u00e0 democratiche \u00e8 necessario interpretare in modo esteso i concetti relativi a detta libert\u00e0, quali la nozione di giornalismo.<\/li>
  154. Il presente regolamento ammette, nell\u2019applicazione delle sue disposizioni, che si tenga conto del principio del pubblico accesso ai documenti ufficiali. L\u2019accesso del pubblico ai documenti ufficiali pu\u00f2 essere considerato di interesse pubblico. I dati personali contenuti in documenti conservati da un\u2019autorit\u00e0 pubblica o da un organismo pubblico dovrebbero poter essere diffusi da detta autorit\u00e0 o organismo se la diffusione \u00e8 prevista dal diritto dell\u2019Unione o degli Stati membri cui l\u2019autorit\u00e0 pubblica o l\u2019organismo pubblico sono soggetti. Tali disposizioni legislative dovrebbero conciliare l\u2019accesso del pubblico ai documenti ufficiali e il riutilizzo delle informazioni del settore pubblico con il diritto alla protezione dei dati personali e possono quindi prevedere la necessaria conciliazione con il diritto alla protezione dei dati personali, in conformit\u00e0 del presente regolamento. Il riferimento alle autorit\u00e0 pubbliche e agli organismi pubblici dovrebbe comprendere, in tale contesto, tutte le autorit\u00e0 o altri organismi cui si applica il diritto degli Stati membri sull\u2019accesso del pubblico ai documenti. La direttiva 2003\/98\/CE del Parlamento europeo e del Consiglio (14) non pregiudica in alcun modo il livello di tutela delle persone fisiche con riguardo al trattamento dei dati personali ai sensi delle disposizioni di diritto dell\u2019Unione e degli Stati membri e non modifica, in particolare, gli obblighi e i diritti previsti dal presente regolamento. Nello specifico, tale direttiva non dovrebbe applicarsi ai documenti il cui accesso \u00e8 escluso o limitato in virt\u00f9 dei regimi di accesso per motivi di protezione dei dati personali, e a parti di documenti accessibili in virt\u00f9 di tali regimi che contengono dati personali il cui riutilizzo \u00e8 stato previsto per legge come incompatibile con la normativa in materia di tutela delle persone fisiche con riguardo al trattamento dei dati personali.<\/li>
  155. Il diritto degli Stati membri o i contratti collettivi, ivi compresi gli \u00abaccordi aziendali\u00bb, possono prevedere norme specifiche per il trattamento dei dati personali dei dipendenti nell\u2019ambito dei rapporti di lavoro, in particolare per quanto riguarda le condizioni alle quali i dati personali nei rapporti di lavoro possono essere trattati sulla base del consenso del dipendente, per finalit\u00e0 di assunzione, esecuzione del contratto di lavoro, compreso l\u2019adempimento degli obblighi stabiliti dalla legge o da contratti collettivi, di gestione, pianificazione e organizzazione del lavoro, parit\u00e0 e diversit\u00e0 sul posto di lavoro, salute e sicurezza sul lavoro, e ai fini dell\u2019esercizio e del godimento, individuale o collettivo, dei diritti e dei vantaggi connessi al lavoro, nonch\u00e9 per finalit\u00e0 di cessazione del rapporto di lavoro.<\/li>
  156. Il trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici dovrebbe essere soggetto a garanzie adeguate per i diritti e le libert\u00e0 dell\u2019interessato, in conformit\u00e0 del presente regolamento. Tali garanzie dovrebbero assicurare che siano state predisposte misure tecniche e organizzative al fine di garantire, in particolare, il principio della minimizzazione dei dati. L\u2019ulteriore trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici \u00e8 da effettuarsi quando il titolare del trattamento ha valutato la fattibilit\u00e0 di conseguire tali finalit\u00e0 trattando dati personali che non consentono o non consentono pi\u00f9 di identificare l\u2019interessato, purch\u00e9 esistano garanzie adeguate (come ad esempio la pseudonimizzazione dei dati personali). Gli Stati membri dovrebbero prevedere garanzie adeguate per il trattamento di dati personali per finalit\u00e0 di archiviazione nel pubblico interesse, per finalit\u00e0 di ricerca scientifica o storica o per finalit\u00e0 statistiche. Gli Stati membri dovrebbero essere autorizzati a fornire, a specifiche condizioni e fatte salve adeguate garanzie per gli interessati, specifiche e deroghe relative ai requisiti in materia di informazione e ai diritti alla rettifica, alla cancellazione, all\u2019oblio, alla limitazione del trattamento, alla portabilit\u00e0 dei dati personali, nonch\u00e9 al diritto di opporsi in caso di trattamento di dati personali per finalit\u00e0 di archiviazione nel pubblico interesse, per finalit\u00e0 di ricerca scientifica o storica o per finalit\u00e0 statistiche. Le condizioni e le garanzie in questione possono comprendere procedure specifiche per l\u2019esercizio di tali diritti da parte degli interessati, qualora ci\u00f2 sia appropriato alla luce delle finalit\u00e0 previste dallo specifico trattamento, oltre a misure tecniche e organizzative intese a ridurre al minimo il trattamento dei dati personali conformemente ai principi di proporzionalit\u00e0 e di necessit\u00e0. Il trattamento dei dati personali per finalit\u00e0 scientifiche dovrebbe rispettare anche altre normative pertinenti, ad esempio quelle sulle sperimentazioni cliniche.<\/li>
  157. ) Combinando informazioni provenienti dai registri, i ricercatori possono ottenere nuove conoscenze di grande utilit\u00e0 relativamente a patologie diffuse come le malattie cardiovascolari, il cancro e la depressione. Avvalendosi dei registri, i risultati delle ricerche possono acquistare maggiore rilevanza, dal momento che si basano su una popolazione pi\u00f9 ampia. Nell\u2019ambito delle scienze sociali, la ricerca basata sui registri consente ai ricercatori di ottenere conoscenze essenziali sulla correlazione a lungo termine tra numerose condizioni sociali, quali la disoccupazione e il livello di istruzione, e altre condizioni di vita. I risultati delle ricerche ottenuti dai registri forniscono conoscenze solide e di alta qualit\u00e0, che possono costituire la base per l\u2019elaborazione e l\u2019attuazione di politiche basate sulla conoscenza, migliorare la qualit\u00e0 della vita per molte persone, migliorare l\u2019efficienza dei servizi sociali. Al fine di facilitare la ricerca scientifica, i dati personali possono essere trattati per finalit\u00e0 di ricerca scientifica fatte salve condizioni e garanzie adeguate previste dal diritto dell\u2019Unione o degli Stati membri.<\/li>
  158. Qualora i dati personali siano trattati a fini di archiviazione, il presente regolamento dovrebbe applicarsi anche a tale tipo di trattamento, tenendo presente che non dovrebbe applicarsi ai dati delle persone decedute. Le autorit\u00e0 pubbliche o gli organismi pubblici o privati che tengono registri di interesse pubblico dovrebbero essere servizi che, in virt\u00f9 del diritto dell\u2019Unione o degli Stati membri, hanno l\u2019obbligo legale di acquisire, conservare, valutare, organizzare, descrivere, comunicare, promuovere, diffondere e fornire accesso a registri con un valore a lungo termine per l\u2019interesse pubblico generale. Gli Stati membri dovrebbero inoltre essere autorizzati a prevedere il trattamento ulteriore dei dati personali per finalit\u00e0 di archiviazione, per esempio al fine di fornire specifiche informazioni connesse al comportamento politico sotto precedenti regimi statali totalitari, a genocidi, crimini contro l\u2019umanit\u00e0, in particolare l\u2019Olocausto, o crimini di guerra.<\/li>
  159. Qualora i dati personali siano trattati per finalit\u00e0 di ricerca scientifica, il presente regolamento dovrebbe applicarsi anche a tale trattamento. Nell\u2019ambito del presente regolamento, il trattamento di dati personali per finalit\u00e0 di ricerca scientifica dovrebbe essere interpretato in senso lato e includere ad esempio sviluppo tecnologico e dimostrazione, ricerca fondamentale, ricerca applicata e ricerca finanziata da privati, oltre a tenere conto dell\u2019obiettivo dell\u2019Unione di istituire uno spazio europeo della ricerca ai sensi dell\u2019articolo 179, paragrafo 1, TFUE. Le finalit\u00e0 di ricerca scientifica dovrebbero altres\u00ec includere gli studi svolti nell\u2019interesse pubblico nel settore della sanit\u00e0 pubblica. Per rispondere alle specificit\u00e0 del trattamento dei dati personali per finalit\u00e0 di ricerca scientifica dovrebbero applicarsi condizioni specifiche, in particolare per quanto riguarda la pubblicazione o la diffusione in altra forma di dati personali nel contesto delle finalit\u00e0 di ricerca scientifica. Se il risultato della ricerca scientifica, in particolare nel contesto sanitario, costituisce motivo per ulteriori misure nell\u2019interesse dell\u2019interessato, le norme generali del presente regolamento dovrebbero applicarsi in vista di tali misure.<\/li>
  160. Qualora i dati personali siano trattati a fini di ricerca storica, il presente regolamento dovrebbe applicarsi anche a tale trattamento. Ci\u00f2 dovrebbe comprendere anche la ricerca storica e la ricerca a fini genealogici, tenendo conto del fatto che il presente regolamento non dovrebbe applicarsi ai dati delle persone decedute.<\/li>
  161. Ai fini del consenso alla partecipazione ad attivit\u00e0 di ricerca scientifica nell\u2019ambito di sperimentazioni cliniche dovrebbero applicarsi le pertinenti disposizioni del regolamento (UE) n. 536\/2014 del Parlamento europeo e del Consiglio (15).<\/li>
  162. Qualora i dati personali siano trattati per finalit\u00e0 statistiche, il presente regolamento dovrebbe applicarsi a tale trattamento. Il diritto dell\u2019Unione o degli Stati membri dovrebbe, entro i limiti del presente regolamento, determinare i contenuti statistici, il controllo dell\u2019accesso, le specifiche per il trattamento dei dati personali per finalit\u00e0 statistiche e le misure adeguate per tutelare i diritti e le libert\u00e0 dell\u2019interessato e per garantire il segreto statistico. Per finalit\u00e0 statistiche si intende qualsiasi operazione di raccolta e trattamento di dati personali necessari alle indagini statistiche o alla produzione di risultati statistici. Tali risultati statistici possono essere ulteriormente usati per finalit\u00e0 diverse, anche per finalit\u00e0 di ricerca scientifica. La finalit\u00e0 statistica implica che il risultato del trattamento per finalit\u00e0 statistiche non siano dati personali, ma dati aggregati, e che tale risultato o i dati personali non siano utilizzati a sostegno di misure o decisioni riguardanti persone fisiche specifiche.<\/li>
  163. \u00c8 opportuno proteggere le informazioni riservate raccolte dalle autorit\u00e0 statistiche nazionali e dell\u2019Unione per la produzione di statistiche ufficiali europee e nazionali. Le statistiche europee dovrebbero essere sviluppate, prodotte e diffuse conformemente ai principi statistici di cui all\u2019articolo 338, paragrafo 2, TFUE, mentre le statistiche nazionali dovrebbero essere conformi anche al diritto degli Stati membri. Il regolamento (CE) n. 223\/2009 del Parlamento europeo e del Consiglio (16) fornisce ulteriori specificazioni in merito al segreto statistico per quanto riguarda le statistiche europee.<\/li>
  164. Per quanto riguarda il potere delle autorit\u00e0 di controllo di ottenere, dal titolare del trattamento o dal responsabile del trattamento, accesso ai dati personali e accesso ai loro locali, gli Stati membri possono stabilire per legge, nei limiti del presente regolamento, norme specifiche per tutelare il segreto professionale o altri obblighi equivalenti di segretezza, qualora si rendano necessarie per conciliare il diritto alla protezione dei dati personali con il segreto professionale. Ci\u00f2 non pregiudica gli obblighi esistenti degli Stati membri di adottare norme relative al segreto professionale laddove richiesto dal diritto dell\u2019Unione.<\/li>
  165. Il presente regolamento rispetta e non pregiudica lo status di cui godono le chiese e le associazioni o comunit\u00e0 religiose negli Stati membri in virt\u00f9 del diritto costituzionale vigente, in conformit\u00e0 dell\u2019articolo 17 TFUE.<\/li>
  166. Al fine di conseguire gli obiettivi del regolamento, segnatamente tutelare i diritti e le libert\u00e0 fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali, e garantire la libera circolazione di tali dati nell\u2019Unione, \u00e8 opportuno delegare alla Commissione il potere di adottare atti conformemente all\u2019articolo 290 TFUE. In particolare, dovrebbero essere adottati atti delegati riguardanti i criteri e i requisiti dei meccanismi di certificazione, le informazioni da presentare sotto forma di icone standardizzate e le procedure per fornire tali icone. \u00c8 di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti. Nella preparazione e nell\u2019elaborazione degli atti delegati, la Commissione dovrebbe provvedere alla contestuale, tempestiva e appropriata trasmissione dei documenti pertinenti al Parlamento europeo e al Consiglio.<\/li>
  167. Al fine di garantire condizioni uniformi di esecuzione del presente regolamento, dovrebbero essere attribuite alla Commissione competenze di esecuzione ove previsto dal presente regolamento. Tali competenze dovrebbero essere esercitate conformemente al regolamento (UE) n. 182\/2011 del Parlamento europeo e del Consiglio.A tal fine, la Commissione dovrebbe contemplare misure specifiche per le micro, piccole e medie imprese.<\/li>
  168. \u00c8 opportuno applicare la procedura d\u2019esame per l\u2019adozione di atti di esecuzione su: clausole contrattuali tipo tra i titolari del trattamento e i responsabili del trattamento e tra responsabili del trattamento, codici di condotta; norme tecniche e meccanismi di certificazione; adeguato livello di protezione offerto da un paese terzo, un territorio o settore specifico all\u2019interno del paese terzo, o da un\u2019organizzazione internazionale; clausole tipo di protezione dei dati; formati e procedure per lo scambio di informazioni per via elettronica tra i titolari del trattamento, i responsabili del trattamento e le autorit\u00e0 di controllo per norme vincolanti d\u2019impresa; assistenza reciproca; e modalit\u00e0 per lo scambio di informazioni per via elettronica tra autorit\u00e0 di controllo e tra le autorit\u00e0 di controllo e il comitato.<\/li>
  169. \u00c8 opportuno che la Commissione adotti atti di esecuzione immediatamente applicabili quando gli elementi a disposizione indicano che un paese terzo, un territorio o settore di specifico all\u2019interno di tale paese terzo, o un\u2019organizzazione internazionale non garantisce un livello di protezione adeguato e ci\u00f2 \u00e8 reso necessario da imperativi motivi di urgenza.<\/li>
  170. Poich\u00e9 l\u2019obiettivo del presente regolamento, vale a dire garantire un livello equivalente di tutela delle persone fisiche e la libera circolazione dei dati personali nell\u2019Unione, non pu\u00f2 essere conseguito in misura sufficiente dagli Stati membri ma, a motivo della portata e degli effetti dell\u2019azione in questione, pu\u00f2 essere conseguito meglio a livello di Unione, quest\u2019ultima pu\u00f2 intervenire in base al principio di sussidiariet\u00e0 sancito dall\u2019articolo 5 del trattato sull\u2019Unione europea (TUE). Il presente regolamento si limita a quanto \u00e8 necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalit\u00e0 enunciato nello stesso articolo.<\/li>
  171. Il presente regolamento dovrebbe abrogare la direttiva 95\/46\/CE. Il trattamento gi\u00e0 in corso alla data di applicazione del presente regolamento dovrebbe essere reso conforme al presente regolamento entro un periodo di due anni dall\u2019entrata in vigore del presente regolamento. Qualora il trattamento si basi sul consenso a norma della direttiva 95\/46\/CE, non occorre che l\u2019interessato presti nuovamente il suo consenso, se questo \u00e8 stato espresso secondo modalit\u00e0 conformi alle condizioni del presente regolamento, affinch\u00e9 il titolare del trattamento possa proseguire il trattamento in questione dopo la data di applicazione del presente regolamento. Le decisioni della Commissione e le autorizzazioni delle autorit\u00e0 di controllo basate sulla direttiva 95\/46\/CE rimangono in vigore fino a quando non vengono modificate, sostituite o abrogate.<\/li>
  172. Il Garante europeo della protezione dei dati \u00e8 stato consultato conformemente all\u2019articolo 28, paragrafo 2, del regolamento (CE) n. 45\/2001 e ha espresso un parere il 7 marzo 2012 (17).<\/li>
  173. \u00c8 opportuno che il presente regolamento si applichi a tutti gli aspetti relativi alla tutela dei diritti e delle libert\u00e0 fondamentali con riguardo al trattamento dei dati personali che non rientrino in obblighi specifici, aventi lo stesso obiettivo, di cui alla direttiva 2002\/58\/CE del Parlamento europeo e del Consiglio (18), compresi gli obblighi del titolare del trattamento e i diritti delle persone fisiche. Per chiarire il rapporto tra il presente regolamento e la direttiva 2002\/58\/CE, \u00e8 opportuno modificare quest\u2019ultima di conseguenza. Una volta adottato il presente regolamento, la direttiva 2002\/58\/CE dovrebbe essere riesaminata in particolare per assicurare la coerenza con il presente regolamento,<\/li><\/ol>

    HANNO ADOTTATO IL PRESENTE REGOLAMENTO:<\/p>

    CAPO I<\/em><\/p>

    Disposizioni generali<\/span><\/em><\/p>

    Articolo 1<\/em><\/p>

    Oggetto e finalit\u00e0<\/span><\/p>

    1. Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonch\u00e9 norme relative alla libera circolazione di tali dati.<\/li>
    2. Il presente regolamento protegge i diritti e le libert\u00e0 fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.<\/li>
    3. La libera circolazione dei dati personali nell\u2019Unione non pu\u00f2 essere limitata n\u00e9 vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.<\/li><\/ol>

      Articolo 2<\/em><\/p>

      Ambito di applicazione materiale<\/span><\/p>

      1. Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.<\/li>
      2. Il presente regolamento non si applica ai trattamenti di dati personali:
        a) effettuati per attivit\u00e0 che non rientrano nell\u2019ambito di applicazione del diritto dell\u2019Unione;
        b) effettuati dagli Stati membri nell\u2019esercizio di attivit\u00e0 che rientrano nell\u2019ambito di applicazione del titolo V, capo 2, TUE;
        c) effettuati da una persona fisica per l\u2019esercizio di attivit\u00e0 a carattere esclusivamente personale o domestico;
        d) effettuati dalle autorit\u00e0 competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.<\/li>
      3. Per il trattamento dei dati personali da parte di istituzioni, organi, uffici e agenzie dell\u2019Unione, si applica il regolamento (CE) n. 45\/2001. Il regolamento (CE) n. 45\/2001 e gli altri atti giuridici dell\u2019Unione applicabili a tale trattamento di dati personali devono essere adeguati ai principi e alle norme del presente regolamento conformemente all\u2019articolo 98.<\/li>
      4. Il presente regolamento non pregiudica pertanto l\u2019applicazione della direttiva 2000\/31\/CE, in particolare le norme relative alla responsabilit\u00e0 dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva.<\/li><\/ol>

        Articolo 3<\/em><\/p>

        Ambito di applicazione territoriale<\/span><\/p>

        1. Il presente regolamento si applica al trattamento dei dati personali effettuato nell\u2019ambito delle attivit\u00e0 di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell\u2019Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell\u2019Unione. 4.5.2016 L 119\/32 Gazzetta ufficiale dell\u2019Unione europea IT<\/li>
        2. Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell\u2019Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non \u00e8 stabilito nell\u2019Unione, quando le attivit\u00e0 di trattamento riguardano:
          a) l\u2019offerta di beni o la prestazione di servizi ai suddetti interessati nell\u2019Unione, indipendentemente dall\u2019obbligatoriet\u00e0 di un pagamento dell\u2019interessato; oppure
          b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all\u2019interno dell\u2019Unione.<\/li>
        3. Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non \u00e8 stabilito nell\u2019Unione, ma in un luogo soggetto al diritto di uno Stato membro in virt\u00f9 del diritto internazionale pubblico.<\/li><\/ol>

          Articolo 4<\/em><\/p>

          Definizioni<\/span><\/p>

          Ai fini del presente regolamento s\u2019intende per:<\/p>

          1. \u00abdato personale\u00bb:qualsiasi informazione riguardante una persona fisica identificata o identificabile (\u00abinteressato\u00bb); si considera identificabile la persona fisica che pu\u00f2 essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all\u2019ubicazione, un identificativo online o a uno o pi\u00f9 elementi caratteristici della sua identit\u00e0 fisica, fisiologica, genetica, psichica, economica, culturale o sociale;<\/li>
          2. \u00abtrattamento\u00bb:qualsiasi operazione o insieme di operazioni, compiute con o senza l\u2019ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l\u2019organizzazione, la strutturazione, la conservazione, l\u2019adattamento o la modifica, l\u2019estrazione, la consultazione, l\u2019uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l\u2019interconnessione, la limitazione, la cancellazione o la distruzione;<\/li>
          3. \u00ablimitazione di trattamento\u00bb:il contrassegno dei dati personali conservati con l\u2019obiettivo di limitarne il trattamento in futuro;<\/li>
          4. \u00abprofilazione\u00bb:qualsiasi forma di trattamento automatizzato di dati personali consistente nell\u2019utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l\u2019affidabilit\u00e0, il comportamento, l\u2019ubicazione o gli spostamenti di detta persona fisica;<\/li>
          5. \u00abpseudonimizzazione\u00bb:il trattamento dei dati personali in modo tale che i dati personali non possano pi\u00f9 essere attribuiti a un interessato specifico senza l\u2019utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile;<\/li>
          6. \u00abarchivio\u00bb:qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico;<\/li>
          7. \u00abtitolare del trattamento\u00bb:la persona fisica o giuridica, l\u2019autorit\u00e0 pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalit\u00e0 e i mezzi del trattamento di dati personali; quando le finalit\u00e0 e i mezzi di tale trattamento sono determinati dal diritto dell\u2019Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell\u2019Unione o degli Stati membri;<\/li>
          8. \u00abresponsabile del trattamento\u00bb:la persona fisica o giuridica, l\u2019autorit\u00e0 pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;<\/li>
          9. \u00abdestinatario\u00bb:la persona fisica o giuridica, l\u2019autorit\u00e0 pubblica, il servizio o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. Tuttavia, le autorit\u00e0 pubbliche che possono ricevere comunicazione di dati personali nell\u2019ambito di una specifica indagine conformemente al diritto dell\u2019Unione o degli Stati membri non sono considerate destinatari; il trattamento di tali dati da parte di dette autorit\u00e0 pubbliche \u00e8 conforme alle norme applicabili in materia di protezione dei dati secondo le finalit\u00e0 del trattamento;<\/li>
          10. \u00abterzo\u00bb:la persona fisica o giuridica, l\u2019autorit\u00e0 pubblica, il servizio o altro organismo che non sia l\u2019interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l\u2019autorit\u00e0 diretta del titolare o del responsabile;<\/li>
          11. \u00abconsenso dell\u2019interessato\u00bb:qualsiasi manifestazione di volont\u00e0 libera, specifica, informata e inequivocabile dell\u2019interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento;<\/li>
          12. \u00abviolazione dei dati personali\u00bb:la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l\u2019accesso ai dati personali trasmessi, conservati o comunque trattati;<\/li>
          13. \u00abdati genetici\u00bb:i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall\u2019analisi di un campione biologico della persona fisica in questione;<\/li>
          14. \u00abdati biometrici\u00bb:i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l\u2019identificazione univoca, quali l\u2019immagine facciale o i dati dattiloscopici;<\/li>
          15. \u00abdati relativi alla salute\u00bb:i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute;<\/li>
          16. \u00abstabilimento principale\u00bb:
            a) per quanto riguarda un titolare del trattamento con stabilimenti in pi\u00f9 di uno Stato membro, il luogo della sua amministrazione centrale nell\u2019Unione, salvo che le decisioni sulle finalit\u00e0 e i mezzi del trattamento di dati personali siano adottate in un altro stabilimento del titolare del trattamento nell\u2019Unione e che quest\u2019ultimo stabilimento abbia facolt\u00e0 di ordinare l\u2019esecuzione di tali decisioni, nel qual caso lo stabilimento che ha adottato siffatte decisioni \u00e8 considerato essere lo stabilimento principale;
            b) con riferimento a un responsabile del trattamento con stabilimenti in pi\u00f9 di uno Stato membro, il luogo in cui ha sede la sua amministrazione centrale nell\u2019Unione o, se il responsabile del trattamento non ha un\u2019amministrazione centrale nell\u2019Unione, lo stabilimento del responsabile del trattamento nell\u2019Unione in cui sono condotte le principali attivit\u00e0 di trattamento nel contesto delle attivit\u00e0 di uno stabilimento del responsabile del trattamento nella misura in cui tale responsabile \u00e8 soggetto a obblighi specifici ai sensi del presente regolamento;<\/li>
          17. \u00abrappresentante\u00bb:la persona fisica o giuridica stabilita nell\u2019Unione che, designata dal titolare del trattamento o dal responsabile del trattamento per iscritto ai sensi dell\u2019articolo 27, li rappresenta per quanto riguarda gli obblighi rispettivi a norma del presente regolamento;<\/li>
          18. \u00abimpresa\u00bb:la persona fisica o giuridica, indipendentemente dalla forma giuridica rivestita, che eserciti un\u2019attivit\u00e0 economica, comprendente le societ\u00e0 di persone o le associazioni che esercitano regolarmente un\u2019attivit\u00e0 economica;<\/li>
          19. \u00abgruppo imprenditoriale\u00bb:un gruppo costituito da un\u2019impresa controllante e dalle imprese da questa controllate;<\/li>
          20. \u00abnorme vincolanti d\u2019impresa\u00bb:le politiche in materia di protezione dei dati personali applicate da un titolare del trattamento o responsabile del trattamento stabilito nel territorio di uno Stato membro al trasferimento o al complesso di trasferimenti di dati personali a un titolare del trattamento o responsabile del trattamento in uno o pi\u00f9 paesi terzi, nell\u2019ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un\u2019attivit\u00e0 economica comune;<\/li>
          21. \u00abautorit\u00e0 di controllo\u00bb:l\u2019autorit\u00e0 pubblica indipendente istituita da uno Stato membro ai sensi dell\u2019articolo 51; 4.5.2016<\/li>
          22. \u00abautorit\u00e0 di controllo interessata\u00bb:un\u2019autorit\u00e0 di controllo interessata dal trattamento di dati personali in quanto:
            a) il titolare del trattamento o il responsabile del trattamento \u00e8 stabilito sul territorio dello Stato membro di tale autorit\u00e0 di controllo;
            b) gli interessati che risiedono nello Stato membro dell\u2019autorit\u00e0 di controllo sono o sono probabilmente influenzati in modo sostanziale dal trattamento; oppure
            c) un reclamo \u00e8 stato proposto a tale autorit\u00e0 di controllo;<\/li>
          23. \u00abtrattamento transfrontaliero\u00bb:
            a) trattamento di dati personali che ha luogo nell\u2019ambito delle attivit\u00e0 di stabilimenti in pi\u00f9 di uno Stato membro di un titolare del trattamento o responsabile del trattamento nell\u2019Unione ove il titolare del trattamento o il responsabile del trattamento siano stabiliti in pi\u00f9 di uno Stato membro; oppure
            b) trattamento di dati personali che ha luogo nell\u2019ambito delle attivit\u00e0 di un unico stabilimento di un titolare del trattamento o responsabile del trattamento nell\u2019Unione, ma che incide o probabilmente incide in modo sostanziale su interessati in pi\u00f9 di uno Stato membro;<\/li>
          24. \u00abobiezione pertinente e motivata\u00bb:un\u2019obiezione al progetto di decisione sul fatto che vi sia o meno una violazione del presente regolamento, oppure che l\u2019azione prevista in relazione al titolare del trattamento o responsabile del trattamento sia conforme al presente regolamento, la quale obiezione dimostra chiaramente la rilevanza dei rischi posti dal progetto di decisione riguardo ai diritti e alle libert\u00e0 fondamentali degli interessati e, ove applicabile, alla libera circolazione dei dati personali all\u2019interno dell\u2019Unione;<\/li>
          25. \u00abservizio della societ\u00e0 dell\u2019informazione\u00bb:il servizio definito all\u2019articolo 1, paragrafo 1, lettera b), della direttiva (UE) 2015\/1535 del Parlamento europeo e del Consiglio (19);<\/li>
          26. \u00aborganizzazione internazionale\u00bb:un\u2019organizzazione e gli organismi di diritto internazionale pubblico a essa subordinati o qualsiasi altro organismo istituito da o sulla base di un accordo tra due o pi\u00f9 Stati.<\/li><\/ol>

            CAPO II<\/em><\/p>

            Principi<\/span><\/em><\/p>

            Articolo 5<\/em><\/p>

            Principi applicabili al trattamento di dati personali<\/span><\/p>

            1. I dati personali sono:
              a) trattati in modo lecito, corretto e trasparente nei confronti dell\u2019interessato (\u00abliceit\u00e0, correttezza e trasparenza\u00bb);
              b) raccolti per finalit\u00e0 determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalit\u00e0; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non \u00e8, conformemente all\u2019articolo 89, paragrafo 1, considerato incompatibile con le finalit\u00e0 iniziali (\u00ablimitazione della finalit\u00e0\u00bb);
              c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalit\u00e0 per le quali sono trattati (\u00abminimizzazione dei dati\u00bb);
              d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalit\u00e0 per le quali sono trattati (\u00abesattezza\u00bb); 4.5.2016
              e) conservati in una forma che consenta l\u2019identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalit\u00e0 per le quali sono trattati; i dati personali possono essere conservati per periodi pi\u00f9 lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all\u2019articolo 89, paragrafo 1, fatta salva l\u2019attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libert\u00e0 dell\u2019interessato (\u00ablimitazione della conservazione\u00bb);
              f) trattati in maniera da garantire un\u2019adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (\u00abintegrit\u00e0 e riservatezza\u00bb).<\/li>
            2. Il titolare del trattamento \u00e8 competente per il rispetto del paragrafo 1 e in grado di comprovarlo (\u00abresponsabilizzazione\u00bb).<\/li><\/ol>

              Articolo 6<\/em><\/p>

              Liceit\u00e0 del trattamento<\/span><\/p>

              1. Il trattamento \u00e8 lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
                a) l\u2019interessato ha espresso il consenso al trattamento dei propri dati personali per una o pi\u00f9 specifiche finalit\u00e0;
                b)il trattamento \u00e8 necessario all\u2019esecuzione di un contratto di cui l\u2019interessato \u00e8 parte o all\u2019esecuzione di misure precontrattuali adottate su richiesta dello stesso;
                c) il trattamento \u00e8 necessario per adempiere un obbligo legale al quale \u00e8 soggetto il titolare del trattamento;
                d) il trattamento \u00e8 necessario per la salvaguardia degli interessi vitali dell\u2019interessato o di un\u2019altra persona fisica;
                e) il trattamento \u00e8 necessario per l\u2019esecuzione di un compito di interesse pubblico o connesso all\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento;
                f) il trattamento \u00e8 necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libert\u00e0 fondamentali dell\u2019interessato che richiedono la protezione dei dati personali, in particolare se l\u2019interessato \u00e8 un minore. La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorit\u00e0 pubbliche nell\u2019esecuzione dei loro compiti.<\/li>
              2. Gli Stati membri possono mantenere o introdurre disposizioni pi\u00f9 specifiche per adeguare l\u2019applicazione delle norme del presente regolamento con riguardo al trattamento, in conformit\u00e0 del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX.<\/li>
              3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:
                a) dal diritto dell\u2019Unione; o
                <\/span>b) dal diritto dello Stato membro cui \u00e8 soggetto il titolare del trattamento.
                La finalit\u00e0 del trattamento \u00e8 determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), \u00e8 necessaria per l\u2019esecuzione di un compito svolto nel pubblico interesse o connesso all\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l\u2019applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceit\u00e0 del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalit\u00e0 per cui sono comunicati; le limitazioni della finalit\u00e0, i periodi di <\/span>conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell\u2019Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed \u00e8 proporzionato all\u2019obiettivo legittimo perseguito.<\/li>
              4. Laddove il trattamento per una finalit\u00e0 diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell\u2019interessato o su un atto legislativo dell\u2019Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una societ\u00e0 democratica per la salvaguardia degli obiettivi di cui all\u2019articolo 23, paragrafo 1, al fine di verificare se il trattamento per un\u2019altra finalit\u00e0 sia compatibile con la finalit\u00e0 per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l\u2019altro:
                a) di ogni nesso tra le finalit\u00e0 per cui i dati personali sono stati raccolti e le finalit\u00e0 dell\u2019ulteriore trattamento previsto;
                b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l\u2019interessato e il titolare del trattamento;
                c)della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell\u2019articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell\u2019articolo 10;
                d) delle possibili conseguenze dell\u2019ulteriore trattamento previsto per gli interessati;
                e) dell\u2019esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione.<\/li><\/ol>

                Articolo 7<\/em><\/p>

                Condizioni per il consenso<\/span><\/p>

                1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l\u2019interessato ha prestato il proprio consenso al trattamento dei propri dati personali.<\/li>
                2. Se il consenso dell\u2019interessato \u00e8 prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso \u00e8 presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Nessuna parte di una tale dichiarazione che costituisca una violazione del presente regolamento \u00e8 vincolante.<\/li>
                3. L\u2019interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceit\u00e0 del trattamento basata sul consenso prima della revoca. Prima di esprimere il proprio consenso, l\u2019interessato \u00e8 informato di ci\u00f2. Il consenso \u00e8 revocato con la stessa facilit\u00e0 con cui \u00e8 accordato.<\/li>
                4. Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l\u2019eventualit\u00e0, tra le altre, che l\u2019esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all\u2019esecuzione di tale contratto.<\/li><\/ol>

                  Articolo 8<\/em><\/p>

                  Condizioni applicabili al consenso dei minori in relazione ai servizi della societ\u00e0 dell\u2019informazione<\/span><\/p>

                  1. Qualora si applichi l\u2019articolo 6, paragrafo 1, lettera a), per quanto riguarda l\u2019offerta diretta di servizi della societ\u00e0 dell\u2019informazione ai minori, il trattamento di dati personali del minore \u00e8 lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un\u2019et\u00e0 inferiore ai 16 anni, tale trattamento \u00e8 lecito soltanto se e nella misura in cui tale consenso \u00e8 prestato o autorizzato dal titolare della responsabilit\u00e0 genitoriale. Gli Stati membri possono stabilire per legge un\u2019et\u00e0 inferiore a tali fini purch\u00e9 non inferiore ai 13 anni.<\/li>
                  2. Il titolare del trattamento si adopera in ogni modo ragionevole per verificare in tali casi che il consenso sia prestato o autorizzato dal titolare della responsabilit\u00e0 genitoriale sul minore, in considerazione delle tecnologie disponibili.<\/li>
                  3. Il paragrafo 1 non pregiudica le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validit\u00e0, la formazione o l\u2019efficacia di un contratto rispetto a un minore.<\/li><\/ol>

                    Articolo 9<\/em><\/p>

                    Trattamento di categorie particolari di dati personali<\/span><\/p>

                    1. \u00c8 vietato trattare dati personali che rivelino l\u2019origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l\u2019appartenenza sindacale, nonch\u00e9 trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all\u2019orientamento sessuale della persona.<\/li>
                    2. Il paragrafo 1 non si applica se si verifica uno dei seguenti casi:
                      a) l\u2019interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o pi\u00f9 finalit\u00e0 specifiche, salvo nei casi in cui il diritto dell\u2019Unione o degli Stati membri dispone che l\u2019interessato non possa revocare il divieto di cui al paragrafo 1;
                      b)il trattamento \u00e8 necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell\u2019interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell\u2019Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell\u2019interessato;
                      c)il trattamento \u00e8 necessario per tutelare un interesse vitale dell\u2019interessato o di un\u2019altra persona fisica qualora l\u2019interessato si trovi nell\u2019incapacit\u00e0 fisica o giuridica di prestare il proprio consenso;
                      d) il trattamento \u00e8 effettuato, nell\u2019ambito delle sue legittime attivit\u00e0 e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalit\u00e0 politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l\u2019associazione o l\u2019organismo a motivo delle sue finalit\u00e0 e che i dati personali non siano comunicati all\u2019esterno senza il consenso dell\u2019interessato;
                      e) il trattamento riguarda dati personali resi manifestamente pubblici dall\u2019interessato;
                      f) il trattamento \u00e8 necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorit\u00e0 giurisdizionali esercitino le loro funzioni giurisdizionali;
                      g) il trattamento \u00e8 necessario per motivi di interesse pubblico rilevante sulla base del diritto dell\u2019Unione o degli Stati membri, che deve essere proporzionato alla finalit\u00e0 perseguita, rispettare l\u2019essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell\u2019interessato;
                      h) il trattamento \u00e8 necessario per finalit\u00e0 di medicina preventiva o di medicina del lavoro, valutazione della capacit\u00e0 lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell\u2019Unione o degli Stati membri o conformemente al contratto con un professionista della sanit\u00e0, fatte salve le condizioni e le garanzie di cui al paragrafo 3;
                      i) il trattamento \u00e8 necessario per motivi di interesse pubblico nel settore della sanit\u00e0 pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualit\u00e0 e sicurezza dell\u2019assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell\u2019Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libert\u00e0 dell\u2019interessato, in particolare il segreto professionale;
                      j) il trattamento \u00e8 necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformit\u00e0 dell\u2019articolo 89, paragrafo 1, sulla base del diritto dell\u2019Unione o nazionale, che \u00e8 proporzionato alla finalit\u00e0 perseguita, rispetta l\u2019essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell\u2019interessato.<\/li>
                    3. I dati personali di cui al paragrafo 1 possono essere trattati per le finalit\u00e0 di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilit\u00e0 di un professionista soggetto al segreto professionale conformemente al diritto dell\u2019Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch\u2019essa soggetta all\u2019obbligo di segretezza conformemente al diritto dell\u2019Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti.<\/li>
                    4. Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute.<\/li><\/ol>

                      Articolo 10<\/em><\/p>

                      Trattamento dei dati personali relativi a condanne penali e reati<\/span><\/p>

                      Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell\u2019articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell\u2019autorit\u00e0 pubblica o se il trattamento \u00e8 autorizzato dal diritto dell\u2019Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libert\u00e0 degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell\u2019autorit\u00e0 pubblica.<\/p>

                      Articolo 11<\/em><\/p>

                      Trattamento che non richiede l\u2019identificazione<\/span><\/p>

                      1. Se le finalit\u00e0 per cui un titolare del trattamento tratta i dati personali non richiedono o non richiedono pi\u00f9 l\u2019identificazione dell\u2019interessato, il titolare del trattamento non \u00e8 obbligato a conservare, acquisire o trattare ulteriori informazioni per identificare l\u2019interessato al solo fine di rispettare il presente regolamento.<\/li>
                      2. Qualora, nei casi di cui al paragrafo 1 del presente articolo, il titolare del trattamento possa dimostrare di non essere in grado di identificare l\u2019interessato, ne informa l\u2019interessato, se possibile. In tali casi, gli articoli da 15 a 20 non si applicano tranne quando l\u2019interessato, al fine di esercitare i diritti di cui ai suddetti articoli, fornisce ulteriori informazioni che ne consentano l\u2019identificazione.<\/li><\/ol>

                        CAPO III<\/em><\/p>

                        Diritti dell\u2019interessato<\/em><\/span><\/p>

                        Sezione 1<\/p>

                        Trasparenza e modalit\u00e0<\/span><\/p>

                        Articolo 12<\/em><\/p>

                        Informazioni, comunicazioni e modalit\u00e0 trasparenti per l\u2019esercizio dei diritti dell\u2019interessato<\/span><\/p>

                        1. Il titolare del trattamento adotta misure appropriate per fornire all\u2019interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all\u2019articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall\u2019interessato, le informazioni possono essere fornite oralmente, purch\u00e9 sia comprovata con altri mezzi l\u2019identit\u00e0 dell\u2019interessato.<\/li>
                        2. Il titolare del trattamento agevola l\u2019esercizio dei diritti dell\u2019interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all\u2019articolo 11, paragrafo 2, il titolare del trattamento non pu\u00f2 rifiutare di soddisfare la richiesta dell\u2019interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non \u00e8 in grado di identificare l\u2019interessato.<\/li>
                        3. Il titolare del trattamento fornisce all\u2019interessato le informazioni relative all\u2019azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al pi\u00f9 tardi entro un mese dal ricevimento della richiesta stessa. Tale termine pu\u00f2 essere prorogato di due mesi, se necessario, tenuto conto della complessit\u00e0 e del numero delle richieste. Il titolare del trattamento informa l\u2019interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l\u2019interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell\u2019interessato.<\/li>
                        4. Se non ottempera alla richiesta dell\u2019interessato, il titolare del trattamento informa l\u2019interessato senza ritardo, e al pi\u00f9 tardi entro un mese dal ricevimento della richiesta, dei motivi dell\u2019inottemperanza e della possibilit\u00e0 di proporre reclamo a un\u2019autorit\u00e0 di controllo e di proporre ricorso giurisdizionale.<\/li>
                        5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell\u2019articolo 34 sono gratuite. Se le richieste dell\u2019interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento pu\u00f2:
                          a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l\u2019azione richiesta; oppure
                          b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l\u2019onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.<\/li>
                        6. Fatto salvo l\u2019articolo 11, qualora il titolare del trattamento nutra ragionevoli dubbi circa l\u2019identit\u00e0 della persona fisica che presenta la richiesta di cui agli articoli da 15 a 21, pu\u00f2 richiedere ulteriori informazioni necessarie per confermare l\u2019identit\u00e0 dell\u2019interessato.<\/li>
                        7. Le informazioni da fornire agli interessati a norma degli articoli 13 e 14 possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d\u2019insieme del trattamento previsto. Se presentate elettronicamente, le icone sono leggibili da dispositivo automatico.<\/li>
                        8. Alla Commissione \u00e8 conferito il potere di adottare atti delegati conformemente all\u2019articolo 92 al fine di stabilire le informazioni da presentare sotto forma di icona e le procedure per fornire icone standardizzate.<\/li><\/ol>

                          Sezione 2<\/p>

                          Informazione e accesso ai dati personali<\/span><\/p>

                          Articolo 13<\/em><\/p>

                          Informazioni da fornire qualora i dati personali siano raccolti presso l\u2019interessato<\/span><\/p>

                          1. In caso di raccolta presso l\u2019interessato di dati che lo riguardano, il titolare del trattamento fornisce all\u2019interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
                            a) l\u2019identit\u00e0 e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
                            b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;
                            c) le finalit\u00e0 del trattamento cui sono destinati i dati personali nonch\u00e9 la base giuridica del trattamento;
                            d) qualora il trattamento si basi sull\u2019articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
                            e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
                            f)ove applicabile, l\u2019intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un\u2019organizzazione internazionale e l\u2019esistenza o l\u2019assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all\u2019articolo 46 o 47, o all\u2019articolo 49, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali dati o il luogo dove sono stati resi disponibili.<\/li>
                          2. In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all\u2019interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:
                            a) il periodo di conservazione dei dati personali oppure, se non \u00e8 possibile, i criteri utilizzati per determinare tale periodo;
                            b) l\u2019esistenza del diritto dell\u2019interessato di chiedere al titolare del trattamento l\u2019accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilit\u00e0 dei dati;
                            c) qualora il trattamento sia basato sull\u2019articolo 6, paragrafo 1, lettera a), oppure sull\u2019articolo 9, paragrafo 2, lettera a), l\u2019esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceit\u00e0 del trattamento basata sul consenso prestato prima della revoca;
                            d) il diritto di proporre reclamo a un\u2019autorit\u00e0 di controllo;
                            e) se la comunicazione di dati personali \u00e8 un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l\u2019interessato ha l\u2019obbligo di fornire i dati personali nonch\u00e9 le possibili conseguenze della mancata comunicazione di tali dati;
                            f) l\u2019esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all\u2019articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonch\u00e9 l\u2019importanza e le conseguenze previste di tale trattamento per l\u2019interessato.<\/li>
                          3. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalit\u00e0 diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all\u2019interessato informazioni in merito a tale diversa finalit\u00e0 e ogni ulteriore informazione pertinente di cui al paragrafo 2.<\/li>
                          4. I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l\u2019interessato dispone gi\u00e0 delle informazioni.<\/li><\/ol>

                            Articolo 14<\/em><\/p>

                            Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l\u2019interessato<\/span><\/p>

                            1. Qualora i dati non siano stati ottenuti presso l\u2019interessato, il titolare del trattamento fornisce all\u2019interessato le seguenti informazioni:
                              a) l\u2019identit\u00e0 e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
                              b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;
                              c) le finalit\u00e0 del trattamento cui sono destinati i dati personali nonch\u00e9 la base giuridica del trattamento;
                              d) le categorie di dati personali in questione;
                              e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
                              f) ove applicabile, l\u2019intenzione del titolare del trattamento di trasferire dati personali a un destinatario in un paese terzo o a un\u2019organizzazione internazionale e l\u2019esistenza o l\u2019assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all\u2019articolo 46 o 47, o all\u2019articolo 49, secondo comma, il riferimento alle garanzie adeguate o opportune e i mezzi per ottenere una copia di tali dati o il luogo dove sono stati resi disponibili.<\/li>
                            2. Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all\u2019interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell\u2019interessato:
                              a) il periodo di conservazione dei dati personali oppure, se non \u00e8 possibile, i criteri utilizzati per determinare tale periodo;
                              b) qualora il trattamento si basi sull\u2019articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
                              c) l\u2019esistenza del diritto dell\u2019interessato di chiedere al titolare del trattamento l\u2019accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilit\u00e0 dei dati;
                              d) qualora il trattamento sia basato sull\u2019articolo 6, paragrafo 1, lettera a), oppure sull\u2019articolo 9, paragrafo 2, lettera a), l\u2019esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceit\u00e0 del trattamento basata sul consenso prima della revoca;
                              e) il diritto di proporre reclamo a un\u2019autorit\u00e0 di controllo;
                              f) la fonte da cui hanno origine i dati personali e, se del caso, l\u2019eventualit\u00e0 che i dati provengano da fonti accessibili al pubblico;
                              g) l\u2019esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all\u2019articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonch\u00e9 l\u2019importanza e le conseguenze previste di tale trattamento per l\u2019interessato.<\/li>
                            3. Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2:
                              a) entro un termine ragionevole dall\u2019ottenimento dei dati personali, ma al pi\u00f9 tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati;
                              b) nel caso in cui i dati personali siano destinati alla comunicazione con l\u2019interessato, al pi\u00f9 tardi al momento della prima comunicazione all\u2019interessato; oppure
                              c) nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali.<\/li>
                            4. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalit\u00e0 diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all\u2019interessato informazioni in merito a tale diversa finalit\u00e0 e ogni informazione pertinente di cui al paragrafo 2.<\/li>
                            5. I paragrafi da 1 a 4 non si applicano se e nella misura in cui:
                              a) l\u2019interessato dispone gi\u00e0 delle informazioni;
                              b) comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; in particolare per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all\u2019articolo 89, paragrafo 1, o nella misura in cui l\u2019obbligo di cui al paragrafo 1 del presente articolo rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalit\u00e0 di tale trattamento. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libert\u00e0 e i legittimi interessi dell\u2019interessato, anche rendendo pubbliche le informazioni;
                              c) l\u2019ottenimento o la comunicazione sono espressamente previsti dal diritto dell\u2019Unione o dello Stato membro cui \u00e8 soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell\u2019interessato; oppure
                              d) qualora i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell\u2019Unione o degli Stati membri, compreso un obbligo di segretezza previsto per legge.<\/li><\/ol>

                              Articolo 15<\/em><\/p>

                              Diritto di accesso dell\u2019interessato<\/span><\/p>

                              1. L\u2019interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l\u2019accesso ai dati personali e alle seguenti informazioni:
                                a) le finalit\u00e0 del trattamento;
                                b) le categorie di dati personali in questione;
                                c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;
                                d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non \u00e8 possibile, i criteri utilizzati per determinare tale periodo;
                                e) l\u2019esistenza del diritto dell\u2019interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;
                                f) il diritto di proporre reclamo a un\u2019autorit\u00e0 di controllo;
                                g) qualora i dati non siano raccolti presso l\u2019interessato, tutte le informazioni disponibili sulla loro origine;
                                h) l\u2019esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all\u2019articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonch\u00e9 l\u2019importanza e le conseguenze previste di tale trattamento per l\u2019interessato.<\/li>
                              2. Qualora i dati personali siano trasferiti a un paese terzo o a un\u2019organizzazione internazionale, l\u2019interessato ha il diritto di essere informato dell\u2019esistenza di garanzie adeguate ai sensi dell\u2019articolo 46 relative al trasferimento.<\/li>
                              3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall\u2019interessato, il titolare del trattamento pu\u00f2 addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l\u2019interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell\u2019interessato, le informazioni sono fornite in un formato elettronico di uso comune.<\/li>
                              4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libert\u00e0 altrui.<\/li><\/ol>

                                Sezione 3<\/p>

                                Rettifica e cancellazione<\/span><\/p>

                                Articolo 16<\/em><\/p>

                                Diritto di rettifica<\/span><\/p>

                                L\u2019interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalit\u00e0 del trattamento, l\u2019interessato ha il diritto di ottenere l\u2019integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.<\/p>

                                Articolo 17<\/em><\/p>

                                Diritto alla cancellazione (\u00abdiritto all\u2019oblio\u00bb)<\/span><\/p>

                                1. L\u2019interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l\u2019obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
                                  a) i dati personali non sono pi\u00f9 necessari rispetto alle finalit\u00e0 per le quali sono stati raccolti o altrimenti trattati;
                                  b) l\u2019interessato revoca il consenso su cui si basa il trattamento conformemente all\u2019articolo 6, paragrafo 1, lettera a), o all\u2019articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
                                  c) l\u2019interessato si oppone al trattamento ai sensi dell\u2019articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell\u2019articolo 21, paragrafo 2;
                                  d) i dati personali sono stati trattati illecitamente
                                  e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell\u2019Unione o dello Stato membro cui \u00e8 soggetto il titolare del trattamento;
                                  f) i dati personali sono stati raccolti relativamente all\u2019offerta di servizi della societ\u00e0 dell\u2019informazione di cui all\u2019articolo 8, paragrafo 1.<\/li>
                                2. Il titolare del trattamento, se ha reso pubblici dati personali ed \u00e8 obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell\u2019interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.<\/li>
                                3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
                                  a) per l\u2019esercizio del diritto alla libert\u00e0 di espressione e di informazione;
                                  b) per l\u2019adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell\u2019Unione o dello Stato membro cui \u00e8 soggetto il titolare del trattamento o per l\u2019esecuzione di un compito svolto nel pubblico interesse oppure nell\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento;
                                  c) per motivi di interesse pubblico nel settore della sanit\u00e0 pubblica in conformit\u00e0 dell\u2019articolo 9, paragrafo 2, lettere h) e i), e dell\u2019articolo 9, paragrafo 3;
                                  d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all\u2019articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o
                                  e) per l\u2019accertamento, l\u2019esercizio o la difesa di un diritto in sede giudiziaria.<\/li><\/ol>

                                  Articolo 18<\/em><\/p>

                                  Diritto di limitazione di trattamento<\/span><\/p>

                                  1. L\u2019interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:
                                    a) l\u2019interessato contesta l\u2019esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l\u2019esattezza di tali dati personali;
                                    b) il trattamento \u00e8 illecito e l\u2019interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l\u2019utilizzo;
                                    c) bench\u00e9 il titolare del trattamento non ne abbia pi\u00f9 bisogno ai fini del trattamento, i dati personali sono necessari all\u2019interessato per l\u2019accertamento, l\u2019esercizio o la difesa di un diritto in sede giudiziaria;
                                    d) l\u2019interessato si \u00e8 opposto al trattamento ai sensi dell\u2019articolo 21, paragrafo 1, in attesa della verifica in merito all\u2019eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell\u2019interessato.<\/li>
                                  2. Se il trattamento \u00e8 limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell\u2019interessato o per l\u2019accertamento, l\u2019esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un\u2019altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell\u2019Unione o di uno Stato membro.<\/li>
                                  3. L\u2019interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 \u00e8 informato dal titolare del trattamento prima che detta limitazione sia revocata.<\/li><\/ol>

                                    Articolo 19<\/em><\/p>

                                    Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento<\/span><\/p>

                                    Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell\u2019articolo 16, dell\u2019articolo 17, paragrafo 1, e dell\u2019articolo 18, salvo che ci\u00f2 si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all\u2019interessato tali destinatari qualora l\u2019interessato lo richieda.<\/p>

                                    Articolo 20<\/em><\/p>

                                    Diritto alla portabilit\u00e0 dei dati<\/span><\/p>

                                    1. L\u2019interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora: a) il trattamento si basi sul consenso ai sensi dell\u2019articolo 6, paragrafo 1, lettera a), o dell\u2019articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell\u2019articolo 6, paragrafo 1, lettera b); e b) il trattamento sia effettuato con mezzi automatizzati.<\/li>
                                    2. Nell\u2019esercitare i propri diritti relativamente alla portabilit\u00e0 dei dati a norma del paragrafo 1, l\u2019interessato ha il diritto di ottenere la trasmissione diretta dei dati personali da un titolare del trattamento all\u2019altro, se tecnicamente fattibile.<\/li>
                                    3. L\u2019esercizio del diritto di cui al paragrafo 1 del presente articolo lascia impregiudicato l\u2019articolo 17. Tale diritto non si applica al trattamento necessario per l\u2019esecuzione di un compito di interesse pubblico o connesso all\u2019esercizio di pubblici poteri di cui \u00e8 investito il titolare del trattamento.<\/li>
                                    4. Il diritto di cui al paragrafo 1 non deve ledere i diritti e le libert\u00e0 altrui. Sezione 4 Diritto di opposizione e processo decisionale automatizzato relativo alle persone fisiche.<\/li><\/ol>

                                      Articolo 21<\/em><\/p>

                                      Diritto di opposizione<\/span><\/p>

                                      1. L\u2019interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell\u2019articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l\u2019esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libert\u00e0 dell\u2019interessato oppure per l\u2019accertamento, l\u2019esercizio o la difesa di un diritto in sede giudiziaria.<\/li>
                                      2. Qualora i dati personali siano trattati per finalit\u00e0 di marketing diretto, l\u2019interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalit\u00e0, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto.<\/li>
                                      3. Qualora l\u2019interessato si opponga al trattamento per finalit\u00e0 di marketing diretto, i dati personali non sono pi\u00f9 oggetto di trattamento per tali finalit\u00e0.<\/li>
                                      4. Il diritto di cui ai paragrafi 1 e 2 \u00e8 esplicitamente portato all\u2019attenzione dell\u2019interessato ed \u00e8 presentato chiaramente e separatamente da qualsiasi altra informazione al pi\u00f9 tardi al momento della prima comunicazione con l\u2019interessato.<\/li>
                                      5. Nel contesto dell\u2019utilizzo di servizi della societ\u00e0 dell\u2019informazione e fatta salva la direttiva 2002\/58\/CE, l\u2019interessato pu\u00f2 esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche.<\/li>
                                      6. Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici a norma dell\u2019articolo 89, paragrafo 1, l\u2019interessato, per motivi connessi alla sua situazione particolare, ha il diritto di opporsi al trattamento di dati personali che lo riguarda, salvo se il trattamento \u00e8 necessario per l\u2019esecuzione di un compito di interesse pubblico.<\/li><\/ol>

                                        Articolo 22<\/em><\/p>

                                        Processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione<\/span><\/p>

                                        1. L\u2019interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.<\/li>
                                        2. Il paragrafo 1 non si applica nel caso in cui la decisione:
                                          a) sia necessaria per la conclusione o l\u2019esecuzione di un contratto tra l\u2019interessato e un titolare del trattamento;
                                          b) sia autorizzata dal diritto dell\u2019Unione o dello Stato membro cui \u00e8 soggetto il titolare del trattamento, che precisa altres\u00ec misure adeguate a tutela dei diritti, delle libert\u00e0 e dei legittimi interessi dell\u2019interessato;
                                          c) si basi sul consenso esplicito dell\u2019interessato.<\/li>
                                        3. Nei casi di cui al paragrafo 2, lettere a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libert\u00e0 e i legittimi interessi dell\u2019interessato, almeno il diritto di ottenere l\u2019intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.<\/li>
                                        4. Le decisioni di cui al paragrafo 2 non si basano sulle categorie particolari di dati personali di cui all\u2019articolo 9, paragrafo 1, a meno che non sia d\u2019applicazione l\u2019articolo 9, paragrafo 2, lettere a) o g), e non siano in vigore misure adeguate a tutela dei diritti, delle libert\u00e0 e dei legittimi interessi dell\u2019interessato.<\/li><\/ol>

                                          Sezione 5<\/p>

                                          Limitazioni<\/span><\/p>

                                          Articolo 23<\/em><\/p>

                                          Limitazioni<\/span><\/p>

                                          Il diritto dell\u2019Unione o dello Stato membro cui \u00e8 soggetto il titolare del trattamento o il responsabile del trattamento pu\u00f2 limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonch\u00e9 all\u2019articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l\u2019essenza dei diritti e delle libert\u00e0 fondamentali e sia una misura necessaria e proporzionata in una societ\u00e0 democratica per salvaguardare:
                                          a) la sicurezza nazionale;
                                          b) la difesa;
                                          c) la sicurezza pubblica;
                                          d) la prevenzione, l\u2019indagine, l\u2019accertamento e il perseguimento di reati o l\u2019esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica;
                                          e) altri importanti obiettivi di interesse pubblico generale dell\u2019Unione o di uno Stato membro, in particolare un rilevante interesse economico o finanziario dell\u2019Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanit\u00e0 pubblica e sicurezza sociale;
                                          f) la salvaguardia dell\u2019indipendenza della magistratura e dei procedimenti giudiziari;
                                          g)le attivit\u00e0 volte a prevenire, indagare, accertare e perseguire violazioni della deontologia delle professioni regolamentate;
                                          h) una funzione di controllo, d\u2019ispezione o di regolamentazione connessa, anche occasionalmente, all\u2019esercizio di pubblici poteri nei casi di cui alle lettere da a), a e) e g); i) la tutela dell\u2019interessato o dei diritti e delle libert\u00e0 altrui;
                                          j) l\u2019esecuzione delle azioni civili.<\/p>

                                          In particolare qualsiasi misura legislativa di cui al paragrafo 1 contiene disposizioni specifiche riguardanti almeno, se del caso:
                                          a) le finalit\u00e0 del trattamento o le categorie di trattamento;
                                          b) le categorie di dati personali;
                                          c) la portata delle limitazioni introdotte;
                                          d) le garanzie per prevenire abusi o l\u2019accesso o il trasferimento illeciti;
                                          e) l\u2019indicazione precisa del titolare del trattamento o delle categorie di titolari;
                                          f) i periodi di conservazione e le garanzie applicabili tenuto conto della natura, dell\u2019ambito di applicazione e delle finalit\u00e0 del trattamento o delle categorie di trattamento;
                                          g) i rischi per i diritti e le libert\u00e0 degli interessati; e
                                          h) il diritto degli interessati di essere informati della limitazione, a meno che ci\u00f2 possa compromettere la finalit\u00e0 della stessa.<\/p>

                                          CAPO IV<\/p>

                                          Titolare del trattamento e responsabile del trattamento<\/em><\/span><\/p>

                                          Sezione 1<\/p>

                                          Obblighi generali<\/span><\/p>

                                          Articolo 24<\/em><\/p>

                                          Responsabilit\u00e0 del titolare del trattamento<\/span><\/p>

                                          1. Tenuto conto della natura, dell\u2019ambito di applicazione, del contesto e delle finalit\u00e0 del trattamento, nonch\u00e9 dei rischi aventi probabilit\u00e0 e gravit\u00e0 diverse per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento \u00e8 effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.<\/li>
                                          2. Se ci\u00f2 \u00e8 proporzionato rispetto alle attivit\u00e0 di trattamento, le misure di cui al paragrafo 1 includono l\u2019attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.<\/li>
                                          3. L\u2019adesione ai codici di condotta di cui all\u2019articolo 40 o a un meccanismo di certificazione di cui all\u2019articolo 42 pu\u00f2 essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento.<\/li><\/ol>

                                            Articolo 25<\/em><\/p>

                                            Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita<\/span><\/p>

                                            1. Tenendo conto dello stato dell\u2019arte e dei costi di attuazione, nonch\u00e9 della natura, dell\u2019ambito di applicazione, del contesto e delle finalit\u00e0 del trattamento, come anche dei rischi aventi probabilit\u00e0 e gravit\u00e0 diverse per i diritti e le libert\u00e0 delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all\u2019atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.<\/li>
                                            2. Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalit\u00e0 del trattamento. Tale obbligo vale per la quantit\u00e0 dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l\u2019accessibilit\u00e0. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l\u2019intervento della persona fisica.<\/li>
                                            3. Un meccanismo di certificazione approvato ai sensi dell\u2019articolo 42 pu\u00f2 essere utilizzato come elemento per dimostrare la conformit\u00e0 ai requisiti di cui ai paragrafi 1 e 2 del presente articolo.<\/li><\/ol>

                                              Articolo 26<\/em><\/p>

                                              Contitolari del trattamento<\/span><\/p>

                                              Allorch\u00e9 due o pi\u00f9 titolari del trattamento determinano congiuntamente le finalit\u00e0 e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilit\u00e0 in merito all\u2019osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all\u2019esercizio dei diritti dell\u2019interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilit\u00e0 siano determinate dal diritto dell\u2019Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo pu\u00f2 designare un punto di contatto per gli interessati.<\/p>

                                              L\u2019accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell\u2019accordo \u00e8 messo a disposizione dell\u2019interessato.<\/p>

                                              Indipendentemente dalle disposizioni dell\u2019accordo di cui al paragrafo 1, l\u2019interessato pu\u00f2 esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.<\/p>

                                              Articolo 27<\/em><\/p>

                                              Rappresentanti di titolari del trattamento o dei responsabili del trattamento non stabiliti nell\u2019Unione<\/span><\/p>

                                              1. Ove si applichi l\u2019articolo 3, paragrafo 2, il titolare del trattamento o il responsabile del trattamento designa per iscritto un rappresentante nell\u2019Unione.<\/li>
                                              2. L\u2019obbligo di cui al paragrafo 1 del presente articolo non si applica: a) al trattamento se quest\u2019ultimo \u00e8 occasionale, non include il trattamento, su larga scala, di categorie particolari di dati di cui all\u2019articolo 9, paragrafo 1, o di dati personali relativi a condanne penali e a reati di cui all\u2019articolo 10, ed \u00e8 improbabile che presenti un rischio per i diritti e le libert\u00e0 delle persone fisiche, tenuto conto della natura, del contesto, dell\u2019ambito di applicazione e delle finalit\u00e0 del trattamento; oppure b) alle autorit\u00e0 pubbliche o agli organismi pubblici.<\/li>
                                              3. Il rappresentante \u00e8 stabilito in uno degli Stati membri in cui si trovano gli interessati e i cui dati personali sono trattati nell\u2019ambito dell\u2019offerta di beni o servizi o il cui comportamento \u00e8 monitorato.<\/li>
                                              4. Ai fini della conformit\u00e0 con il presente regolamento, il rappresentante \u00e8 incaricato dal titolare del trattamento o dal responsabile del trattamento a fungere da interlocutore, in aggiunta o in sostituzione del titolare del trattamento o del responsabile del trattamento, in particolare delle autorit\u00e0 di controllo e degli interessati, per tutte le questioni riguardanti il trattamento.<\/li>
                                              5. La designazione di un rappresentante a cura del titolare del trattamento o del responsabile del trattamento fa salve le azioni legali che potrebbero essere promosse contro lo stesso titolare del trattamento o responsabile del trattamento.<\/li><\/ol>

                                                Articolo 28<\/em><\/p>

                                                Responsabile del trattamento<\/span><\/p>

                                                1. Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest\u2019ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell\u2019interessato.<\/li>
                                                2. Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l\u2019aggiunta o la sostituzione di altri responsabili del trattamento, dando cos\u00ec al titolare del trattamento l\u2019opportunit\u00e0 di opporsi a tali modifiche.<\/li>
                                                3. I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell\u2019Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalit\u00e0 del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento:
                                                  a) tratti i dati personali soltanto su istruzione documentata del titolare del trattamento, anche in caso di trasferimento di dati personali verso un paese terzo o un\u2019organizzazione internazionale, salvo che lo richieda il diritto dell\u2019Unione o nazionale cui \u00e8 soggetto il responsabile del trattamento; in tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico;
                                                  b) garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
                                                  c) adotti tutte le misure richieste ai sensi dell\u2019articolo 32;
                                                  d) rispetti le condizioni di cui ai paragrafi 2 e 4 per ricorrere a un altro responsabile del trattamento;
                                                  e) tenendo conto della natura del trattamento, assista il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ci\u00f2 sia possibile, al fine di soddisfare l\u2019obbligo del titolare del trattamento di dare seguito alle richieste per l\u2019esercizio dei diritti dell\u2019interessato di cui al capo III;
                                                  f) assista il titolare del trattamento nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36, tenendo conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento;
                                                  g) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che \u00e8 terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell\u2019Unione o degli Stati membri preveda la conservazione dei dati; e
                                                  h) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attivit\u00e0 di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato. Con riguardo alla lettera h) del primo comma, il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un\u2019istruzione violi il presente regolamento o altre disposizioni, nazionali o dell\u2019Unione, relative alla protezione dei dati.<\/li>
                                                4. Quando un responsabile del trattamento ricorre a un altro responsabile del trattamento per l\u2019esecuzione di specifiche attivit\u00e0 di trattamento per conto del titolare del trattamento, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico a norma del diritto dell\u2019Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento di cui al paragrafo 3, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento. Qualora l\u2019altro responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, il responsabile iniziale conserva nei confronti del titolare del trattamento l\u2019intera responsabilit\u00e0 dell\u2019adempimento degli obblighi dell\u2019altro responsabile.<\/li>
                                                5. L\u2019adesione da parte del responsabile del trattamento a un codice di condotta approvato di cui all\u2019articolo 40 o a un meccanismo di certificazione approvato di cui all\u2019articolo 42 pu\u00f2 essere utilizzata come elemento per dimostrare le garanzie sufficienti di cui ai paragrafi 1 e 4 del presente articolo.<\/li>
                                                6. Fatto salvo un contratto individuale tra il titolare del trattamento e il responsabile del trattamento, il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 del presente articolo pu\u00f2 basarsi, in tutto o in parte, su clausole contrattuali tipo di cui ai paragrafi 7 e 8 del presente articolo, anche laddove siano parte di una certificazione concessa al titolare del trattamento o al responsabile del trattamento ai sensi degli articoli 42 e 43.<\/li>
                                                7. La Commissione pu\u00f2 stabilire clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo e secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2.<\/li>
                                                8. Un\u2019autorit\u00e0 di controllo pu\u00f2 adottare clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo in conformit\u00e0 del meccanismo di coerenza di cui all\u2019articolo 63.<\/li>
                                                9. Il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 \u00e8 stipulato in forma scritta, anche in formato elettronico.<\/li>
                                                10. Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalit\u00e0 e i mezzi del trattamento, \u00e8 considerato un titolare del trattamento in questione.<\/li><\/ol>

                                                  Articolo 29<\/em><\/p>

                                                  Trattamento sotto l\u2019autorit\u00e0 del titolare del trattamento o del responsabile del trattamento<\/span><\/p>

                                                  Il responsabile del trattamento, o chiunque agisca sotto la sua autorit\u00e0 o sotto quella del titolare del trattamento, che abbia accesso a dati personali non pu\u00f2 trattare tali dati se non \u00e8 istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell\u2019Unione o degli Stati membri.<\/p>

                                                  Articolo 30<\/em><\/p>

                                                  Registri delle attivit\u00e0 di trattamento<\/span><\/p>

                                                  1. Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attivit\u00e0 di trattamento svolte sotto la propria responsabilit\u00e0. Tale registro contiene tutte le seguenti informazioni:
                                                    a)il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;
                                                    b) le finalit\u00e0 del trattamento;
                                                    c) una descrizione delle categorie di interessati e delle categorie di dati personali;
                                                    d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
                                                    e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un\u2019organizzazione internazionale, compresa l\u2019identificazione del paese terzo o dell\u2019organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell\u2019articolo 49, la documentazione delle garanzie adeguate;
                                                    f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
                                                    g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all\u2019articolo 32, paragrafo 1.<\/li>
                                                  2. Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attivit\u00e0 relative al trattamento svolte per conto di un titolare del trattamento, contenente:
                                                    a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;
                                                    b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
                                                    c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un\u2019organizzazione internazionale, compresa l\u2019identificazione del paese terzo o dell\u2019organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell\u2019articolo 49, la documentazione delle garanzie adeguate;
                                                    d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all\u2019articolo 32, paragrafo 1.<\/li>
                                                  3. I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico.<\/li>
                                                  4. Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell\u2019autorit\u00e0 di controllo.<\/li>
                                                  5. Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libert\u00e0 dell\u2019interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all\u2019articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all\u2019articolo 10.<\/li><\/ol>

                                                    Articolo 31<\/em><\/p>

                                                    Cooperazione con l\u2019autorit\u00e0 di controllo<\/span><\/p>

                                                    Il titolare del trattamento, il responsabile del trattamento e, ove applicabile, il loro rappresentante cooperano, su richiesta, con l\u2019autorit\u00e0 di controllo nell\u2019esecuzione dei suoi compiti.<\/p>

                                                    Sezione 2<\/p>

                                                    Sicurezza dei dati personali<\/span><\/p>

                                                    Articolo 32<\/em><\/p>

                                                    Sicurezza del trattamento<\/span><\/p>

                                                    1. Tenendo conto dello stato dell\u2019arte e dei costi di attuazione, nonch\u00e9 della natura, dell\u2019oggetto, del contesto e delle finalit\u00e0 del trattamento, come anche del rischio di varia probabilit\u00e0 e gravit\u00e0 per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:
                                                      a) la pseudonimizzazione e la cifratura dei dati personali;
                                                      b) la capacit\u00e0 di assicurare su base permanente la riservatezza, l\u2019integrit\u00e0, la disponibilit\u00e0 e la resilienza dei sistemi e dei servizi di trattamento;
                                                      c) la capacit\u00e0 di ripristinare tempestivamente la disponibilit\u00e0 e l\u2019accesso dei dati personali in caso di incidente fisico o tecnico;
                                                      d) una procedura per testare, verificare e valutare regolarmente l\u2019efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.<\/li>
                                                    2. Nel valutare l\u2019adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall\u2019accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.<\/li>
                                                    3. L\u2019adesione a un codice di condotta approvato di cui all\u2019articolo 40 o a un meccanismo di certificazione approvato di cui all\u2019articolo 42 pu\u00f2 essere utilizzata come elemento per dimostrare la conformit\u00e0 ai requisiti di cui al paragrafo 1 del presente articolo.<\/li>
                                                    4. Il titolare del trattamento e il responsabile del trattamento fanno s\u00ec che chiunque agisca sotto la loro autorit\u00e0 e abbia accesso a dati personali non tratti tali dati se non \u00e8 istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell\u2019Unione o degli Stati membri.<\/li><\/ol>

                                                      Articolo 33<\/em><\/p>

                                                      Notifica di una violazione dei dati personali all\u2019autorit\u00e0 di controllo<\/span><\/p>

                                                      1. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all\u2019autorit\u00e0 di controllo competente a norma dell\u2019articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne \u00e8 venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libert\u00e0 delle persone fisiche. Qualora la notifica all\u2019autorit\u00e0 di controllo non sia effettuata entro 72 ore, \u00e8 corredata dei motivi del ritardo.<\/li>
                                                      2. Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione.<\/li>
                                                      3. La notifica di cui al paragrafo 1 deve almeno:
                                                        a)descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonch\u00e9 le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
                                                        b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere pi\u00f9 informazioni;
                                                        c) descrivere le probabili conseguenze della violazione dei dati personali;
                                                        d) descrivere le misure adottate o di cui si propone l\u2019adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.<\/li>
                                                      4. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.<\/li>
                                                      5. Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all\u2019autorit\u00e0 di controllo di verificare il rispetto del presente articolo.<\/li><\/ol>

                                                        Articolo 34<\/em><\/p>

                                                        Comunicazione di una violazione dei dati personali all\u2019interessato<\/span><\/p>

                                                        1. Quando la violazione dei dati personali \u00e8 suscettibile di presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento comunica la violazione all\u2019interessato senza ingiustificato ritardo.<\/li>
                                                        2. La comunicazione all\u2019interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all\u2019articolo 33, paragrafo 3, lettere b), c) e d).<\/li>
                                                        3. Non \u00e8 richiesta la comunicazione all\u2019interessato di cui al paragrafo 1 se \u00e8 soddisfatta una delle seguenti condizioni:
                                                          a) il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura;
                                                          b) il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libert\u00e0 degli interessati di cui al paragrafo 1;
                                                          c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia.<\/li>
                                                        4. Nel caso in cui il titolare del trattamento non abbia ancora comunicato all\u2019interessato la violazione dei dati personali, l\u2019autorit\u00e0 di controllo pu\u00f2 richiedere, dopo aver valutato la probabilit\u00e0 che la violazione dei dati personali presenti un rischio elevato, che vi provveda o pu\u00f2 decidere che una delle condizioni di cui al paragrafo 3 \u00e8 soddisfatta.<\/li><\/ol>

                                                          Sezione 3<\/p>

                                                          Valutazione d\u2019impatto sulla protezione dei dati e consultazione preventiva<\/span><\/p>

                                                          Articolo 35<\/em><\/p>

                                                          Valutazione d\u2019impatto sulla protezione dei dati<\/span><\/p>

                                                          1. Quando un tipo di trattamento, allorch\u00e9 prevede in particolare l\u2019uso di nuove tecnologie, considerati la natura, l\u2019oggetto, il contesto e le finalit\u00e0 del trattamento, pu\u00f2 presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell\u2019impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione pu\u00f2 esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi.<\/li>
                                                          2. Il titolare del trattamento, allorquando svolge una valutazione d\u2019impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati, qualora ne sia designato uno.<\/li>
                                                          3. La valutazione d\u2019impatto sulla protezione dei dati di cui al paragrafo 1 \u00e8 richiesta in particolare nei casi seguenti:
                                                            a)una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche;
                                                            b) il trattamento, su larga scala, di categorie particolari di dati personali di cui all\u2019articolo 9, paragrafo 1, o di dati relativi a condanne penali e a reati di cui all\u2019articolo 10; o
                                                            c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.<\/li>
                                                          4. L\u2019autorit\u00e0 di controllo redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d\u2019impatto sulla protezione dei dati ai sensi del paragrafo 1. L\u2019autorit\u00e0 di controllo comunica tali elenchi al comitato di cui all\u2019articolo 68.<\/li>
                                                          5. L\u2019autorit\u00e0 di controllo pu\u00f2 inoltre redigere e rendere pubblico un elenco delle tipologie di trattamenti per le quali non \u00e8 richiesta una valutazione d\u2019impatto sulla protezione dei dati. L\u2019autorit\u00e0 di controllo comunica tali elenchi al comitato.<\/li>
                                                          6. Prima di adottare gli elenchi di cui ai paragrafi 4 e 5, l\u2019autorit\u00e0 di controllo competente applica il meccanismo di coerenza di cui all\u2019articolo 63 se tali elenchi comprendono attivit\u00e0 di trattamento finalizzate all\u2019offerta di beni o servizi a interessati o al monitoraggio del loro comportamento in pi\u00f9 Stati membri, o attivit\u00e0 di trattamento che possono incidere significativamente sulla libera circolazione dei dati personali all\u2019interno dell\u2019Unione.<\/li>
                                                          7. La valutazione contiene almeno:
                                                            a) una descrizione sistematica dei trattamenti previsti e delle finalit\u00e0 del trattamento, compreso, ove applicabile, l\u2019interesse legittimo perseguito dal titolare del trattamento;
                                                            b) una valutazione della necessit\u00e0 e proporzionalit\u00e0 dei trattamenti in relazione alle finalit\u00e0;
                                                            c) una valutazione dei rischi per i diritti e le libert\u00e0 degli interessati di cui al paragrafo 1; e
                                                            ) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformit\u00e0 al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.<\/li>
                                                          8. Nel valutare l\u2019impatto del trattamento effettuato dai relativi titolari o responsabili \u00e8 tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all\u2019articolo 40, in particolare ai fini di una valutazione d\u2019impatto sulla protezione dei dati.<\/li>
                                                          9. Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti.<\/li>
                                                          10. Qualora il trattamento effettuato ai sensi dell\u2019articolo 6, paragrafo 1, lettere c) o e), trovi nel diritto dell\u2019Unione o nel diritto dello Stato membro cui il titolare del trattamento \u00e8 soggetto una base giuridica, tale diritto disciplini il trattamento specifico o l\u2019insieme di trattamenti in questione, e sia gi\u00e0 stata effettuata una valutazione d\u2019impatto sulla protezione dei dati nell\u2019ambito di una valutazione d\u2019impatto generale nel contesto dell\u2019adozione di tale base giuridica, i paragrafi da 1 a 7 non si applicano, salvo che gli Stati membri ritengano necessario effettuare tale valutazione prima di procedere alle attivit\u00e0 di trattamento.<\/li>
                                                          11. Se necessario, il titolare del trattamento procede a un riesame per valutare se il trattamento dei dati personali sia effettuato conformemente alla valutazione d\u2019impatto sulla protezione dei dati almeno quando insorgono variazioni del rischio rappresentato dalle attivit\u00e0 relative al trattamento.<\/li><\/ol>

                                                            Articolo 36<\/em><\/p>

                                                            Consultazione preventiva<\/span><\/p>

                                                            1. Il titolare del trattamento, prima di procedere al trattamento, consulta l\u2019autorit\u00e0 di controllo qualora la valutazione d\u2019impatto sulla protezione dei dati a norma dell\u2019articolo 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio.<\/li>
                                                            2. Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, l\u2019autorit\u00e0 di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento e pu\u00f2 avvalersi dei poteri di cui all\u2019articolo 58. Tale periodo pu\u00f2 essere prorogato di sei settimane, tenendo conto della complessit\u00e0 del trattamento previsto. L\u2019autorit\u00e0 di controllo informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione. La decorrenza dei termini pu\u00f2 essere sospesa fino all\u2019ottenimento da parte dell\u2019autorit\u00e0 di controllo delle informazioni richieste ai fini della consultazione.<\/li>
                                                            3. Al momento di consultare l\u2019autorit\u00e0 di controllo ai sensi del paragrafo 1, il titolare del trattamento comunica all\u2019autorit\u00e0 di controllo:
                                                              a) ove applicabile, le rispettive responsabilit\u00e0 del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, in particolare relativamente al trattamento nell\u2019ambito di un gruppo imprenditoriale;
                                                              b) le finalit\u00e0 e i mezzi del trattamento previsto;
                                                              c) le misure e le garanzie previste per proteggere i diritti e le libert\u00e0 degli interessati a norma del presente regolamento;
                                                              d) ove applicabile, i dati di contatto del titolare della protezione dei dati;
                                                              e) la valutazione d\u2019impatto sulla protezione dei dati di cui all\u2019articolo 35; f) ogni altra informazione richiesta dall\u2019autorit\u00e0 di controllo.<\/li>
                                                            4. Gli Stati membri consultano l\u2019autorit\u00e0 di controllo durante l\u2019elaborazione di una proposta di atto legislativo che deve essere adottato dai parlamenti nazionali o di misura regolamentare basata su detto atto legislativo relativamente al trattamento.<\/li>
                                                            5. Nonostante il paragrafo 1, il diritto degli Stati membri pu\u00f2 prescrivere che i titolari del trattamento consultino l\u2019autorit\u00e0 di controllo, e ne ottengano l\u2019autorizzazione preliminare, in relazione al trattamento da parte di un titolare del trattamento per l\u2019esecuzione, da parte di questi, di un compito di interesse pubblico, tra cui il trattamento con riguardo alla protezione sociale e alla sanit\u00e0 pubblica.<\/li><\/ol>

                                                              Sezione 4<\/p>

                                                              Responsabile della protezione dei dati<\/span><\/p>

                                                              Articolo 37<\/em><\/p>

                                                              Designazione del responsabile della protezione dei dati<\/span><\/p>

                                                              1. Il titolare del trattamento e il responsabile del trattamento designano sistematicamente un responsabile della protezione dei dati ogniqualvolta:
                                                                a) il trattamento \u00e8 effettuato da un\u2019autorit\u00e0 pubblica o da un organismo pubblico, eccettuate le autorit\u00e0 giurisdizionali quando esercitano le loro funzioni giurisdizionali;
                                                                b) le attivit\u00e0 principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e\/o finalit\u00e0, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure
                                                                c) le attivit\u00e0 principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all\u2019articolo 9 o di dati relativi a condanne penali e a reati di cui all\u2019articolo 10.<\/li>
                                                              2. Un gruppo imprenditoriale pu\u00f2 nominare un unico responsabile della protezione dei dati, a condizione che un responsabile della protezione dei dati sia facilmente raggiungibile da ciascuno stabilimento.<\/li>
                                                              3. Qualora il titolare del trattamento o il responsabile del trattamento sia un\u2019autorit\u00e0 pubblica o un organismo pubblico, un unico responsabile della protezione dei dati pu\u00f2 essere designato per pi\u00f9 autorit\u00e0 pubbliche o organismi pubblici, tenuto conto della loro struttura organizzativa e dimensione.<\/li>
                                                              4. Nei casi diversi da quelli di cui al paragrafo 1, il titolare e del trattamento, il responsabile del trattamento o le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o di responsabili del trattamento possono o, se previsto dal diritto dell\u2019Unione o degli Stati membri, devono designare un responsabile della protezione dei dati. Il responsabile della protezione dei dati pu\u00f2 agire per dette associazioni e altri organismi rappresentanti i titolari del trattamento o i responsabili del trattamento.<\/li>
                                                              5. Il responsabile della protezione dei dati \u00e8 designato in funzione delle qualit\u00e0 professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacit\u00e0 di assolvere i compiti di cui all\u2019articolo 39.<\/li>
                                                              6. Il responsabile della protezione dei dati pu\u00f2 essere un dipendente del titolare del trattamento o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi.<\/li>
                                                              7. Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all\u2019autorit\u00e0 di controllo.<\/li><\/ol>

                                                                Articolo 38<\/em><\/p>

                                                                Posizione del responsabile della protezione dei dati<\/span><\/p>

                                                                1. Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.<\/li>
                                                                2. Il titolare e del trattamento e il responsabile del trattamento sostengono il responsabile della protezione dei dati nell\u2019esecuzione dei compiti di cui all\u2019articolo 39 fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.<\/li>
                                                                3. titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l\u2019esecuzione di tali compiti. Il responsabile della protezione dei dati non \u00e8 rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l\u2019adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento.<\/li>
                                                                4. Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all\u2019esercizio dei loro diritti derivanti dal presente regolamento.<\/li>
                                                                5. Il responsabile della protezione dei dati \u00e8 tenuto al segreto o alla riservatezza in merito all\u2019adempimento dei propri compiti, in conformit\u00e0 del diritto dell\u2019Unione o degli Stati membri.<\/li>
                                                                6. Il responsabile della protezione dei dati pu\u00f2 svolgere altri compiti e funzioni. Il titolare del trattamento o il responsabile del trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi.<\/li><\/ol>

                                                                  Articolo 39<\/em><\/p>

                                                                  Compiti del responsabile della protezione dei dati<\/span><\/p>

                                                                  1. Il responsabile della protezione dei dati \u00e8 incaricato almeno dei seguenti compiti:
                                                                    a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonch\u00e9 ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonch\u00e9 da altre disposizioni dell\u2019Unione o degli Stati membri relative alla protezione dei dati;
                                                                    b) sorvegliare l\u2019osservanza del presente regolamento, di altre disposizioni dell\u2019Unione o degli Stati membri relative alla protezione dei dati nonch\u00e9 delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l\u2019attribuzione delle responsabilit\u00e0, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attivit\u00e0 di controllo;
                                                                    c) fornire, se richiesto, un parere in merito alla valutazione d\u2019impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell\u2019articolo 35;
                                                                    d) cooperare con l\u2019autorit\u00e0 di controllo; e
                                                                    e) fungere da punto di contatto per l\u2019autorit\u00e0 di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all\u2019articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione.<\/li>
                                                                  2. Nell\u2019eseguire i propri compiti il responsabile della protezione dei dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell\u2019ambito di applicazione, del contesto e delle finalit\u00e0 del medesimo.<\/li><\/ol>

                                                                    Sezione 5<\/p>

                                                                    Codici di condotta e certificazione<\/span><\/p>

                                                                    Articolo 40<\/em><\/p>

                                                                    Codici di condotta<\/span><\/span><\/p>

                                                                    1. Gli Stati membri, le autorit\u00e0 di controllo, il comitato e la Commissione incoraggiano l\u2019elaborazione di codici di condotta destinati a contribuire alla corretta applicazione del presente regolamento, in funzione delle specificit\u00e0 dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese.<\/li>
                                                                    2. Le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o responsabili del trattamento possono elaborare i codici di condotta, modificarli o prorogarli, allo scopo di precisare l\u2019applicazione del presente regolamento, ad esempio relativamente a:
                                                                      a) il trattamento corretto e trasparente dei dati;
                                                                      b) i legittimi interessi perseguiti dal responsabile del trattamento in contesti specifici;
                                                                      c) la raccolta dei dati personali;
                                                                      d) la pseudonimizzazione dei dati personali;
                                                                      e) l\u2019informazione fornita al pubblico e agli interessati;
                                                                      f) l\u2019esercizio dei diritti degli interessati;
                                                                      g)l\u2019informazione fornita e la protezione del minore e le modalit\u00e0 con cui \u00e8 ottenuto il consenso dei titolari della responsabilit\u00e0 genitoriale sul minore;
                                                                      h) le misure e le procedure di cui agli articoli 24 e 25 e le misure volte a garantire la sicurezza del trattamento di cui all\u2019articolo 32;
                                                                      i) la notifica di una violazione dei dati personali alle autorit\u00e0 di controllo e la comunicazione di tali violazioni dei dati personali all\u2019interessato;
                                                                      j) il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali; o
                                                                      k) le procedure stragiudiziali e di altro tipo per comporre le controversie tra titolari del trattamento e interessati in materia di trattamento, fatti salvi i diritti degli interessati ai sensi degli articoli 77 e 79.<\/li>
                                                                    3. Oltre all\u2019adesione ai codici di condotta approvati ai sensi del paragrafo 5 del presente articolo e aventi validit\u00e0 generale a norma del paragrafo 9 del presente articolo da parte di titolari o responsabili soggetti al presente regolamento, possono aderire a tali codici di condotta anche i titolari del trattamento o i responsabili del trattamento che non sono soggetti al presente regolamento ai sensi dell\u2019articolo 3, al fine di fornire adeguate garanzie nel quadro dei trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali alle condizioni di cui all\u2019articolo 46, paragrafo 2, lettera e). Detti titolari del trattamento o responsabili del trattamento assumono l\u2019impegno vincolante e azionabile, mediante strumenti contrattuali o di altro tipo giuridicamente vincolanti, di applicare le stesse adeguate garanzie anche per quanto riguarda i diritti degli interessati.<\/li>
                                                                    4. Il codice di condotta di cui al paragrafo 2 del presente articolo contiene i meccanismi che consentono all\u2019organismo di cui all\u2019articolo 41, paragrafo 1, di effettuare il controllo obbligatorio del rispetto delle norme del codice da parte dei titolari del trattamento o dei responsabili del trattamento che si impegnano ad applicarlo, fatti salvi i compiti e i poteri delle autorit\u00e0 di controllo competenti ai sensi degli articoli 55 o 56.<\/li>
                                                                    5. Le associazioni e gli altri organismi di cui al paragrafo 2 del presente articolo che intendono elaborare un codice di condotta o modificare o prorogare un codice esistente sottopongono il progetto di codice, la modifica o la proroga all\u2019autorit\u00e0 di controllo competente ai sensi dell\u2019articolo 55. L\u2019autorit\u00e0 di controllo esprime un parere sulla conformit\u00e0 al presente regolamento del progetto di codice, della modifica o della proroga e approva tale progetto, modifica o proroga, se ritiene che offra in misura sufficiente garanzie adeguate.<\/li>
                                                                    6. Qualora il progetto di codice, la modifica o la proroga siano approvati ai sensi dell\u2019articolo 55, e se il codice di condotta in questione non si riferisce alle attivit\u00e0 di trattamento in vari Stati membri, l\u2019autorit\u00e0 di controllo registra e pubblica il codice.<\/li>
                                                                    7. Qualora il progetto di codice di condotta si riferisca alle attivit\u00e0 di trattamento in vari Stati membri, prima di approvare il progetto, la modifica o la proroga, l\u2019autorit\u00e0 di controllo che \u00e8 competente ai sensi dell\u2019articolo 55 lo sottopone, tramite la procedura di cui all\u2019articolo 63, al comitato, il quale formula un parere sulla conformit\u00e0 al presente regolamento del progetto di codice, della modifica o della proroga o, nel caso di cui al paragrafo 3 del presente articolo, sulla previsione di adeguate garanzie.<\/li>
                                                                    8. Qualora il parere di cui al paragrafo 7 confermi che il progetto di codice di condotta, la modifica o la proroga \u00e8 conforme al presente regolamento o, nel caso di cui al paragrafo 3, fornisce adeguate garanzie, il comitato trasmette il suo parere alla Commissione.<\/li>
                                                                    9. La Commissione pu\u00f2 decidere, mediante atti di esecuzione, che il codice di condotta, la modifica o la proroga approvati, che le sono stati sottoposti ai sensi del paragrafo 8 del presente articolo, hanno validit\u00e0 generale all\u2019interno dell\u2019Unione. Tali atti di esecuzione sono adottati secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2.<\/li>
                                                                    10. La Commissione provvede a dare un\u2019adeguata pubblicit\u00e0 dei codici approvati per i quali \u00e8 stata decisa la validit\u00e0 generale ai sensi del paragrafo 9.<\/li>
                                                                    11. Il comitato raccoglie in un registro tutti i codici di condotta, le modifiche e le proroghe approvati e li rende pubblici mediante mezzi appropriati.<\/li><\/ol>

                                                                      Articolo 41<\/em><\/p>

                                                                      Monitoraggio dei codici di condotta approvati<\/span><\/p>

                                                                      1. Fatti salvi i compiti e i poteri dell\u2019autorit\u00e0 di controllo competente di cui agli articoli 57 e 58, il controllo della conformit\u00e0 con un codice di condotta ai sensi dell\u2019articolo 40 pu\u00f2 essere effettuato da un organismo in possesso del livello adeguato di competenze riguardo al contenuto del codice e del necessario accreditamento a tal fine dell\u2019autorit\u00e0 di controllo competente.<\/li>
                                                                      2. L\u2019organismo di cui al paragrafo 1 pu\u00f2 essere accreditato a monitorare l\u2019osservanza di un codice di condotta se esso ha:
                                                                        a) dimostrato in modo convincente all\u2019autorit\u00e0 di controllo competente di essere indipendente e competente riguardo al contenuto del codice;
                                                                        b) istituito procedure che gli consentono di valutare l\u2019ammissibilit\u00e0 dei titolari del trattamento e dei responsabili del trattamento in questione ad applicare il codice, di controllare che detti titolari e responsabili ne rispettino le disposizioni e di riesaminarne periodicamente il funzionamento;
                                                                        c) istituito procedure e strutture atte a gestire i reclami relativi a violazioni del codice o il modo in cui il codice \u00e8 stato o \u00e8 attuato da un titolare del trattamento o un responsabile del trattamento e a rendere dette procedure e strutture trasparenti per gli interessati e il pubblico; e
                                                                        d) dimostrato in modo convincente all\u2019autorit\u00e0 di controllo competente che i compiti e le funzioni da esso svolti non danno adito a conflitto di interessi.<\/li>
                                                                      3. L\u2019autorit\u00e0 di controllo competente presenta al comitato il progetto di criteri per l\u2019accreditamento dell\u2019organismo di cui al paragrafo 1 del presente articolo, ai sensi del meccanismo di coerenza di cui all\u2019articolo 63.<\/li>
                                                                      4. Fatti salvi i compiti e i poteri dell\u2019autorit\u00e0 di controllo competente e le disposizioni del capo VIII, un organismo di cui al paragrafo 1 del presente articolo adotta, stanti garanzie appropriate, le opportune misure in caso di violazione del codice da parte di un titolare del trattamento o responsabile del trattamento, tra cui la sospensione o l\u2019esclusione dal codice del titolare del trattamento o del responsabile del trattamento. Esso informa l\u2019autorit\u00e0 di controllo competente di tali misure e dei motivi della loro adozione.<\/li>
                                                                      5. L\u2019autorit\u00e0 di controllo competente revoca l\u2019accreditamento dell\u2019organismo di cui al paragrafo 1, se le condizioni per l\u2019accreditamento non sono, o non sono pi\u00f9, rispettate o se le misure adottate dall\u2019organismo violano il presente regolamento.<\/li>
                                                                      6. Il presente articolo non si applica al trattamento effettuato da autorit\u00e0 pubbliche e da organismi pubblici.<\/li><\/ol>

                                                                        Articolo 42<\/em><\/p>

                                                                        Certificazione<\/span><\/p>

                                                                        1. Gli Stati membri, le autorit\u00e0 di controllo, il comitato e la Commissione incoraggiano, in particolare a livello di Unione, l\u2019istituzione di meccanismi di certificazione della protezione dei dati nonch\u00e9 di sigilli e marchi di protezione dei dati allo scopo di dimostrare la conformit\u00e0 al presente regolamento dei trattamenti effettuati dai titolari del trattamento e dai responsabili del trattamento. Sono tenute in considerazione le esigenze specifiche delle micro, piccole e medie imprese.<\/li>
                                                                        2. Oltre all\u2019adesione dei titolari del trattamento o dei responsabili del trattamento soggetti al presente regolamento, i meccanismi, i sigilli o i marchi approvati ai sensi del paragrafo 5 del presente articolo, possono essere istituiti al fine di dimostrare la previsione di garanzie appropriate da parte dei titolari del trattamento o responsabili del trattamento non soggetti al presente regolamento ai sensi dell\u2019articolo 3, nel quadro dei trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali alle condizioni di cui all\u2019articolo 46, paragrafo 2, lettera f). Detti titolari del trattamento o responsabili del trattamento assumono l\u2019impegno vincolante e azionabile, mediante strumenti contrattuali o di altro tipo giuridicamente vincolanti, di applicare le stesse adeguate garanzie anche per quanto riguarda i diritti degli interessati.<\/li>
                                                                        3. La certificazione \u00e8 volontaria e accessibile tramite una procedura trasparente.<\/li>
                                                                        4. La certificazione ai sensi del presente articolo non riduce la responsabilit\u00e0 del titolare del trattamento o del responsabile del trattamento riguardo alla conformit\u00e0 al presente regolamento e lascia impregiudicati i compiti e i poteri delle autorit\u00e0 di controllo competenti a norma degli articoli 55 o 56.<\/li>
                                                                        5. La certificazione ai sensi del presente articolo \u00e8 rilasciata dagli organismi di certificazione di cui all\u2019articolo 43 o dall\u2019autorit\u00e0 di controllo competente in base ai criteri approvati da tale autorit\u00e0 di controllo competente ai sensi dell\u2019articolo 58, paragrafo 3, o dal comitato, ai sensi dell\u2019articolo 63. Ove i criteri siano approvati dal comitato, ci\u00f2 pu\u00f2 risultare in una certificazione comune, il sigillo europeo per la protezione dei dati.<\/li>
                                                                        6. Il titolare del trattamento o il responsabile del trattamento che sottopone il trattamento effettuato al meccanismo di certificazione fornisce all\u2019organismo di certificazione di cui all\u2019articolo 43 o, ove applicabile, all\u2019autorit\u00e0 di controllo competente tutte le informazioni e l\u2019accesso alle attivit\u00e0 di trattamento necessarie a espletare la procedura di certificazione.<\/li>
                                                                        7. La certificazione \u00e8 rilasciata al titolare del trattamento o responsabile del trattamento per un periodo massimo di tre anni e pu\u00f2 essere rinnovata alle stesse condizioni purch\u00e9 continuino a essere soddisfatti i requisiti pertinenti. La certificazione \u00e8 revocata, se del caso, dagli organismi di certificazione di cui all\u2019articolo 43 o dall\u2019autorit\u00e0 di controllo competente, a seconda dei casi, qualora non siano o non siano pi\u00f9 soddisfatti i requisiti per la certificazione.<\/li>
                                                                        8. Il comitato raccoglie in un registro tutti i meccanismi di certificazione e i sigilli e i marchi di protezione dei dati e li rende pubblici con qualsiasi mezzo appropriato.<\/li><\/ol>

                                                                          Articolo 43<\/em><\/p>

                                                                          Organismi di certificazione<\/span><\/p>

                                                                          1. Fatti salvi i compiti e i poteri dell\u2019autorit\u00e0 di controllo competente di cui agli articoli 57 e 58, gli organismi di certificazione in possesso del livello adeguato di competenze riguardo alla protezione dei dati, rilasciano e rinnovano la certificazione, dopo averne informato l\u2019autorit\u00e0 di controllo al fine di consentire alla stessa di esercitare i suoi poteri a norma dell\u2019articolo 58, paragrafo 2, lettera h), ove necessario. Gli Stati membri garantiscono che tali organismi di certificazione siano accreditati da uno o entrambi dei seguenti organismi: a) dall\u2019autorit\u00e0 di controllo competente ai sensi degli articoli 55 o 56; b) dall\u2019organismo nazionale di accreditamento designato in virt\u00f9 del regolamento (CE) n. 765\/2008 del Parlamento europeo e del Consiglio (20) conformemente alla norma EN-ISO\/IEC 17065\/2012 e ai requisiti aggiuntivi stabiliti dall\u2019autorit\u00e0 di controllo competente ai sensi degli articoli 55 o 56. 2.Gli organismi di certificazione di cui al paragrafo 1 sono accreditati in conformit\u00e0 di tale paragrafo solo se:
                                                                            a) hanno dimostrato in modo convincente all\u2019autorit\u00e0 di controllo competente di essere indipendenti e competenti riguardo al contenuto della certificazione;
                                                                            b) si sono impegnati a rispettare i criteri di cui all\u2019articolo 42, paragrafo 5, e approvati dall\u2019autorit\u00e0 di controllo competente ai sensi degli articoli 55 o 56 o dal comitato, ai sensi dell\u2019articolo 63;
                                                                            c) hanno istituito procedure per il rilascio, il riesame periodico e il ritiro delle certificazioni, dei sigilli e dei marchi di protezione dei dati;
                                                                            d) hanno istituito procedure e strutture atte a gestire i reclami relativi a violazioni della certificazione o il modo in cui la certificazione \u00e8 stata o \u00e8 attuata dal titolare del trattamento o dal responsabile del trattamento e a rendere dette procedure e strutture trasparenti per gli interessati e il pubblico; e
                                                                            e) hanno dimostrato in modo convincente all\u2019autorit\u00e0 di controllo competente che i compiti e le funzioni da loro svolti non danno adito a conflitto di interessi.<\/li>
                                                                          2. L\u2019accreditamento degli organi di certificazione di cui ai paragrafi 1 e 2 del presente articolo ha luogo in base ai criteri approvati dall\u2019autorit\u00e0 di controllo competente ai sensi degli articoli 55 o 56 o dal comitato, ai sensi dell\u2019articolo 63. In caso di accreditamento ai sensi del paragrafo 1, lettera b), del presente articolo, tali requisiti integrano quelli previsti dal regolamento (CE) n. 765\/2008 nonch\u00e9 le norme tecniche che definiscono i metodi e le procedure degli organismi di certificazione.<\/li>
                                                                          3. Gli organismi di certificazione di cui al paragrafo 1 sono responsabili della corretta valutazione che comporta la certificazione o la revoca di quest\u2019ultima, fatta salva la responsabilit\u00e0 del titolare del trattamento o del responsabile del trattamento riguardo alla conformit\u00e0 al presente regolamento. L\u2019accreditamento \u00e8 rilasciato per un periodo massimo di cinque anni e pu\u00f2 essere rinnovato alle stesse condizioni purch\u00e9 l\u2019organismo di certificazione soddisfi i requisiti.<\/li>
                                                                          4. L\u2019organismo di certificazione di cui al paragrafo 1 trasmette all\u2019autorit\u00e0 di controllo competente i motivi del rilascio o della revoca della certificazione richiesta.<\/li>
                                                                          5. I requisiti di cui al paragrafo 3 del presente articolo e i criteri di cui all\u2019articolo 42, paragrafo 5, sono resi pubblici dall\u2019autorit\u00e0 di controllo in forma facilmente accessibile. Le autorit\u00e0 di controllo provvedono a trasmetterli anche al comitato. Il comitato raccoglie in un registro tutti i meccanismi di certificazione e i sigilli di protezione dei dati e li rende pubblici con qualsiasi mezzo appropriato.<\/li>
                                                                          6. Fatto salvo il capo VIII, l\u2019autorit\u00e0 di controllo competente o l\u2019organismo nazionale di accreditamento revoca l\u2019accreditamento di un organismo di certificazione di cui al paragrafo 1 del presente articolo, se le condizioni per l\u2019accreditamento non sono, o non sono pi\u00f9, rispettate o se le misure adottate da un organismo di certificazione violano il presente regolamento.<\/li>
                                                                          7. Alla Commissione \u00e8 conferito il potere di adottare atti delegati conformemente all\u2019articolo 92 al fine di precisare i requisiti di cui tenere conto per i meccanismi di certificazione della protezione dei dati di cui all\u2019articolo 42, paragrafo 1.<\/li>
                                                                          8. La Commissione pu\u00f2 adottare atti di esecuzione per stabilire norme tecniche riguardanti i meccanismi di certificazione e i sigilli e marchi di protezione dei dati e le modalit\u00e0 per promuovere e riconoscere tali meccanismi di certificazione, i sigilli e marchi di protezione dei dati. Tali atti di esecuzione sono adottati secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2.<\/li><\/ol>

                                                                            CAPO V<\/p>

                                                                            Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali<\/span><\/p>

                                                                            Articolo 44<\/em><\/p>

                                                                            Principio generale per il trasferimento<\/span><\/p>

                                                                            Qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un\u2019organizzazione internazionale, compresi trasferimenti successivi di dati personali da un paese terzo o un\u2019organizzazione internazionale verso un altro paese terzo o un\u2019altra organizzazione internazionale, ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento. Tutte le disposizioni del presente capo sono applicate al fine di assicurare che il livello di protezione delle persone fisiche garantito dal presente regolamento non sia pregiudicato.<\/p>

                                                                            Articolo 45<\/em><\/p>

                                                                            Trasferimento sulla base di una decisione di adeguatezza<\/span><\/p>

                                                                            1. Il trasferimento di dati personali verso un paese terzo o un\u2019organizzazione internazionale \u00e8 ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o pi\u00f9 settori specifici all\u2019interno del paese terzo, o l\u2019organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche.<\/li>
                                                                            2. Nel valutare l\u2019adeguatezza del livello di protezione, la Commissione prende in considerazione in particolare i seguenti elementi:
                                                                              a) lo stato di diritto, il rispetto dei diritti umani e delle libert\u00e0 fondamentali, la pertinente legislazione generale e settoriale (anche in materia di sicurezza pubblica, difesa, sicurezza nazionale, diritto penale e accesso delle autorit\u00e0 pubbliche ai dati personali), cos\u00ec come l\u2019attuazione di tale legislazione, le norme in materia di protezione dei dati, le norme professionali e le misure di sicurezza, comprese le norme per il trasferimento successivo dei dati personali verso un altro paese terzo o un\u2019altra organizzazione internazionale osservate nel paese o dall\u2019organizzazione internazionale in questione, la giurisprudenza nonch\u00e9 i diritti effettivi e azionabili degli interessati e un ricorso effettivo in sede amministrativa e giudiziaria per gli interessati i cui dati personali sono oggetto di trasferimento;
                                                                              b) l\u2019esistenza e l\u2019effettivo funzionamento di una o pi\u00f9 autorit\u00e0 di controllo indipendenti nel paese terzo o cui \u00e8 soggetta un\u2019organizzazione internazionale, con competenza per garantire e controllare il rispetto delle norme in materia di protezione dei dati, comprensiva di adeguati poteri di esecuzione, per assistere e fornire consulenza agli interessati in merito all\u2019esercizio dei loro diritti e cooperare con le autorit\u00e0 di controllo degli Stati membri; e
                                                                              c) gli impegni internazionali assunti dal paese terzo o dall\u2019organizzazione internazionale in questione o altri obblighi derivanti da convenzioni o strumenti giuridicamente vincolanti come pure dalla loro partecipazione a sistemi multilaterali o regionali, in particolare in relazione alla protezione dei dati personali.<\/li>
                                                                            3. La Commissione, previa valutazione dell\u2019adeguatezza del livello di protezione, pu\u00f2 decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o pi\u00f9 settori specifici all\u2019interno di un paese terzo, o un\u2019organizzazione internazionale garantiscono un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo. L\u2019atto di esecuzione prevede un meccanismo di riesame periodico, almeno ogni quattro anni, che tenga conto di tutti gli sviluppi pertinenti nel paese terzo o nell\u2019organizzazione internazionale. L\u2019atto di esecuzione specifica il proprio ambito di applicazione geografico e settoriale e, ove applicabile, identifica la o le autorit\u00e0 di controllo di cui al paragrafo 2, lettera b), del presente articolo. L\u2019atto di esecuzione \u00e8 adottato secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2.<\/li>
                                                                            4. La Commissione controlla su base continuativa gli sviluppi nei paesi terzi e nelle organizzazioni internazionali che potrebbero incidere sul funzionamento delle decisioni adottate a norma del paragrafo 3 del presente articolo e delle decisioni adottate sulla base dell\u2019articolo 25, paragrafo 6, della direttiva 95\/46\/CE.<\/li>
                                                                            5. Se risulta dalle informazioni disponibili, in particolare in seguito al riesame di cui al paragrafo 3 del presente articolo, che un paese terzo, un territorio o uno o pi\u00f9 settori specifici all\u2019interno di un paese terzo, o un\u2019organizzazione internazionale non garantiscono pi\u00f9 un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, la Commissione revoca, modifica o sospende nella misura necessaria la decisione di cui al paragrafo 3 del presente articolo mediante atti di esecuzione senza effetto retroattivo. Tali atti di esecuzione sono adottati secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2, o, in casi di estrema urgenza, secondo la procedura di cui all\u2019articolo 93, paragrafo 3. Per imperativi motivi di urgenza debitamente giustificati, la Commissione adotta atti di esecuzione immediatamente applicabili secondo la procedura di cui all\u2019articolo 93, paragrafo 3.<\/li>
                                                                            6. La Commissione avvia consultazioni con il paese terzo o l\u2019organizzazione internazionale per porre rimedio alla situazione che ha motivato la decisione di cui al paragrafo 5.<\/li>
                                                                            7. Una decisione ai sensi del paragrafo 5 del presente articolo lascia impregiudicato il trasferimento di dati personali verso il paese terzo, il territorio o uno o pi\u00f9 settori specifici all\u2019interno del paese terzo, o verso l\u2019organizzazione internazionale in questione, a norma degli articoli da 46 a 49.<\/li>
                                                                            8. La Commissione pubblica nella Gazzetta ufficiale dell\u2019Unione europea e sul suo sito web l\u2019elenco dei paesi terzi, dei territori e settori specifici all\u2019interno di un paese terzo, e delle organizzazioni internazionali per i quali ha deciso che \u00e8 o non \u00e8 pi\u00f9 garantito un livello di protezione adeguato.<\/li>
                                                                            9. Le decisioni adottate dalla Commissione in base all\u2019articolo 25, paragrafo 6, della direttiva 95\/46\/CE restano in vigore fino a quando non sono modificate, sostituite o abrogate da una decisione della Commissione adottata conformemente al paragrafo 3 o 5 del presente articolo.<\/li><\/ol>

                                                                              Articolo 46<\/em><\/p>

                                                                              Trasferimento soggetto a garanzie adeguate<\/span><\/p>

                                                                              1. In mancanza di una decisione ai sensi dell\u2019articolo 45, paragrafo 3, il titolare del trattamento o il responsabile del trattamento pu\u00f2 trasferire dati personali verso un paese terzo o un\u2019organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.<\/li>
                                                                              2. Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte di un\u2019autorit\u00e0 di controllo:
                                                                                a) uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorit\u00e0 pubbliche o organismi pubblici;
                                                                                b) le norme vincolanti d\u2019impresa in conformit\u00e0 dell\u2019articolo 47;
                                                                                c) le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2;
                                                                                d) le clausole tipo di protezione dei dati adottate da un\u2019autorit\u00e0 di controllo e approvate dalla Commissione secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2;
                                                                                e) un codice di condotta approvato a norma dell\u2019articolo 40,unitamente all\u2019impegno vincolante ed esecutivo da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati; o
                                                                                f) un meccanismo di certificazione approvato a norma dell\u2019articolo 42, unitamente all\u2019impegno vincolante ed esigibile da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati.<\/li>
                                                                              3. Fatta salva l\u2019autorizzazione dell\u2019autorit\u00e0 di controllo competente, possono altres\u00ec costituire in particolare garanzie adeguate di cui al paragrafo 1:
                                                                                a) le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il titolare del trattamento, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell\u2019organizzazione internazionale; o
                                                                                b) le disposizioni da inserire in accordi amministrativi tra autorit\u00e0 pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati.<\/li>
                                                                              4. L\u2019autorit\u00e0 di controllo applica il meccanismo di coerenza di cui all\u2019articolo 63 nei casi di cui al paragrafo 3 del presente articolo.<\/li>
                                                                              5. Le autorizzazioni rilasciate da uno Stato membro o dall\u2019autorit\u00e0 di controllo in base all\u2019articolo 26, paragrafo 2, della direttiva 95\/46\/CE restano valide fino a quando non vengono modificate, sostituite o abrogate, se necessario, dalla medesima autorit\u00e0 di controllo. Le decisioni adottate dalla Commissione in base all\u2019articolo 26, paragrafo 4, della direttiva 95\/46\/CE restano in vigore fino a quando non vengono modificate, sostituite o abrogate, se necessario, da una decisione della Commissione adottata conformemente al paragrafo 2 del presente articolo.<\/li><\/ol>

                                                                                Articolo 47<\/em><\/p>

                                                                                Norme vincolanti d\u2019impresa<\/span><\/p>

                                                                                1. L\u2019autorit\u00e0 di controllo competente approva le norme vincolanti d\u2019impresa in conformit\u00e0 del meccanismo di coerenza di cui all\u2019articolo 63, a condizione che queste:
                                                                                  a) siano giuridicamente vincolanti e si applichino a tutti i membri interessati del gruppo imprenditoriale o del gruppo di imprese che svolgono un\u2019attivit\u00e0 economica comune, compresi i loro dipendenti;
                                                                                  b) conferiscano espressamente agli interessati diritti azionabili in relazione al trattamento dei loro dati personali; e
                                                                                  c) soddisfino i requisiti di cui al paragrafo 2.<\/li>
                                                                                2. Le norme vincolanti d\u2019impresa di cui al paragrafo 1 specificano almeno:
                                                                                  a) la struttura e le coordinate di contatto del gruppo imprenditoriale o del gruppo di imprese che svolgono un\u2019attivit\u00e0 economica comune e di ciascuno dei suoi membri;
                                                                                  b) i trasferimenti o il complesso di trasferimenti di dati, in particolare le categorie di dati personali, il tipo di trattamento e relative finalit\u00e0, il tipo di interessati cui si riferiscono i dati e l\u2019identificazione del paese terzo o dei paesi terzi in questione;
                                                                                  c) la loro natura giuridicamente vincolante, a livello sia interno che esterno;
                                                                                  d) l\u2019applicazione dei principi generali di protezione dei dati, in particolare in relazione alla limitazione della finalit\u00e0, alla minimizzazione dei dati, alla limitazione del periodo di conservazione, alla qualit\u00e0 dei dati, alla protezione fin dalla progettazione e alla protezione per impostazione predefinita, alla base giuridica del trattamento e al trattamento di categorie particolari di dati personali, le misure a garanzia della sicurezza dei dati e i requisiti per i trasferimenti successivi ad organismi che non sono vincolati dalle norme vincolanti d\u2019impresa;
                                                                                  e) i diritti dell\u2019interessato in relazione al trattamento e i mezzi per esercitarli, compresi il diritto di non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione ai sensi dell\u2019articolo 22, il diritto di proporre reclamo all\u2019autorit\u00e0 di controllo competente e di ricorrere alle autorit\u00e0 giurisdizionali competenti degli Stati membri conformemente all\u2019articolo 79, e il diritto di ottenere riparazione e, se del caso, il risarcimento per violazione delle norme vincolanti d\u2019impresa;
                                                                                  f) il fatto che il titolare del trattamento o il responsabile del trattamento stabilito nel territorio di uno Stato membro si assume la responsabilit\u00e0 per qualunque violazione delle norme vincolanti d\u2019impresa commesse da un membro interessato non stabilito nell\u2019Unione; il titolare del trattamento o il responsabile del trattamento pu\u00f2 essere esonerato in tutto o in parte da tale responsabilit\u00e0 solo se dimostra che l\u2019evento dannoso non \u00e8 imputabile al membro in questione;
                                                                                  g) le modalit\u00e0 in base alle quali sono fornite all\u2019interessato le informazioni sulle norme vincolanti d\u2019impresa, in particolare sulle disposizioni di cui alle lettere d), e) e f), in aggiunta alle informazioni di cui agli articoli 13 e 14;
                                                                                  h) i compiti di qualunque responsabile della protezione dei dati designato ai sensi dell\u2019articolo 35 o di ogni altra persona o entit\u00e0 incaricata del controllo del rispetto delle norme vincolanti d\u2019impresa all\u2019interno del gruppo imprenditoriale o del gruppo di imprese che svolgono un\u2019attivit\u00e0 economica comune e il controllo della formazione e della gestione dei reclami;
                                                                                  i) le procedure di reclamo;
                                                                                  j) i meccanismi all\u2019interno del gruppo imprenditoriale o del gruppo di imprese che svolgono un\u2019attivit\u00e0 economica comune per garantire la verifica della conformit\u00e0 alle norme vincolanti d\u2019impresa. Tali meccanismi comprendono verifiche sulla protezione dei dati e metodi per assicurare provvedimenti correttivi intesi a proteggere i diritti dell\u2019interessato. I risultati di tale verifica dovrebbero essere comunicati alla persona o entit\u00e0 di cui alla lettera h) e all\u2019organo amministrativo dell\u2019impresa controllante del gruppo imprenditoriale o del gruppo di imprese che svolgono un\u2019attivit\u00e0 economica comune e dovrebbero essere disponibili su richiesta all\u2019autorit\u00e0 di controllo competente;
                                                                                  k) i meccanismi per riferire e registrare le modifiche delle norme e comunicarle all\u2019autorit\u00e0 di controllo;
                                                                                  l) il meccanismo di cooperazione con l\u2019autorit\u00e0 di controllo per garantire la conformit\u00e0 da parte di ogni membro del gruppo imprenditoriale o del gruppo di imprese che svolgono un\u2019attivit\u00e0 economica comune, in particolare la messa a disposizione dell\u2019autorit\u00e0 di controllo dei risultati delle verifiche delle misure di cui alla lettera j);
                                                                                  m) i meccanismi per segnalare all\u2019autorit\u00e0 di controllo competente ogni requisito di legge cui \u00e8 soggetto un membro del gruppo imprenditoriale o del gruppo di imprese che svolgono un\u2019attivit\u00e0 economica comune in un paese terzo che potrebbe avere effetti negativi sostanziali sulle garanzie fornite dalle norme vincolanti d\u2019impresa; e
                                                                                  n) l\u2019appropriata formazione in materia di protezione dei dati al personale che ha accesso permanente o regolare ai dati personali.<\/li>
                                                                                3. La Commissione pu\u00f2 specificare il formato e le procedure per lo scambio di informazioni tra titolari del trattamento, responsabili del trattamento e autorit\u00e0 di controllo in merito alle norme vincolanti d\u2019impresa ai sensi del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2.<\/li><\/ol>

                                                                                  Articolo 48<\/em><\/p>

                                                                                  Trasferimento o comunicazione non autorizzati dal diritto dell\u2019Unione<\/span><\/p>

                                                                                  Le sentenze di un\u2019autorit\u00e0 giurisdizionale e le decisioni di un\u2019autorit\u00e0 amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l\u2019Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo.<\/p>

                                                                                  Articolo 49<\/em><\/p>

                                                                                  Deroghe in specifiche situazioni<\/span><\/p>

                                                                                  1. In mancanza di una decisione di adeguatezza ai sensi dell\u2019articolo 45, paragrafo 3, o di garanzie adeguate ai sensi dell\u2019articolo 46, comprese le norme vincolanti d\u2019impresa, \u00e8 ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un\u2019organizzazione internazionale soltanto se si verifica una delle seguenti condizioni:
                                                                                    a) l\u2019interessato abbia esplicitamente acconsentito al trasferimento proposto, dopo essere stato informato dei possibili rischi di siffatti trasferimenti per l\u2019interessato, dovuti alla mancanza di una decisione di adeguatezza e di garanzie adeguate;
                                                                                    b) il trasferimento sia necessario all\u2019esecuzione di un contratto concluso tra l\u2019interessato e il titolare del trattamento ovvero all\u2019esecuzione di misure precontrattuali adottate su istanza dell\u2019interessato;
                                                                                    c) il trasferimento sia necessario per la conclusione o l\u2019esecuzione di un contratto stipulato tra il titolare del trattamento e un\u2019altra persona fisica o giuridica a favore dell\u2019interessato;
                                                                                    d) il trasferimento sia necessario per importanti motivi di interesse pubblico;
                                                                                    e) il trasferimento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria;
                                                                                    f) il trasferimento sia necessario per tutelare gli interessi vitali dell\u2019interessato o di altre persone, qualora l\u2019interessato si trovi nell\u2019incapacit\u00e0 fisica o giuridica di prestare il proprio consenso;
                                                                                    g) il trasferimento sia effettuato a partire da un registro che, a norma del diritto dell\u2019Unione o degli Stati membri, mira a fornire informazioni al pubblico e pu\u00f2 esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, solo a condizione che sussistano i requisiti per la consultazione previsti dal diritto dell\u2019Unione o degli Stati membri. Se non \u00e8 possibile basare il trasferimento su una disposizione dell\u2019articolo 45 o 46, comprese le disposizioni sulle norme vincolanti d\u2019impresa, e nessuna delle deroghe in specifiche situazioni a norma del primo comma del presente paragrafo \u00e8 applicabile, il trasferimento verso un paese terzo o un\u2019organizzazione internazionale sia ammesso soltanto se non \u00e8 ripetitivo, riguarda un numero limitato di interessati, \u00e8 necessario per il perseguimento degli interessi legittimi cogenti del titolare del trattamento, su cui non prevalgano gli interessi o i diritti e le libert\u00e0 dell\u2019interessato, e qualora il titolare e del trattamento abbia valutato tutte le circostanze relative al trasferimento e sulla base di tale valutazione abbia fornito garanzie adeguate relativamente alla protezione dei dati personali. Il titolare del trattamento informa del trasferimento l\u2019autorit\u00e0 di controllo. In aggiunta alla fornitura di informazioni di cui agli articoli 13 e 14, il titolare del trattamento informa l\u2019interessato del trasferimento e degli interessi legittimi cogenti perseguiti.<\/li>
                                                                                  2. Il trasferimento di cui al paragrafo 1, primo comma, lettera g), non pu\u00f2 riguardare la totalit\u00e0 dei dati personali o intere categorie di dati personali contenute nel registro. Se il registro \u00e8 destinato a essere consultato da persone aventi un legittimo interesse, il trasferimento \u00e8 ammesso soltanto su richiesta di tali persone o qualora tali persone ne siano i destinatari.<\/li>
                                                                                  3. Il primo comma, lettere a), b) e c), e il secondo comma del paragrafo 1 non si applicano alle attivit\u00e0 svolte dalle autorit\u00e0 pubbliche nell\u2019esercizio dei pubblici poteri.<\/li>
                                                                                  4. L\u2019interesse pubblico di cui al paragrafo 1, primo comma, lettera d), \u00e8 riconosciuto dal diritto dell\u2019Unione o dal diritto dello Stato membro cui \u00e8 soggetto il titolare del trattamento.<\/li>
                                                                                  5. In mancanza di una decisione di adeguatezza, il diritto dell\u2019Unione o degli Stati membri pu\u00f2, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un\u2019organizzazione internazionale. Gli Stati membri notificano tali disposizioni alla Commissione.<\/li>
                                                                                  6. Il titolare del trattamento o il responsabile del trattamento attesta nel registro di cui all\u2019articolo 30 la valutazione e le garanzie adeguate di cui al paragrafo 1, secondo comma, del presente articolo.<\/li><\/ol>

                                                                                    Articolo 50<\/em><\/p>

                                                                                    Cooperazione internazionale per la protezione dei dati personali<\/span><\/p>

                                                                                    1. In relazione ai paesi terzi e alle organizzazioni internazionali, la Commissione e le autorit\u00e0 di controllo adottano misure appropriate per:
                                                                                      a) sviluppare meccanismi di cooperazione internazionale per facilitare l\u2019applicazione efficace della legislazione sulla protezione dei dati personali;
                                                                                      b) prestare assistenza reciproca a livello internazionale nell\u2019applicazione della legislazione sulla protezione dei dati personali, in particolare mediante notificazione, deferimento dei reclami, assistenza alle indagini e scambio di informazioni, fatte salve garanzie adeguate per la protezione dei dati personali e gli altri diritti e libert\u00e0 fondamentali;
                                                                                      c) coinvolgere le parti interessate pertinenti in discussioni e attivit\u00e0 dirette a promuovere la cooperazione internazionale nell\u2019applicazione della legislazione sulla protezione dei dati personali;
                                                                                      d) promuovere lo scambio e la documentazione delle legislazioni e prassi in materia di protezione dei dati personali, compresi i conflitti di giurisdizione con paesi terzi.<\/li><\/ol>

                                                                                      CAPO VI<\/p>

                                                                                      Autorit\u00e0 di controllo indipendenti<\/span><\/em><\/p>

                                                                                      Sezione 1<\/p>

                                                                                      Indipendenza<\/span><\/p>

                                                                                      Articolo 51<\/em><\/p>

                                                                                      Autorit\u00e0 di controllo<\/span><\/p>

                                                                                      1. Ogni Stato membro dispone che una o pi\u00f9 autorit\u00e0 pubbliche indipendenti siano incaricate di sorvegliare l\u2019applicazione del presente regolamento al fine di tutelare i diritti e le libert\u00e0 fondamentali delle persone fisiche con riguardo al trattamento e di agevolare la libera circolazione dei dati personali all\u2019interno dell\u2019Unione (l\u2019\u00abautorit\u00e0 di controllo\u00bb).<\/li>
                                                                                      2. Ogni autorit\u00e0 di controllo contribuisce alla coerente applicazione del presente regolamento in tutta l\u2019Unione. A tale scopo, le autorit\u00e0 di controllo cooperano tra loro e con la Commissione, conformemente al capo VII.<\/li>
                                                                                      3. Qualora in uno Stato membro siano istituite pi\u00f9 autorit\u00e0 di controllo, detto Stato membro designa l\u2019autorit\u00e0 di controllo che rappresenta tali autorit\u00e0 nel comitato e stabilisce il meccanismo in base al quale le altre autorit\u00e0 si conformano alle norme relative al meccanismo di coerenza di cui all\u2019articolo 63.<\/li>
                                                                                      4. Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del presente capo al pi\u00f9 tardi entro 25 maggio 2018, e comunica senza ritardo ogni successiva modifica.<\/li><\/ol>

                                                                                        Articolo 52<\/em><\/p>

                                                                                        Indipendenza<\/span><\/p>

                                                                                        1. Ogni autorit\u00e0 di controllo agisce in piena indipendenza nell\u2019adempimento dei propri compiti e nell\u2019esercizio dei propri poteri conformemente al presente regolamento.<\/li>
                                                                                        2. Nell\u2019adempimento dei rispettivi compiti e nell\u2019esercizio dei rispettivi poteri previsti dal presente regolamento, il membro o i membri di ogni autorit\u00e0 di controllo non subiscono pressioni esterne, n\u00e9 dirette, n\u00e9 indirette, e non sollecitano n\u00e9 accettano istruzioni da alcuno.<\/li>
                                                                                        3. Il membro o i membri dell\u2019autorit\u00e0 di controllo si astengono da qualunque azione incompatibile con le loro funzioni e per tutta la durata del mandato non possono esercitare alcuna altra attivit\u00e0 incompatibile, remunerata o meno.<\/li>
                                                                                        4. Ogni Stato membro provvede affinch\u00e9 ogni autorit\u00e0 di controllo sia dotata delle risorse umane, tecniche e finanziarie, dei locali e delle infrastrutture necessari per l\u2019effettivo adempimento dei suoi compiti e l\u2019esercizio dei propri poteri, compresi quelli nell\u2019ambito dell\u2019assistenza reciproca, della cooperazione e della partecipazione al comitato.<\/li>
                                                                                        5. Ogni Stato membro provvede affinch\u00e9 ogni autorit\u00e0 di controllo selezioni e disponga di proprio personale, soggetto alla direzione esclusiva del membro o dei membri dell\u2019autorit\u00e0 di controllo interessata.<\/li>
                                                                                        6. Ogni Stato membro provvede affinch\u00e9 ogni autorit\u00e0 di controllo sia soggetta a un controllo finanziario che non ne pregiudichi l\u2019indipendenza e disponga di bilanci annuali, separati e pubblici, che possono far parte del bilancio generale statale o nazionale.<\/li><\/ol>

                                                                                          Articolo 53<\/em><\/p>

                                                                                          Condizioni generali per i membri dell\u2019autorit\u00e0 di controllo<\/span><\/p>

                                                                                          1. Gli Stati membri dispongono che ciascun membro delle rispettive autorit\u00e0 di controllo sia nominato attraverso una procedura trasparente: \u2014 dal rispettivo parlamento; \u2014 dal rispettivo governo; \u2014 dal rispettivo capo di Stato; oppure \u2014 da un organismo indipendente incaricato della nomina a norma del diritto dello Stato membro.<\/li>
                                                                                          2. Ogni membro possiede le qualifiche, l\u2019esperienza e le competenze, in particolare nel settore della protezione dei dati personali, richieste per l\u2019esercizio delle sue funzioni e dei suoi poteri.<\/li>
                                                                                          3. Il mandato dei membri cessa alla scadenza del termine o in caso di dimissioni volontarie o di provvedimento d\u2019ufficio, a norma del diritto dello Stato membro interessato.<\/li>
                                                                                          4. Un membro \u00e8 rimosso solo in casi di colpa grave o se non soddisfa pi\u00f9 le condizioni richieste per l\u2019esercizio delle sue funzioni.<\/li><\/ol>

                                                                                            Articolo 54<\/em><\/p>

                                                                                            Norme sull\u2019istituzione dell\u2019autorit\u00e0 di controllo<\/span><\/p>

                                                                                            1. Ogni Stato membro prevede con legge tutte le condizioni seguenti:
                                                                                              a) l\u2019istituzione di ogni autorit\u00e0 di controllo;
                                                                                              b) le qualifiche e le condizioni di idoneit\u00e0 richieste per essere nominato membro di ogni autorit\u00e0 di controllo;
                                                                                              c) le norme e le procedure per la nomina del membro o dei membri di ogni autorit\u00e0 di controllo;
                                                                                              d) la durata del mandato del membro o dei membri di ogni autorit\u00e0 di controllo non inferiore a quattro anni, salvo per le prime nomine dopo 24 maggio 2016, alcune delle quali possono avere una durata inferiore qualora ci\u00f2 sia necessario per tutelare l\u2019indipendenza dell\u2019autorit\u00e0 di controllo mediante una procedura di nomina scaglionata;
                                                                                              e) l\u2019eventuale rinnovabilit\u00e0 e, in caso positivo, il numero di rinnovi del mandato del membro o dei membri di ogni autorit\u00e0 di controllo;
                                                                                              f) le condizioni che disciplinano gli obblighi del membro o dei membri e del personale di ogni autorit\u00e0 di controllo, i divieti relativi ad attivit\u00e0, professioni e benefici incompatibili con tali obblighi durante e dopo il mandato e le regole che disciplinano la cessazione del rapporto di lavoro.<\/li>
                                                                                            2. Il membro o i membri e il personale di ogni autorit\u00e0 di controllo sono tenuti, in virt\u00f9 del diritto dell\u2019Unione o degli Stati membri, al segreto professionale in merito alle informazioni riservate cui hanno avuto accesso nell\u2019esecuzione dei loro compiti o nell\u2019esercizio dei loro poteri, sia durante che dopo il mandato. Per tutta la durata del loro mandato, tale obbligo del segreto professionale si applica in particolare alle segnalazioni da parte di persone fisiche di violazioni del presente regolamento.<\/li><\/ol>

                                                                                              Sezione 2<\/p>

                                                                                              Competenza, compiti e poteri<\/span><\/p>

                                                                                              Articolo 55<\/em><\/p>

                                                                                              Competenza<\/span><\/p>

                                                                                              1. Ogni autorit\u00e0 di controllo \u00e8 competente a eseguire i compiti assegnati e a esercitare i poteri a essa conferiti a norma del presente regolamento nel territorio del rispettivo Stato membro.<\/li>
                                                                                              2. Se il trattamento \u00e8 effettuato da autorit\u00e0 pubbliche o organismi privati che agiscono sulla base dell\u2019articolo 6, paragrafo 1, lettera c) o e), \u00e8 competente l\u2019autorit\u00e0 di controllo dello Stato membro interessato. In tal caso, non si applica l\u2019articolo 56.<\/li>
                                                                                              3. Le autorit\u00e0 di controllo non sono competenti per il controllo dei trattamenti effettuati dalle autorit\u00e0 giurisdizionali nell\u2019esercizio delle loro funzioni giurisdizionali.<\/li><\/ol>

                                                                                                Articolo 56<\/em><\/p>

                                                                                                Competenza dell\u2019autorit\u00e0 di controllo capofila<\/span><\/p>

                                                                                                1. Fatto salvo l\u2019articolo 55, l\u2019autorit\u00e0 di controllo dello stabilimento principale o dello stabilimento unico del titolare e del trattamento o responsabile del trattamento \u00e8 competente ad agire in qualit\u00e0 di autorit\u00e0 di controllo capofila per i trattamenti transfrontalieri effettuati dal suddetto titolare del trattamento o responsabile del trattamento, secondo la procedura di cui all\u2019articolo 60.<\/li>
                                                                                                2. In deroga al paragrafo 1, ogni autorit\u00e0 di controllo \u00e8 competente per la gestione dei reclami a essa proposti o di eventuali violazioni del presente regolamento se l\u2019oggetto riguarda unicamente uno stabilimento nel suo Stato membro o incide in modo sostanziale sugli interessati unicamente nel suo Stato membro.<\/li>
                                                                                                3. Nei casi indicati al paragrafo 2 del presente articolo, l\u2019autorit\u00e0 di controllo informa senza indugio l\u2019autorit\u00e0 di controllo capofila in merito alla questione. Entro un termine di tre settimane da quando \u00e8 stata informata, l\u2019autorit\u00e0 di controllo capofila decide se intende o meno trattare il caso secondo la procedura di cui all\u2019articolo 60, tenendo conto dell\u2019esistenza o meno di uno stabilimento del titolare del trattamento o responsabile del trattamento nello Stato membro dell\u2019autorit\u00e0 di controllo che l\u2019ha informata.<\/li>
                                                                                                4. Qualora l\u2019autorit\u00e0 di controllo capofila decida di trattare il caso, si applica la procedura di cui all\u2019articolo 60. L\u2019autorit\u00e0 di controllo che ha informato l\u2019autorit\u00e0 di controllo capofila pu\u00f2 presentare a quest\u2019ultima un progetto di decisione. L\u2019autorit\u00e0 di controllo capofila tiene nella massima considerazione tale progetto nella predisposizione del progetto di decisione di cui all\u2019articolo 60, paragrafo 3.<\/li>
                                                                                                5. Nel caso in cui l\u2019autorit\u00e0 di controllo capofila decida di non trattarlo, l\u2019autorit\u00e0 di controllo che ha informato l\u2019autorit\u00e0 di controllo capofila tratta il caso conformemente agli articoli 61 e 62.<\/li>
                                                                                                6. L\u2019autorit\u00e0 di controllo capofila \u00e8 l\u2019unico interlocutore del titolare del trattamento o del responsabile del trattamento in merito al trattamento transfrontaliero effettuato da tale titolare del trattamento o responsabile del trattamento.<\/li><\/ol>

                                                                                                  Articolo 57<\/em><\/p>

                                                                                                  Compiti<\/span><\/p>

                                                                                                  1. Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorit\u00e0 di controllo:
                                                                                                    a) sorveglia e assicura l\u2019applicazione del presente regolamento;
                                                                                                    b) promuove la consapevolezza e favorisce la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento. Sono oggetto di particolare attenzione le attivit\u00e0 destinate specificamente ai minori;
                                                                                                    c) fornisce consulenza, a norma del diritto degli Stati membri, al parlamento nazionale, al governo e ad altri organismi e istituzioni in merito alle misure legislative e amministrative relative alla protezione dei diritti e delle libert\u00e0 delle persone fisiche con riguardo al trattamento;
                                                                                                    d) promuove la consapevolezza dei titolari del trattamento e dei responsabili del trattamento riguardo agli obblighi imposti loro dal presente regolamento;
                                                                                                    e) su richiesta, fornisce informazioni all\u2019interessato in merito all\u2019esercizio dei propri diritti derivanti dal presente regolamento e, se del caso, coopera a tal fine con le autorit\u00e0 di controllo di altri Stati membri; f)tratta i reclami proposti da un interessato, o da un organismo, un\u2019organizzazione o un\u2019associazione ai sensi dell\u2019articolo 80, e svolge le indagini opportune sull\u2019oggetto del reclamo e informa il reclamante dello stato e dell\u2019esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un\u2019altra autorit\u00e0 di controllo;
                                                                                                    g) collabora, anche tramite scambi di informazioni, con le altre autorit\u00e0 di controllo e presta assistenza reciproca al fine di garantire l\u2019applicazione e l\u2019attuazione coerente del presente regolamento;
                                                                                                    h) svolge indagini sull\u2019applicazione del presente regolamento, anche sulla base di informazioni ricevute da un\u2019altra autorit\u00e0 di controllo o da un\u2019altra autorit\u00e0 pubblica;
                                                                                                    i) sorveglia gli sviluppi che presentano un interesse, se e in quanto incidenti sulla protezione dei dati personali, in particolare l\u2019evoluzione delle tecnologie dell\u2019informazione e della comunicazione e le prassi commerciali;
                                                                                                    j) adotta le clausole contrattuali tipo di cui all\u2019articolo 28, paragrafo 8, e all\u2019articolo 46, paragrafo 2, lettera d); k)redige e tiene un elenco in relazione al requisito di una valutazione d\u2019impatto sulla protezione dei dati ai sensi dell\u2019articolo 35, paragrafo 4;
                                                                                                    l) offre consulenza sui trattamenti di cui all\u2019articolo 36, paragrafo 2;
                                                                                                    m) incoraggia l\u2019elaborazione di codici di condotta ai sensi dell\u2019articolo 40, paragrafo 1, e fornisce un parere su tali codici di condotta e approva quelli che forniscono garanzie sufficienti, a norma dell\u2019articolo 40, paragrafo 5;
                                                                                                    n) incoraggia l\u2019istituzione di meccanismi di certificazione della protezione dei dati nonch\u00e9 di sigilli e marchi di protezione dei dati a norma dell\u2019articolo 42, paragrafo 1, e approva i criteri di certificazione a norma dell\u2019articolo 42, paragrafo 5;
                                                                                                    o) ove applicabile, effettua un riesame periodico delle certificazioni rilasciate in conformit\u00e0 dell\u2019articolo 42, paragrafo 7;
                                                                                                    p) definisce e pubblica i criteri per l\u2019accreditamento di un organismo per il controllo dei codici di condotta ai sensi dell\u2019articolo 41 e di un organismo di certificazione ai sensi dell\u2019articolo 43;
                                                                                                    q) effettua l\u2019accreditamento di un organismo per il controllo dei codici di condotta ai sensi dell\u2019articolo 41 e di un organismo di certificazione ai sensi dell\u2019articolo 43;
                                                                                                    r) autorizza le clausole contrattuali e le altre disposizioni di cui all\u2019articolo 46, paragrafo 3;
                                                                                                    s) approva le norme vincolanti d\u2019impresa ai sensi dell\u2019articolo 47;
                                                                                                    t) contribuisce alle attivit\u00e0 del comitato;
                                                                                                    u) tiene registri interni delle violazioni del presente regolamento e delle misure adottate in conformit\u00e0 dell\u2019articolo 58, paragrafo 2; e
                                                                                                    v) svolge qualsiasi altro compito legato alla protezione dei dati personali.<\/li>
                                                                                                  2. Ogni autorit\u00e0 di controllo agevola la proposizione di reclami di cui al paragrafo 1, lettera f), tramite misure quali un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione.<\/li>
                                                                                                  3. Ogni autorit\u00e0 di controllo svolge i propri compiti senza spese n\u00e9 per l\u2019interessato n\u00e9, ove applicabile, per il responsabile della protezione dei dati.<\/li>
                                                                                                  4. Qualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, l\u2019autorit\u00e0 di controllo pu\u00f2 addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta. Incombe all\u2019autorit\u00e0 di controllo dimostrare il carattere manifestamente infondato o eccessivo della richiesta.<\/li><\/ol>

                                                                                                    Articolo 58<\/em><\/p>

                                                                                                    Poteri<\/span><\/p>

                                                                                                    1. Ogni autorit\u00e0 di controllo ha tutti i poteri di indagine seguenti:
                                                                                                      a) ingiungere al titolare del trattamento e al responsabile del trattamento e, ove applicabile, al rappresentante del titolare del trattamento o del responsabile del trattamento, di fornirle ogni informazione di cui necessiti per l\u2019esecuzione dei suoi compiti;
                                                                                                      b) condurre indagini sotto forma di attivit\u00e0 di revisione sulla protezione dei dati;
                                                                                                      c) effettuare un riesame delle certificazioni rilasciate in conformit\u00e0 dell\u2019articolo 42, paragrafo 7;
                                                                                                      d) notificare al titolare del trattamento o al responsabile del trattamento le presunte violazioni del presente regolamento;
                                                                                                      e) ottenere, dal titolare del trattamento o dal responsabile del trattamento, l\u2019accesso a tutti i dati personali e a tutte le informazioni necessarie per l\u2019esecuzione dei suoi compiti; e
                                                                                                      f) ottenere accesso a tutti i locali del titolare del trattamento e del responsabile del trattamento, compresi tutti gli strumenti e mezzi di trattamento dei dati, in conformit\u00e0 con il diritto dell\u2019Unione o il diritto processuale degli Stati membri.<\/li>
                                                                                                    2. Ogni autorit\u00e0 di controllo ha tutti i poteri correttivi seguenti:
                                                                                                      a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;
                                                                                                      b) rivolgere ammonimenti al titolare e del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento;
                                                                                                      c) ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell\u2019interessato di esercitare i diritti loro derivanti dal presente regolamento;
                                                                                                      d) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine; e) ingiungere al titolare del trattamento di comunicare all\u2019interessato una violazione dei dati personali;
                                                                                                      f) imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento;
                                                                                                      g) ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento a norma degli articoli 16, 17 e 18 e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali ai sensi dell\u2019articolo 17, paragrafo 2, e dell\u2019articolo 19;
                                                                                                      h) revocare la certificazione o ingiungere all\u2019organismo di certificazione di ritirare la certificazione rilasciata a norma degli articoli 42 e 43, oppure ingiungere all\u2019organismo di certificazione di non rilasciare la certificazione se i requisiti per la certificazione non sono o non sono pi\u00f9 soddisfatti;
                                                                                                      i) infliggere una sanzione amministrativa pecuniaria ai sensi dell\u2019articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; e
                                                                                                      j) ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un\u2019organizzazione internazionale.<\/li>
                                                                                                    3. Ogni autorit\u00e0 di controllo ha tutti i poteri autorizzativi e consultivi seguenti:
                                                                                                      a) fornire consulenza al titolare del trattamento, secondo la procedura di consultazione preventiva di cui all\u2019articolo 36;
                                                                                                      b) rilasciare, di propria iniziativa o su richiesta, pareri destinati al parlamento nazionale, al governo dello Stato membro, oppure, conformemente al diritto degli Stati membri, ad altri organismi e istituzioni e al pubblico su questioni riguardanti la protezione dei dati personali;
                                                                                                      c) autorizzare il trattamento di cui all\u2019articolo 36, paragrafo 5, se il diritto dello Stato membro richiede una siffatta autorizzazione preliminare;
                                                                                                      d) rilasciare un parere sui progetti di codici di condotta e approvarli, ai sensi dell\u2019articolo 40, paragrafo 5;
                                                                                                      e) accreditare gli organismi di certificazione a norma dell\u2019articolo 43;
                                                                                                      f) rilasciare certificazioni e approvare i criteri di certificazione conformemente all\u2019articolo 42, paragrafo 5;
                                                                                                      g) adottare le clausole tipo di protezione dei dati di cui all\u2019articolo 28, paragrafo 8, e all\u2019articolo 46, paragrafo 2, lettera d);
                                                                                                      h) autorizzare le clausole contrattuali di cui all\u2019articolo 46, paragrafo 3, lettera a);
                                                                                                      i) autorizzare gli accordi amministrativi di cui all\u2019articolo 46, paragrafo 3, lettera b);
                                                                                                      j) approvare le norme vincolanti d\u2019impresa ai sensi dell\u2019articolo 47.<\/li>
                                                                                                    4. L\u2019esercizio da parte di un\u2019autorit\u00e0 di controllo dei poteri attribuitile dal presente articolo \u00e8 soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell\u2019Unione e degli Stati membri conformemente alla Carta.<\/li>
                                                                                                    5. Ogni Stato membro dispone per legge che la sua autorit\u00e0 di controllo abbia il potere di intentare un\u2019azione o di agire in sede giudiziale o, ove del caso, stragiudiziale in caso di violazione del presente regolamento per far rispettare le disposizioni dello stesso.<\/li>
                                                                                                    6. Ogni Stato membro pu\u00f2 prevedere per legge che la sua autorit\u00e0 di controllo abbia ulteriori poteri rispetto a quelli di cui ai paragrafi 1, 2 e 3. L\u2019esercizio di tali poteri non pregiudica l\u2019operativit\u00e0 effettiva del capo VII.<\/li><\/ol>

                                                                                                      Articolo 59<\/em><\/p>

                                                                                                      Relazioni di attivit\u00e0<\/span><\/p>

                                                                                                      Ogni autorit\u00e0 di controllo elabora una relazione annuale sulla propria attivit\u00e0, in cui pu\u00f2 figurare un elenco delle tipologie di violazioni notificate e di misure adottate a norma dell\u2019articolo 58, paragrafo 2. Tali relazioni sono trasmesse al parlamento nazionale, al governo e alle altre autorit\u00e0 designate dal diritto dello Stato membro. Esse sono messe a disposizione del pubblico, della Commissione e del comitato.<\/p>

                                                                                                      CAPO VII<\/p>

                                                                                                      Cooperazione e coerenza<\/span><\/p>

                                                                                                      Sezione 1<\/p>

                                                                                                      Cooperazione<\/span><\/p>

                                                                                                      Articolo 60<\/em><\/p>

                                                                                                      Cooperazione tra l\u2019autorit\u00e0 di controllo capofila e le altre autorit\u00e0 di controllo interessate<\/span><\/p>

                                                                                                      1. L\u2019autorit\u00e0 di controllo capofila coopera con le altre autorit\u00e0 di controllo interessate conformemente al presente articolo nell\u2019impegno per raggiungere un consenso. L\u2019autorit\u00e0 di controllo capofila e le autorit\u00e0 di controllo interessate si scambiano tutte le informazioni utili.<\/li>
                                                                                                      2. L\u2019autorit\u00e0 di controllo capofila pu\u00f2 chiedere in qualunque momento alle altre autorit\u00e0 di controllo interessate di fornire assistenza reciproca a norma dell\u2019articolo 61 e pu\u00f2 condurre operazioni congiunte a norma dell\u2019articolo 62, in particolare per lo svolgimento di indagini o il controllo dell\u2019attuazione di una misura riguardante un titolare del trattamento o responsabile del trattamento stabilito in un altro Stato membro.<\/li>
                                                                                                      3. L\u2019autorit\u00e0 di controllo capofila comunica senza indugio le informazioni utili sulla questione alle altre autorit\u00e0 di controllo interessate. Trasmette senza indugio alle altre autorit\u00e0 di controllo interessate un progetto di decisione per ottenere il loro parere e tiene debitamente conto delle loro opinioni.<\/li>
                                                                                                      4. Se una delle altre autorit\u00e0 di controllo interessate solleva un\u2019obiezione pertinente e motivata al progetto di decisione entro un termine di quattro settimane dopo essere stata consultata conformemente al paragrafo 3 del presente articolo, l\u2019autorit\u00e0 di controllo capofila, ove non dia seguito all\u2019obiezione pertinente e motivata o ritenga l\u2019obiezione non pertinente o non motivata, sottopone la questione al meccanismo di coerenza di cui all\u2019articolo 63.<\/li>
                                                                                                      5. L\u2019autorit\u00e0 di controllo capofila, qualora intenda dare seguito all\u2019obiezione pertinente e motivata sollevata, trasmette un progetto di decisione riveduto alle altre autorit\u00e0 di controllo interessate per ottenere il loro parere. Tale progetto di decisione riveduto \u00e8 soggetto alla procedura di cui al paragrafo 4 entro un termine di due settimane.<\/li>
                                                                                                      6. Se nessuna delle altre autorit\u00e0 di controllo interessate ha sollevato obiezioni al progetto di decisione trasmesso dall\u2019autorit\u00e0 di controllo capofila entro il termine di cui ai paragrafi 4 e 5, si deve considerare che l\u2019autorit\u00e0 di controllo capofila e le autorit\u00e0 di controllo interessate concordano su tale progetto di decisione e sono da esso vincolate.<\/li>
                                                                                                      7. L\u2019autorit\u00e0 di controllo capofila adotta la decisione e la notifica allo stabilimento principale o allo stabilimento unico del titolare del trattamento o responsabile del trattamento, a seconda dei casi, e informa le altre autorit\u00e0 di controllo interessate e il comitato la decisione in questione, compresa una sintesi dei fatti e delle motivazioni pertinenti. L\u2019autorit\u00e0 di controllo cui \u00e8 stato proposto un reclamo informa il reclamante riguardo alla decisione.<\/li>
                                                                                                      8. In deroga al paragrafo 7, in caso di archiviazione o di rigetto di un reclamo, l\u2019autorit\u00e0 di controllo cui \u00e8 stato proposto il reclamo adotta la decisione e la notifica al reclamante e ne informa il titolare del trattamento.<\/li>
                                                                                                      9. Se l\u2019autorit\u00e0 di controllo capofila e le autorit\u00e0 di controllo interessate convengono di archiviare o rigettare parti di un reclamo e di intervenire su altre parti di tale reclamo, \u00e8 adottata una decisione separata per ciascuna di tali parti della questione. L\u2019autorit\u00e0 di controllo capofila adotta la decisione per la parte riguardante azioni in relazione al titolare del trattamento e la notifica allo stabilimento principale o allo stabilimento unico del responsabile del trattamento o del responsabile del trattamento sul territorio del suo Stato membro e ne informa il reclamante, mentre l\u2019autorit\u00e0 di controllo del reclamante adotta la decisione per la parte riguardante l\u2019archiviazione o il rigetto di detto reclamo, la notifica a detto reclamante e ne informa il titolare del trattamento o il responsabile del trattamento.<\/li>
                                                                                                      10. Dopo aver ricevuto la notifica della decisione dell\u2019autorit\u00e0 di controllo capofila a norma dei paragrafi 7 e 9, il titolare del trattamento o responsabile del trattamento adotta le misure necessarie per garantire la conformit\u00e0 alla decisione per quanto riguarda le attivit\u00e0 di trattamento nel contesto di tutti i suoi stabilimenti nell\u2019Unione. Il titolare del trattamento o responsabile del trattamento notifica le misure adottate per conformarsi alla decisione all\u2019autorit\u00e0 di controllo capofila, che ne informa le altre autorit\u00e0 di controllo interessate.<\/li>
                                                                                                      11. Qualora, in circostanze eccezionali, un\u2019autorit\u00e0 di controllo interessata abbia motivo di ritenere che urga intervenire per tutelare gli interessi degli interessati, si applica la procedura d\u2019urgenza di cui all\u2019articolo 66.<\/li>
                                                                                                      12. L\u2019autorit\u00e0 di controllo capofila e le altre autorit\u00e0 di controllo interessate si scambiano reciprocamente con mezzi elettronici, usando un modulo standard, le informazioni richieste a norma del presente articolo.<\/li><\/ol>

                                                                                                        Articolo 61<\/em><\/p>

                                                                                                        Assistenza reciproca<\/span><\/p>

                                                                                                        1. Le autorit\u00e0 di controllo si scambiano le informazioni utili e si prestano assistenza reciproca al fine di attuare e applicare il presente regolamento in maniera coerente, e mettono in atto misure per cooperare efficacemente tra loro. L\u2019assistenza reciproca comprende, in particolare, le richieste di informazioni e le misure di controllo, quali le richieste di autorizzazioni e consultazioni preventive e le richieste di effettuare ispezioni e indagini.<\/li>
                                                                                                        2. Ogni autorit\u00e0 di controllo adotta tutte le misure opportune necessarie per dare seguito alle richieste delle altre autorit\u00e0 di controllo senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Tali misure possono consistere, in particolare, nella trasmissione di informazioni utili sullo svolgimento di un\u2019indagine.<\/li>
                                                                                                        3. La richiesta di assistenza contiene tutte le informazioni necessarie, compresi lo scopo e i motivi della richiesta. Le informazioni scambiate sono utilizzate ai soli fini per cui sono state richieste.<\/li>
                                                                                                        4. L\u2019autorit\u00e0 di controllo richiesta non deve rifiutare di dare seguito alla richiesta, salvo che: a) non sia competente per trattare l\u2019oggetto della richiesta o per le misure cui deve dare esecuzione; o b) l\u2019accoglimento della richiesta violi le disposizioni del presente regolamento o il diritto dell\u2019Unione o dello Stato membro cui \u00e8 soggetta l\u2019autorit\u00e0 di controllo che riceve la richiesta.<\/li>
                                                                                                        5. L\u2019autorit\u00e0 di controllo richiesta informa l\u2019autorit\u00e0 di controllo richiedente dell\u2019esito o, a seconda dei casi, dei progressi delle misure adottate per rispondere alla richiesta. L\u2019autorit\u00e0 di controllo richiesta deve fornire le motivazioni del rigetto della richiesta.<\/li>
                                                                                                        6. Di norma, le autorit\u00e0 di controllo richieste forniscono con mezzi elettronici, usando un modulo standard, le informazioni richieste da altre autorit\u00e0 di controllo.<\/li>
                                                                                                        7. Le autorit\u00e0 di controllo richieste non impongono alcuna spesa per le misure da loro adottate a seguito di una richiesta di assistenza reciproca. Le autorit\u00e0 di controllo possono concordare disposizioni di indennizzo reciproco per spese specifiche risultanti dalla prestazione di assistenza reciproca in circostanze eccezionali.<\/li>
                                                                                                        8. Qualora l\u2019autorit\u00e0 di controllo non fornisca le informazioni di cui al paragrafo 5 del presente articolo, entro un mese dal ricevimento della richiesta di un\u2019altra autorit\u00e0 di controllo, l\u2019autorit\u00e0 di controllo richiedente pu\u00f2 adottare misure provvisorie nel territorio del suo Stato membro ai sensi dell\u2019articolo 55, paragrafo 1. Si considera, in tal caso, che urga intervenire ai sensi dell\u2019articolo 66, paragrafo 1, e che sia necessaria una decisione vincolante d\u2019urgenza da parte del comitato a norma dell\u2019articolo 66, paragrafo 2.<\/li>
                                                                                                        9. La Commissione pu\u00f2, mediante atti di esecuzione, specificare il formato e le procedure per l\u2019assistenza reciproca di cui al presente articolo e le modalit\u00e0 per lo scambio di informazioni con mezzi elettronici tra autorit\u00e0 di controllo e tra le autorit\u00e0 di controllo e il comitato, in particolare il modulo standard di cui al paragrafo 6 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo 2.<\/li><\/ol>

                                                                                                          Articolo 62<\/em><\/p>

                                                                                                          Operazioni congiunte delle autorit\u00e0 di controllo<\/span><\/p>

                                                                                                          1. Se del caso, le autorit\u00e0 di controllo conducono operazioni congiunte, incluse indagini congiunte e misure di contrasto congiunte, cui partecipano membri o personale di autorit\u00e0 di controllo di altri Stati membri.<\/li>
                                                                                                          2. Qualora il titolare del trattamento o responsabile del trattamento abbia stabilimenti in vari Stati membri o qualora esista la probabilit\u00e0 che il trattamento abbia su un numero significativo di interessati in pi\u00f9 di uno Stato membro un impatto negativo sostanziale, un\u2019autorit\u00e0 di controllo di ogni Stato membro in questione ha il diritto di partecipare alle operazioni congiunte. L\u2019autorit\u00e0 di controllo che \u00e8 competente conformemente all\u2019articolo 56, paragrafo 1, o all\u2019articolo 56 paragrafo 4, invita l\u2019autorit\u00e0 di controllo di ogni Stato membro interessato a partecipare all\u2019operazione congiunta in questione e risponde senza ritardo alle richieste di partecipazione delle autorit\u00e0 di controllo.<\/li>
                                                                                                          3. Un\u2019autorit\u00e0 di controllo pu\u00f2, in conformit\u00e0 del diritto degli Stati membri e con l\u2019autorizzazione dell\u2019autorit\u00e0 di controllo ospitata, conferire poteri, anche d\u2019indagine, ai membri o al personale dell\u2019autorit\u00e0 di controllo ospitata che partecipano alle operazioni congiunte o consentire ai membri o al personale dell\u2019autorit\u00e0 di controllo ospitata, nella misura in cui il diritto dello Stato membro dell\u2019autorit\u00e0 di controllo ospite lo permette, di esercitare i loro poteri d\u2019indagine in conformit\u00e0 del diritto dello Stato membro dell\u2019autorit\u00e0 di controllo ospitata. Tali poteri d\u2019indagine possono essere esercitati unicamente sotto il controllo e in presenza di membri o personale dell\u2019autorit\u00e0 di controllo ospite. I membri o il personale dell\u2019autorit\u00e0 di controllo ospitata sono soggetti al diritto dello Stato membro dell\u2019autorit\u00e0 di controllo ospite.<\/li>
                                                                                                          4. Qualora, in conformit\u00e0 del paragrafo 1, il personale di un\u2019autorit\u00e0 di controllo ospitata operi in un altro Stato membro, lo Stato membro dell\u2019autorit\u00e0 di controllo ospite si assume la responsabilit\u00e0 del suo operato, compreso l\u2019obbligo di risarcimento, per i danni causati da detto personale nel corso delle operazioni, conformemente al diritto dello Stato membro nel cui territorio esso opera.<\/li>
                                                                                                          5. Lo Stato membro nel cui territorio sono stati causati i danni risarcisce tali danni alle condizioni applicabili ai danni causati dal proprio personale. Lo Stato membro dell\u2019autorit\u00e0 di controllo ospitata il cui personale ha causato danni a terzi nel territorio di un altro Stato membro rimborsa integralmente a tale altro Stato membro importi corrisposti agli aventi diritto per conto di detti terzi.<\/li>
                                                                                                          6. Fatto salvo l\u2019esercizio dei suoi diritti nei confronti di terzi e fatta eccezione per il paragrafo 5, ciascuno Stato membro rinuncia, nel caso previsto al paragrafo 1, a chiedere a un altro Stato membro il risarcimento dei danni di cui al paragrafo 4.<\/li>
                                                                                                          7. Qualora sia prevista un\u2019operazione congiunta e un\u2019autorit\u00e0 di controllo non si conformi entro un mese all\u2019obbligo di cui al paragrafo 2, seconda frase, del presente articolo, le altre autorit\u00e0 di controllo possono adottare misure provvisorie nel territorio del loro Stato membro ai sensi dell\u2019articolo 55. Si considera, in tal caso, che urga intervenire ai sensi dell\u2019articolo 66, paragrafo 1, e che siano necessari un parere o una decisione vincolante d\u2019urgenza da parte del comitato a norma dell\u2019articolo 66, paragrafo 2.<\/li><\/ol>

                                                                                                            Sezione 2<\/p>

                                                                                                            Coerenza<\/span><\/p>

                                                                                                            Articolo 63<\/em><\/p>

                                                                                                            Meccanismo di coerenza<\/span><\/p>

                                                                                                            Al fine di contribuire all\u2019applicazione coerente del presente regolamento in tutta l\u2019Unione, le autorit\u00e0 di controllo cooperano tra loro e, se del caso, con la Commissione mediante il meccanismo di coerenza stabilito nella presente sezione.<\/p>

                                                                                                            Articolo 64<\/em><\/p>

                                                                                                            Parere del comitato europeo per la protezione dei dati<\/em><\/span><\/p>

                                                                                                            1. Il comitato emette un parere ove un\u2019autorit\u00e0 di controllo competente intenda adottare una delle misure in appresso. A tal fine, l\u2019autorit\u00e0 di controllo competente comunica il progetto di decisione al comitato, quando la decisione:
                                                                                                              a) \u00e8 finalizzata a stabilire un elenco di trattamenti soggetti al requisito di una valutazione d\u2019impatto sulla protezione dei dati ai sensi dell\u2019articolo 35, paragrafo 4;
                                                                                                              b) riguarda una questione di cui all\u2019articolo 40, paragrafo 7, relativa alla conformit\u00e0 al presente regolamento di un progetto di codice di condotta o una modifica o proroga di un codice di condotta;
                                                                                                              c) \u00e8 finalizzata ad approvare i criteri per l\u2019accreditamento di un organismo ai sensi dell\u2019articolo 41, paragrafo 3, o di un organismo di certificazione ai sensi dell\u2019articolo 43, paragrafo 3;
                                                                                                              d) \u00e8 finalizzata a determinare clausole tipo di protezione dei dati di cui all\u2019articolo 46, paragrafo 2, lettera d), e all\u2019articolo 28, paragrafo 8;
                                                                                                              e) \u00e8 finalizzata ad autorizzare clausole contrattuali di cui all\u2019articolo 46, paragrafo 3, lettera a); oppure f) \u00e8 finalizzata ad approvare norme vincolanti d\u2019impresa ai sensi dell\u2019articolo 47.<\/li>
                                                                                                            2. Qualsiasi autorit\u00e0 di controllo, il presidente del comitato o la Commissione pu\u00f2 richiedere che le questioni di applicazione generale o che producono effetti in pi\u00f9 di uno Stato membro siano esaminate dal comitato al fine di ottenere un parere, in particolare se un\u2019autorit\u00e0 di controllo competente non si conforma agli obblighi relativi all\u2019assistenza reciproca ai sensi dell\u2019articolo 61 o alle operazioni congiunte ai sensi dell\u2019articolo 62.<\/li>
                                                                                                            3. Nei casi di cui ai paragrafi 1 e 2, il comitato emette un parere sulla questione che gli \u00e8 stata presentata, purch\u00e9 non abbia gi\u00e0 emesso un parere sulla medesima questione. Tale parere \u00e8 adottato entro un termine di otto settimane a maggioranza semplice dei membri del comitato. Tale termine pu\u00f2 essere prorogato di sei settimane, tenendo conto della complessit\u00e0 della questione. Per quanto riguarda il progetto di decisione di cui al paragrafo 1 trasmesso ai membri del comitato conformemente al paragrafo 5, il membro che non abbia sollevato obiezioni entro un termine ragionevole indicato dal presidente \u00e8 considerato assentire al progetto di decisione.<\/li>
                                                                                                            4. Senza ingiustificato ritardo, le autorit\u00e0 di controllo e la Commissione comunicano per via elettronica, usando un modulo standard, al comitato tutte le informazioni utili, in particolare, a seconda del caso, una sintesi dei fatti, il progetto di decisione, i motivi che rendono necessaria l\u2019attuazione di tale misura e i pareri delle altre autorit\u00e0 di controllo interessate.<\/li>
                                                                                                            5. Il presidente del comitato informa, senza ingiustificato ritardo, con mezzi elettronici:
                                                                                                              a) i membri del comitato e la Commissione di tutte le informazioni utili che sono state comunicate al comitato con modulo standard. Se necessario, il segretariato del comitato fornisce una traduzione delle informazioni utili; e
                                                                                                              b) l\u2019autorit\u00e0 di controllo di cui, secondo i casi, ai paragrafi 1 e 2, e la Commissione in merito al parere, che rende pubblico.<\/li>
                                                                                                            6. L\u2019autorit\u00e0 di controllo competente si astiene dall\u2019adottare il suo progetto di decisione di cui al paragrafo 1 entro il termine di cui al paragrafo 3.<\/li>
                                                                                                            7. L\u2019autorit\u00e0 di controllo di cui al paragrafo 1 tiene nella massima considerazione il parere del comitato e, entro due settimane dal ricevimento del parere, comunica per via elettronica, usando un modulo standard, al presidente del comitato se intende mantenere o modificare il progetto di decisione e, se del caso, il progetto di decisione modificato.<\/li>
                                                                                                            8. Se entro il termine di cui al paragrafo 7 del presente articolo l\u2019autorit\u00e0 di controllo interessata informa il presidente del comitato, fornendo le pertinenti motivazioni, che non intende conformarsi al parere del comitato, in tutto o in parte, si applica l\u2019articolo 65, paragrafo 1.<\/li><\/ol>

                                                                                                              Articolo 65<\/em><\/p>

                                                                                                              Composizione delle controversie da parte del comitato<\/span><\/p>

                                                                                                              1. Al fine di assicurare l\u2019applicazione corretta e coerente del presente regolamento nei singoli casi, il comitato adotta una decisione vincolante nei seguenti casi:
                                                                                                                a) se, in un caso di cui all\u2019articolo 60, paragrafo 4, un\u2019autorit\u00e0 di controllo interessata ha sollevato un\u2019obiezione pertinente e motivata a un progetto di decisione dell\u2019autorit\u00e0 capofila o l\u2019autorit\u00e0 capofila ha rigettato tale obiezione in quanto non pertinente o non motivata. La decisione vincolante riguarda tutte le questioni oggetto dell\u2019obiezione pertinente e motivata, in particolare se sussista una violazione del presente regolamento;
                                                                                                                b) se vi sono opinioni contrastanti in merito alla competenza delle autorit\u00e0 di controllo interessate per lo stabilimento principale;
                                                                                                                c) se un\u2019autorit\u00e0 di controllo competente non richiede il parere del comitato nei casi di cui all\u2019articolo 64, paragrafo 1, o non si conforma al parere del comitato emesso a norma dell\u2019articolo 64. In tal caso qualsiasi autorit\u00e0 di controllo interessata o la Commissione pu\u00f2 comunicare la questione al comitato.<\/li>
                                                                                                              2. La decisione di cui al paragrafo 1 \u00e8 adottata entro un mese dal deferimento della questione da parte di una maggioranza di due terzi dei membri del comitato. Tale termine pu\u00f2 essere prorogato di un mese, in considerazione della complessit\u00e0 della questione. La decisione di cui al paragrafo 1 \u00e8 motivata e trasmessa all\u2019autorit\u00e0 di controllo capofila e a tutte le autorit\u00e0 di controllo interessate ed \u00e8 per esse vincolante.<\/li>
                                                                                                              3. Qualora non sia stato in grado di adottare una decisione entro i termini di cui al paragrafo 2, il comitato adotta la sua decisione entro due settimane dalla scadenza del secondo mese di cui al paragrafo 2, a maggioranza semplice dei membri del comitato. In caso di parit\u00e0 di voti dei membri del comitato, prevale il voto del presidente.<\/li>
                                                                                                              4. Le autorit\u00e0 di controllo interessate non adottano una decisione sulla questione sottoposta al comitato a norma del paragrafo 1 entro i termini di cui ai paragrafi 2 e 3.<\/li>
                                                                                                              5. Il presidente del comitato notifica senza ingiustificato ritardo alle autorit\u00e0 di controllo interessate la decisione di cui al paragrafo 1 e ne informa la Commissione. La decisione \u00e8 pubblicata senza ritardo sul sito web del comitato dopo che l\u2019autorit\u00e0 di controllo ha notificato la decisione definitiva di cui al paragrafo 6.<\/li>
                                                                                                              6. L\u2019autorit\u00e0 di controllo capofila o, se del caso, l\u2019autorit\u00e0 di controllo a cui \u00e8 stato proposto il reclamo adotta la sua decisione definitiva in base alla decisione di cui al paragrafo 1 del presente articolo senza ingiustificato ritardo e al pi\u00f9 tardi entro un mese dalla notifica della decisione da parte del comitato. L\u2019autorit\u00e0 di controllo capofila o, se del caso, l\u2019autorit\u00e0 di controllo a cui \u00e8 stato proposto il reclamo, informa il comitato circa la data in cui la decisione definitiva \u00e8 notificata rispettivamente al titolare del trattamento o al responsabile del trattamento e all\u2019interessato. La decisione definitiva delle autorit\u00e0 di controllo interessate \u00e8 adottata ai sensi dell\u2019articolo 60, paragrafi 7, 8 e 9. La decisione finale fa riferimento alla decisione di cui al paragrafo 1 del presente articolo e precisa che la decisione di cui a tale paragrafo sar\u00e0 pubblicata sul sito web del comitato conformemente al paragrafo 5 del presente articolo. La decisione finale deve accludere la decisione di cui al paragrafo 1 del presente articolo.<\/li><\/ol>

                                                                                                                Articolo 66<\/em><\/p>

                                                                                                                Procedura d\u2019urgenza<\/span><\/p>

                                                                                                                1. In circostanze eccezionali, qualora ritenga che urga intervenire per proteggere i diritti e le libert\u00e0 degli interessati, un\u2019autorit\u00e0 di controllo interessata pu\u00f2, in deroga al meccanismo di coerenza di cui agli articoli 63, 64 e 65, o alla procedura di cui all\u2019articolo 60, adottare immediatamente misure provvisorie intese a produrre effetti giuridici nel proprio territorio, con un periodo di validit\u00e0 determinato che non supera i tre mesi. L\u2019autorit\u00e0 di controllo comunica senza ritardo tali misure e la motivazione della loro adozione alle altre autorit\u00e0 di controllo interessate, al comitato e alla Commissione.<\/li>
                                                                                                                2. Qualora abbia adottato una misura ai sensi del paragrafo 1 e ritenga che urga adottare misure definitive, l\u2019autorit\u00e0 di controllo pu\u00f2 chiedere un parere d\u2019urgenza o una decisione vincolante d\u2019urgenza del comitato, motivando tale richiesta.<\/li>
                                                                                                                3. .Qualsiasi autorit\u00e0 di controllo pu\u00f2 chiedere un parere d\u2019urgenza o una decisione vincolante d\u2019urgenza, a seconda dei casi, del comitato qualora un\u2019autorit\u00e0 di controllo competente non abbia adottato misure adeguate in una situazione in cui urge intervenire per proteggere i diritti e le libert\u00e0 degli interessati, motivando la richiesta di tale parere o decisione, in particolare l\u2019urgenza dell\u2019intervento.<\/li>
                                                                                                                4. In deroga all\u2019articolo 64, paragrafo 3, e all\u2019articolo 65, paragrafo 2, il parere d\u2019urgenza o la decisione vincolante d\u2019urgenza di cui ai paragrafi 2 e 3 del presente articolo sono adottati entro due settimane a maggioranza semplice dei membri del comitato.<\/li><\/ol>

                                                                                                                  Articolo 67<\/em><\/p>

                                                                                                                  Scambio di informazioni<\/span><\/p>

                                                                                                                  1. La Commissione pu\u00f2 adottare atti di esecuzione di portata generale per specificare le modalit\u00e0 per lo scambio di informazioni per via elettronica tra autorit\u00e0 di controllo e tra le autorit\u00e0 di controllo e il comitato, in particolare il modulo standard di cui all\u2019articolo 64. Tali atti di esecuzione sono adottati secondo la procedura d\u2019esame di cui all\u2019articolo 93, paragrafo<\/li>
                                                                                                                  2. Sezione 3 Comitato europeo per la protezione dei dati Articolo 68 Comitato europeo per la protezione dei dati 1.Il comitato europeo per la protezione dei dati (\u00abcomitato\u00bb) \u00e8 istituito quale organismo dell\u2019Unione ed \u00e8 dotato di personalit\u00e0 giuridica. 2.Il comitato \u00e8 rappresentato dal suo presidente.<\/li>
                                                                                                                  3. Il comitato \u00e8 composto dalla figura di vertice di un\u2019autorit\u00e0 di controllo per ciascuno Stato membro e dal garante europeo della protezione dei dati, o dai rispettivi rappresentanti.<\/li>
                                                                                                                  4. Qualora, in uno Stato membro, pi\u00f9 autorit\u00e0 di controllo siano incaricate di sorvegliare l\u2019applicazione delle disposizioni del presente regolamento, \u00e8 designato un rappresentante comune conformemente al diritto di tale Stato membro.<\/li>
                                                                                                                  5. La Commissione ha il diritto di partecipare alle attivit\u00e0 e alle riunioni del comitato senza diritto di voto. La Commissione designa un rappresentante. Il presidente del comitato comunica alla Commissione le attivit\u00e0 del comitato.<\/li>
                                                                                                                  6. Nei casi di cui all\u2019articolo 65, il garante europeo della protezione dei dati ha diritto di voto solo per decisioni che riguardano principi e norme applicabili a istituzioni, organi, uffici e agenzie dell\u2019Unione che corrispondono nella sostanza a quelli del presente regolamento.<\/li><\/ol>

                                                                                                                    Articolo 69<\/em><\/p>

                                                                                                                    Indipendenza<\/span><\/p>

                                                                                                                    1. Nell\u2019esecuzione dei suoi compiti o nell\u2019esercizio dei suoi poteri ai sensi degli articoli 70 e 71, il comitato opera con indipendenza.<\/li>
                                                                                                                    2. Fatte salve le richieste della Commissione di cui all\u2019articolo 70, paragrafo 1, lettera b), e all\u2019articolo 70, paragrafo 2, nell\u2019esecuzione dei suoi compiti o nell\u2019esercizio dei suoi poteri il comitato non sollecita n\u00e9 accetta istruzioni da alcuno.<\/li><\/ol>

                                                                                                                      Articolo 70<\/em><\/p>

                                                                                                                      Compiti del comitato<\/span><\/p>

                                                                                                                      1. Il comitato garantisce l\u2019applicazione coerente del presente regolamento. A tal fine, il comitato, di propria iniziativa o, se del caso, su richiesta della Commissione, in particolare:
                                                                                                                        a) sorveglia il presente regolamento e ne assicura l\u2019applicazione corretta nei casi previsti agli articoli 64 e 65 fatti salvi i compiti delle autorit\u00e0 nazionali di controllo;
                                                                                                                        b) fornisce consulenza alla Commissione in merito a qualsiasi questione relativa alla protezione dei dati personali nell\u2019Unione, comprese eventuali proposte di modifica del presente regolamento;
                                                                                                                        c) fornisce consulenza alla Commissione sul formato e le procedure per lo scambio di informazioni tra titolari del trattamento, responsabili del trattamento e autorit\u00e0 di controllo in merito alle norme vincolanti d\u2019impresa;
                                                                                                                        d) pubblica linee guida, raccomandazioni e migliori prassi in materia di procedure per la cancellazione di link, copie o riproduzioni di dati personali dai servizi di comunicazione accessibili al pubblico di cui all\u2019articolo 17, paragrafo 2;
                                                                                                                        e) esamina, di propria iniziativa o su richiesta di uno dei suoi membri o della Commissione, qualsiasi questione relativa all\u2019applicazione del presente regolamento e pubblica linee guida, raccomandazioni e migliori prassi al fine di promuovere l\u2019applicazione coerente del presente regolamento;
                                                                                                                        f) pubblica linee guida, raccomandazioni e migliori pratiche conformemente alla lettera e) del presente paragrafo, per specificare ulteriormente i criteri e le condizioni delle decisioni basate sulla profilazione ai sensi dell\u2019articolo 22, paragrafo 2;
                                                                                                                        g) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, per accertare la violazione di dati personali e determinare l\u2019ingiustificato ritardo di cui all\u2019articolo 33, paragrafi 1 e 2, e le circostanze particolari in cui il titolare del trattamento o il responsabile del trattamento \u00e8 tenuto a notificare la violazione dei dati personali;
                                                                                                                        h) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, relative alle circostanze in cui una violazione dei dati personali \u00e8 suscettibile di presentare un rischio elevato per i diritti e le libert\u00e0 delle persone fisiche di cui all\u2019articolo 34, paragrafo 1;
                                                                                                                        i) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, al fine di specificare ulteriormente i criteri e i requisiti dei trasferimenti di dati personali basati sulle norme vincolanti d\u2019impresa applicate, rispettivamente, dai titolari del trattamento e dai responsabili del trattamento, nonch\u00e9 gli ulteriori requisiti per assicurare la protezione dei dati personali degli interessati di cui all\u2019articolo 47;
                                                                                                                        j) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, al fine di specificare ulteriormente i criteri e i requisiti dei trasferimenti di dati personali sulla base dell\u2019articolo 49, paragrafo 1;
                                                                                                                        k) elabora per le autorit\u00e0 di controllo linee guida riguardanti l\u2019applicazione delle misure di cui all\u2019articolo 58, paragrafi 1, 2 e 3, e la previsione delle sanzioni amministrative pecuniarie ai sensi dell\u2019articolo 83;
                                                                                                                        l) valuta l\u2019applicazione pratica delle linee guida, raccomandazioni e migliori prassi di cui alle lettere e) e f);
                                                                                                                        m) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, per stabilire procedure comuni per le segnalazioni da parte di persone fisiche di violazioni del presente regolamento ai sensi dell\u2019articolo 54, paragrafo 2;
                                                                                                                        n) incoraggia l\u2019elaborazione di codici di condotta e l\u2019istituzione di meccanismi di certificazione della protezione dei dati nonch\u00e9 di sigilli e marchi di protezione dei dati ai sensi degli articoli 40 e 42;
                                                                                                                        o) effettua l\u2019accreditamento di organismi di certificazione e il suo riesame periodico a norma dell\u2019articolo 43 e tiene un registro pubblico di organismi accreditati a norma dell\u2019articolo 43, paragrafo 6, e dei titolari o responsabili del trattamento accreditati, stabiliti in paesi terzi a norma dell\u2019articolo 42, paragrafo 7;
                                                                                                                        p) specifica i requisiti di cui all\u2019articolo 43, paragrafo 3, ai fini dell\u2019accreditamento degli organismi di certificazione ai sensi dell\u2019articolo 42;
                                                                                                                        q) fornisce alla Commissione un parere in merito ai requisiti di certificazione di cui all\u2019articolo 43, paragrafo 8;
                                                                                                                        r) fornisce alla Commissione un parere in merito alle icone di cui all\u2019articolo 12, paragrafo 7;
                                                                                                                        s) fornisce alla Commissione un parere per valutare l\u2019adeguatezza del livello di protezione in un paese terzo o in un\u2019organizzazione internazionale, cos\u00ec come per valutare se il paese terzo, il territorio o uno o pi\u00f9 settori specifici all\u2019interno di tale paese terzo, o l\u2019organizzazione internazionale non assicurino pi\u00f9 un livello adeguato di protezione. A tal fine, la Commissione fornisce al comitato tutta la documentazione necessaria, inclusa la corrispondenza con il governo del paese terzo, con riguardo a tale paese terzo, territorio o settore specifico, o con l\u2019organizzazione internazionale;
                                                                                                                        t) emette pareri sui progetti di decisione delle autorit\u00e0 di controllo conformemente al meccanismo di coerenza di cui all\u2019articolo 64, paragrafo 1, e sulle questioni presentate conformemente all\u2019articolo 64, paragrafo 2, ed emette decisioni vincolanti ai sensi dell\u2019articolo 65, anche nei casi di cui all\u2019articolo 66;
                                                                                                                        u) promuove la cooperazione e l\u2019effettivo scambio di informazioni e prassi tra le autorit\u00e0 di controllo a livello bilaterale e multilaterale;
                                                                                                                        v) promuove programmi comuni di formazione e facilita lo scambio di personale tra le autorit\u00e0 di controllo e, se del caso, con le autorit\u00e0 di controllo di paesi terzi o di organizzazioni internazionali;
                                                                                                                        w) promuove lo scambio di conoscenze e documentazione sulla legislazione e sulle prassi in materia di protezione dei dati tra autorit\u00e0 di controllo di tutto il mondo;
                                                                                                                        x) emette pareri sui codici di condotta redatti a livello di Unione a norma dell\u2019articolo 40, paragrafo 9; e
                                                                                                                        y) tiene un registro elettronico, accessibile al pubblico, delle decisioni adottate dalle autorit\u00e0 di controllo e dalle autorit\u00e0 giurisdizionali su questioni trattate nell\u2019ambito del meccanismo di coerenza.<\/li>
                                                                                                                      2. Qualora chieda consulenza al comitato, la Commissione pu\u00f2 indicare un termine, tenuto conto dell\u2019urgenza della questione.<\/li>
                                                                                                                      3. Il comitato trasmette pareri, linee guida, raccomandazioni e migliori prassi alla Commissione e al comitato di cui all\u2019articolo 93, e li pubblica.<\/li>
                                                                                                                      4. Se del caso, il comitato consulta le parti interessate e offre loro la possibilit\u00e0 di esprimere commenti entro un termine ragionevole. Fatto salvo l\u2019articolo 76, il comitato rende pubblici i risultati della procedura di consultazione.<\/li><\/ol>

                                                                                                                        Articolo 71<\/em><\/p>

                                                                                                                        Relazioni<\/span><\/p>

                                                                                                                        Il comitato redige una relazione annuale sulla protezione delle persone fisiche con riguardo al trattamento nell\u2019Unione e, se del caso, nei paesi terzi e nelle organizzazioni internazionali. La relazione \u00e8 pubblicata ed \u00e8 trasmessa al Parlamento europeo, al Consiglio e alla Commissione.<\/p>

                                                                                                                        La relazione annuale include la valutazione dell\u2019applicazione pratica delle linee guida, raccomandazioni e migliori prassi di cui all\u2019articolo 70, paragrafo 1, lettera l), nonch\u00e9 delle decisioni vincolanti di cui all\u2019articolo 65.<\/p>

                                                                                                                        Articolo 72<\/em><\/p>

                                                                                                                        Procedura<\/span><\/p>

                                                                                                                        1. Il comitato decide a maggioranza semplice dei suoi membri, salvo se diversamente previsto dal presente regolamento.<\/li>
                                                                                                                        2. Il comitato adotta il proprio regolamento interno deliberando a maggioranza di due terzi dei suoi membri e stabilisce le modalit\u00e0 del proprio funzionamento.<\/li><\/ol>

                                                                                                                          Articolo 73<\/em><\/p>

                                                                                                                          Presidente<\/span><\/p>

                                                                                                                          1. Il comitato elegge un presidente e due vicepresidenti tra i suoi membri a maggioranza semplice.<\/li>
                                                                                                                          2. Il presidente e i vicepresidenti hanno un mandato di cinque anni, rinnovabile una volta.<\/li><\/ol>

                                                                                                                            Articolo 74<\/em><\/p>

                                                                                                                            Compiti del presidente<\/span><\/p>

                                                                                                                            Il presidente ha il compito di:
                                                                                                                            a) convocare le riunioni del comitato e stabilirne l\u2019ordine del giorno;
                                                                                                                            b) notificare le decisioni adottate dal comitato a norma dell\u2019articolo 65 all\u2019autorit\u00e0 di controllo capofila e alle autorit\u00e0 di controllo interessate;
                                                                                                                            c) assicurare l\u2019esecuzione tempestiva dei compiti del comitato, in particolare in relazione al meccanismo di coerenza di cui all\u2019articolo 63.
                                                                                                                            Il comitato europeo stabilisce nel proprio regolamento interno la ripartizione dei compiti tra presidente e vicepresidenti.<\/p>

                                                                                                                            Articolo 75<\/em><\/p>

                                                                                                                            Segreteria<\/span><\/p>

                                                                                                                            1. Il comitato dispone di una segreteria messa a disposizione dal garante europeo della protezione dei dati.<\/li>
                                                                                                                            2. La segreteria svolge i propri compiti seguendo esclusivamente le istruzioni del presidente del comitato.<\/li>
                                                                                                                            3. al comitato dal presente regolamento \u00e8 soggetto a linee gerarchiche separate rispetto al personale coinvolto nello svolgimento dei compiti attribuiti al garante europeo della protezione dei dati.<\/li>
                                                                                                                            4. Se del caso, il comitato e il garante europeo della protezione dei dati stabiliscono e pubblicano un protocollo d\u2019intesa che attua il presente articolo, stabilisce i termini della loro cooperazione e si applica al personale del garante europeo della protezione dei dati coinvolto nell\u2019assolvimento dei compiti attribuiti al comitato dal presente regolamento.<\/li>
                                                                                                                            5. La segreteria presta assistenza in materia di analisi, amministrativa e logistica al comitato.<\/li>
                                                                                                                            6. La segreteria \u00e8 incaricata in particolare:
                                                                                                                              a) della gestione ordinaria del comitato;
                                                                                                                              b) della comunicazione tra i membri del comitato, il suo presidente e la Commissione;
                                                                                                                              c) della comunicazione con le altre istituzioni e il pubblico;
                                                                                                                              d) dell\u2019uso di mezzi elettronici per la comunicazione interna ed esterna;
                                                                                                                              e) della traduzione delle informazioni rilevanti;
                                                                                                                              f) della preparazione delle riunioni del comitato e del relativo seguito;
                                                                                                                              g) della preparazione, redazione e pubblicazione dei pareri, delle decisioni sulla composizione delle controversie tra le autorit\u00e0 di controllo e di altri testi adottati dal comitato.<\/li><\/ol>

                                                                                                                              Articolo 76<\/em><\/p>

                                                                                                                              Riservatezza<\/span><\/p>

                                                                                                                              1. Se il comitato europeo lo ritiene necessario, le sue deliberazioni hanno carattere riservato, come previsto dal suo regolamento interno.<\/li>
                                                                                                                              2. L\u2019accesso ai documenti trasmessi ai membri del comitato, agli esperti e ai rappresentanti di terzi \u00e8 disciplinato dal regolamento (CE) n. 1049\/2001 del Parlamento europeo e del Consiglio (21).<\/li><\/ol>

                                                                                                                                CAPO VIII<\/p>

                                                                                                                                Mezzi di ricorso, responsabilit\u00e0 e sanzioni<\/span><\/p>

                                                                                                                                Articolo 77<\/em><\/p>

                                                                                                                                Diritto di proporre reclamo all\u2019autorit\u00e0 di controllo<\/span><\/p>

                                                                                                                                1. Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l\u2019interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un\u2019autorit\u00e0 di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si \u00e8 verificata la presunta violazione.<\/li>
                                                                                                                                2. L\u2019autorit\u00e0 di controllo a cui \u00e8 stato proposto il reclamo informa il reclamante dello stato o dell\u2019esito del reclamo, compresa la possibilit\u00e0 di un ricorso giurisdizionale ai sensi dell\u2019articolo 78.<\/li><\/ol>

                                                                                                                                  Articolo 78<\/em><\/p>

                                                                                                                                  Diritto a un ricorso giurisdizionale effettivo nei confronti dell\u2019autorit\u00e0 di controllo<\/span><\/p>

                                                                                                                                  1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell\u2019autorit\u00e0 di controllo che la riguarda.<\/li>
                                                                                                                                  2. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l\u2019autorit\u00e0 di controllo che sia competente ai sensi degli articoli 55 e 56 non tratti un reclamo o non lo informi entro tre mesi dello stato o dell\u2019esito del reclamo proposto ai sensi dell\u2019articolo 77.<\/li>
                                                                                                                                  3. Le azioni nei confronti dell\u2019autorit\u00e0 di controllo sono promosse dinanzi alle autorit\u00e0 giurisdizionali dello Stato membro in cui l\u2019autorit\u00e0 di controllo \u00e8 stabilita.<\/li>
                                                                                                                                  4. Qualora siano promosse azioni avverso una decisione di un\u2019autorit\u00e0 di controllo che era stata preceduta da un parere o da una decisione del comitato nell\u2019ambito del meccanismo di coerenza, l\u2019autorit\u00e0 di controllo trasmette tale parere o decisione all\u2019autorit\u00e0 giurisdizionale.<\/li><\/ol>

                                                                                                                                    Articolo 79<\/em><\/p>

                                                                                                                                    Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del trattamento o del responsabile del trattamento<\/span><\/p>

                                                                                                                                    1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un\u2019autorit\u00e0 di controllo ai sensi dell\u2019articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento.<\/li>
                                                                                                                                    2. Le azioni nei confronti del titolare del trattamento o del responsabile del trattamento sono promosse dinanzi alle autorit\u00e0 giurisdizionali dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento. In alternativa, tali azioni possono essere promosse dinanzi alle autorit\u00e0 giurisdizionali dello Stato membro in cui l\u2019interessato risiede abitualmente, salvo che il titolare del trattamento o il responsabile del trattamento sia un\u2019autorit\u00e0 pubblica di uno Stato membro nell\u2019esercizio dei pubblici poteri.<\/li><\/ol>

                                                                                                                                      Articolo 80<\/em><\/p>

                                                                                                                                      Rappresentanza degli interessati<\/em><\/p>

                                                                                                                                      1. L\u2019interessato ha il diritto di dare mandato a un organismo, un\u2019organizzazione o un\u2019associazione senza scopo di lucro, che siano debitamente costituiti secondo il diritto di uno Stato membro, i cui obiettivi statutari siano di pubblico interesse e che siano attivi nel settore della protezione dei diritti e delle libert\u00e0 degli interessati con riguardo alla protezione dei dati personali, di proporre il reclamo per suo conto e di esercitare per suo conto i diritti di cui agli articoli 77, 78 e 79 nonch\u00e9, se previsto dal diritto degli Stati membri, il diritto di ottenere il risarcimento di cui all\u2019articolo 82.<\/li>
                                                                                                                                      2. Gli Stati membri possono prevedere che un organismo, organizzazione o associazione di cui al paragrafo 1 del presente articolo, indipendentemente dal mandato conferito dall\u2019interessato, abbia il diritto di proporre, in tale Stato membro, un reclamo all\u2019autorit\u00e0 di controllo competente, e di esercitare i diritti di cui agli articoli 78 e 79, qualora ritenga che i diritti di cui un interessato gode a norma del presente regolamento siano stati violati in seguito al trattamento.<\/li><\/ol>

                                                                                                                                        Articolo 81<\/em><\/p>

                                                                                                                                        Sospensione delle azioni<\/span><\/p>

                                                                                                                                        1. L\u2019autorit\u00e0 giurisdizionale competente di uno Stato membro che venga a conoscenza di azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento pendenti presso un\u2019autorit\u00e0 giurisdizionale in un altro Stato membro, prende contatto con tale autorit\u00e0 giurisdizionale nell\u2019altro Stato membro per confermare l\u2019esistenza delle azioni.<\/li>
                                                                                                                                        2. Qualora azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento siano pendenti presso un\u2019autorit\u00e0 giurisdizionale in un altro Stato membro, qualunque autorit\u00e0 giurisdizionale competente successivamente adita pu\u00f2 sospendere le azioni.<\/li>
                                                                                                                                        3. Se tali azioni sono pendenti in primo grado, qualunque autorit\u00e0 giurisdizionale successivamente adita pu\u00f2 parimenti dichiarare la propria incompetenza su richiesta di una delle parti a condizione che l\u2019autorit\u00e0 giurisdizionale adita per prima sia competente a conoscere delle domande proposte e la sua legge consenta la riunione dei procedimenti.<\/li><\/ol>

                                                                                                                                          Articolo 82<\/em><\/p>

                                                                                                                                          Diritto al risarcimento e responsabilit\u00e0<\/span><\/p>

                                                                                                                                          1. Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.<\/li>
                                                                                                                                          2. Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.<\/li>
                                                                                                                                          3. Il titolare del trattamento o il responsabile del trattamento \u00e8 esonerato dalla responsabilit\u00e0, a norma del paragrafo 2 se dimostra che l\u2019evento dannoso non gli \u00e8 in alcun modo imputabile.<\/li>
                                                                                                                                          4. Qualora pi\u00f9 titolari del trattamento o responsabili del trattamento oppure entrambi il titolare del trattamento e il responsabile del trattamento siano coinvolti nello stesso trattamento e siano, ai sensi dei paragrafi 2 e 3, responsabili dell\u2019eventuale danno causato dal trattamento, ogni titolare del trattamento o responsabile del trattamento \u00e8 responsabile in solido per l\u2019intero ammontare del danno, al fine di garantire il risarcimento effettivo dell\u2019interessato.<\/li>
                                                                                                                                          5. Qualora un titolare del trattamento o un responsabile del trattamento abbia pagato, conformemente al paragrafo 4, l\u2019intero risarcimento del danno, tale titolare del trattamento o responsabile del trattamento ha il diritto di reclamare dagli altri titolari del trattamento o responsabili del trattamento coinvolti nello stesso trattamento la parte del risarcimento corrispondente alla loro parte di responsabilit\u00e0 per il danno conformemente alle condizioni di cui al paragrafo 2.<\/li>
                                                                                                                                          6. Le azioni legali per l\u2019esercizio del diritto di ottenere il risarcimento del danno sono promosse dinanzi alle autorit\u00e0 giurisdizionali competenti a norma del diritto dello Stato membro di cui all\u2019articolo 79, paragrafo 2.<\/li><\/ol>

                                                                                                                                            Articolo 83<\/em><\/p>

                                                                                                                                            Condizioni generali per infliggere sanzioni amministrative pecuniarie<\/span><\/p>

                                                                                                                                            1. Ogni autorit\u00e0 di controllo provvede affinch\u00e9 le sanzioni amministrative pecuniarie inflitte ai sensi del presente articolo in relazione alle violazioni del presente regolamento di cui ai paragrafi 4, 5 e 6 siano in ogni singolo caso effettive, proporzionate e dissuasive.<\/li>
                                                                                                                                            2. Le sanzioni amministrative pecuniarie sono inflitte, in funzione delle circostanze di ogni singolo caso, in aggiunta alle misure di cui all\u2019articolo 58, paragrafo 2, lettere da a) a h) e j), o in luogo di tali misure. Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l\u2019ammontare della stessa in ogni singolo caso si tiene debito conto dei seguenti elementi:
                                                                                                                                              a) la natura, la gravit\u00e0 e la durata della violazione tenendo in considerazione la natura, l\u2019oggetto o a finalit\u00e0 del trattamento in questione nonch\u00e9 il numero di interessati lesi dal danno e il livello del danno da essi subito;
                                                                                                                                              b) il carattere doloso o colposo della violazione;
                                                                                                                                              c) le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati;
                                                                                                                                              d) il grado di responsabilit\u00e0 del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32;
                                                                                                                                              e) eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento;
                                                                                                                                              f) il grado di cooperazione con l\u2019autorit\u00e0 di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi;
                                                                                                                                              g) le categorie di dati personali interessate dalla violazione;
                                                                                                                                              h) la maniera in cui l\u2019autorit\u00e0 di controllo ha preso conoscenza della violazione, in particolare se e in che misura il titolare del trattamento o il responsabile del trattamento ha notificato la violazione;
                                                                                                                                              i) qualora siano stati precedentemente disposti provvedimenti di cui all\u2019articolo 58, paragrafo 2, nei confronti del titolare del trattamento o del responsabile del trattamento in questione relativamente allo stesso oggetto, il rispetto di tali provvedimenti;
                                                                                                                                              j) l\u2019adesione ai codici di condotta approvati ai sensi dell\u2019articolo 40 o ai meccanismi di certificazione approvati ai sensi dell\u2019articolo 42; e
                                                                                                                                              k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione.<\/li>
                                                                                                                                            3. Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l\u2019importo totale della sanzione amministrativa pecuniaria non supera l\u2019importo specificato per la violazione pi\u00f9 grave.<\/li>
                                                                                                                                            4. In conformit\u00e0 del paragrafo 2, la violazione delle disposizioni seguenti \u00e8 soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR, o per le imprese, fino al 2 % del fatturato mondiale totale annuo dell\u2019esercizio precedente, se superiore:
                                                                                                                                              a) gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43;
                                                                                                                                              b) gli obblighi dell\u2019organismo di certificazione a norma degli articoli 42 e 43;
                                                                                                                                              c) gli obblighi dell\u2019organismo di controllo a norma dell\u2019articolo 41, paragrafo 4;<\/li>
                                                                                                                                            5. In conformit\u00e0 del paragrafo 2, la violazione delle disposizioni seguenti \u00e8 soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell\u2019esercizio precedente, se superiore:
                                                                                                                                              a) i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
                                                                                                                                              b) i diritti degli interessati a norma degli articoli da 12 a 22;
                                                                                                                                              c) i trasferimenti di dati personali a un destinatario in un paese terzo o un\u2019organizzazione internazionale a norma degli articoli da 44 a 49;
                                                                                                                                              d) qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX;
                                                                                                                                              e) l\u2019inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell\u2019autorit\u00e0 di controllo ai sensi dell\u2019articolo 58, paragrafo 2, o il negato accesso in violazione dell\u2019articolo 58, paragrafo 1.<\/li>
                                                                                                                                            6. In conformit\u00e0 del paragrafo 2 del presente articolo, l\u2019inosservanza di un ordine da parte dell\u2019autorit\u00e0 di controllo di cui all\u2019articolo 58, paragrafo 2, \u00e8 soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell\u2019esercizio precedente, se superiore.<\/li>
                                                                                                                                            7. Fatti salvi i poteri correttivi delle autorit\u00e0 di controllo a norma dell\u2019articolo 58, paragrafo 2, ogni Stato membro pu\u00f2 prevedere norme che dispongano se e in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorit\u00e0 pubbliche e organismi pubblici istituiti in tale Stato membro.<\/li>
                                                                                                                                            8. L\u2019esercizio da parte dell\u2019autorit\u00e0 di controllo dei poteri attribuitile dal presente articolo \u00e8 soggetto a garanzie procedurali adeguate in conformit\u00e0 del diritto dell\u2019Unione e degli Stati membri, inclusi il ricorso giurisdizionale effettivo e il giusto processo.<\/li>
                                                                                                                                            9. Se l\u2019ordinamento giuridico dello Stato membro non prevede sanzioni amministrative pecuniarie, il presente articolo pu\u00f2 essere applicato in maniera tale che l\u2019azione sanzionatoria sia avviata dall\u2019autorit\u00e0 di controllo competente e la sanzione pecuniaria sia irrogata dalle competenti autorit\u00e0 giurisdizionali nazionali, garantendo nel contempo che i mezzi di ricorso siano effettivi e abbiano effetto equivalente alle sanzioni amministrative pecuniarie irrogate dalle autorit\u00e0 di controllo. In ogni caso, le sanzioni pecuniarie irrogate sono effettive, proporzionate e dissuasive. Tali Stati membri notificano alla Commissione le disposizioni di legge adottate a norma del presente paragrafo al pi\u00f9 tardi entro 25 maggio 2018 e comunicano senza ritardo ogni successiva modifica.<\/li><\/ol>

                                                                                                                                              Articolo 84<\/em><\/p>

                                                                                                                                              Sanzioni<\/span><\/p>

                                                                                                                                              Gli Stati membri stabiliscono le norme relative alle altre sanzioni per le violazioni del presente regolamento in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie a norma dell\u2019articolo 83, e adottano tutti i provvedimenti necessari per assicurarne l\u2019applicazione. Tali sanzioni devono essere effettive, proporzionate e dissuasive.<\/p>

                                                                                                                                              Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 1 al pi\u00f9 tardi entro 25 maggio 2018, e comunica senza ritardo ogni successiva modifica.<\/p>

                                                                                                                                              CAPO IX<\/p>

                                                                                                                                              Disposizioni relative a specifiche situazioni di trattamento<\/span><\/p>

                                                                                                                                              Articolo 85<\/em><\/p>

                                                                                                                                              Trattamento e libert\u00e0 d\u2019espressione e di informazione<\/span><\/p>

                                                                                                                                              1. Il diritto degli Stati membri concilia la protezione dei dati personali ai sensi del presente regolamento con il diritto alla libert\u00e0 d\u2019espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria.<\/li>
                                                                                                                                              2. Ai fini del trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli Stati membri prevedono esenzioni o deroghe rispetto ai capi II (principi), III (diritti dell\u2019interessato), IV (titolare del trattamento e responsabile del trattamento), V (trasferimento di dati personali verso paesi terzi o organizzazioni internazionali), VI (autorit\u00e0 di controllo indipendenti), VII (cooperazione e coerenza) e IX (specifiche situazioni di trattamento dei dati) qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libert\u00e0 d\u2019espressione e di informazione.<\/li>
                                                                                                                                              3. Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 2 e comunica senza ritardo ogni successiva modifica.<\/li><\/ol>

                                                                                                                                                Articolo 86<\/em><\/p>

                                                                                                                                                Trattamento e accesso del pubblico ai documenti ufficiali<\/span><\/p>

                                                                                                                                                I dati personali contenuti in documenti ufficiali in possesso di un\u2019autorit\u00e0 pubblica o di un organismo pubblico o privato per l\u2019esecuzione di un compito svolto nell\u2019interesse pubblico possono essere comunicati da tale autorit\u00e0 o organismo conformemente al diritto dell\u2019Unione o degli Stati membri cui l\u2019autorit\u00e0 pubblica o l\u2019organismo pubblico sono soggetti, al fine di conciliare l\u2019accesso del pubblico ai documenti ufficiali e il diritto alla protezione dei dati personali ai sensi del presente regolamento.<\/p>

                                                                                                                                                Articolo 87<\/em><\/p>

                                                                                                                                                Trattamento del numero di identificazione nazionale<\/span><\/p>

                                                                                                                                                Gli Stati membri possono precisare ulteriormente le condizioni specifiche per il trattamento di un numero di identificazione nazionale o di qualsiasi altro mezzo d\u2019identificazione d\u2019uso generale. In tal caso, il numero di identificazione nazionale o qualsiasi altro mezzo d\u2019identificazione d\u2019uso generale sono utilizzati soltanto in presenza di garanzie adeguate per i diritti e le libert\u00e0 dell\u2019interessato conformemente al presente regolamento.<\/p>

                                                                                                                                                Articolo 88<\/em><\/p>

                                                                                                                                                Trattamento dei dati nell\u2019ambito dei rapporti di lavoro<\/span><\/p>

                                                                                                                                                1. Gli Stati membri possono prevedere, con legge o tramite contratti collettivi, norme pi\u00f9 specifiche per assicurare la protezione dei diritti e delle libert\u00e0 con riguardo al trattamento dei dati personali dei dipendenti nell\u2019ambito dei rapporti di lavoro, in particolare per finalit\u00e0 di assunzione, esecuzione del contratto di lavoro, compreso l\u2019adempimento degli obblighi stabiliti dalla legge o da contratti collettivi, di gestione, pianificazione e organizzazione del lavoro, parit\u00e0 e diversit\u00e0 sul posto di lavoro, salute e sicurezza sul lavoro, protezione della propriet\u00e0 del datore di lavoro o del cliente e ai fini dell\u2019esercizio e del godimento, individuale o collettivo, dei diritti e dei vantaggi connessi al lavoro, nonch\u00e9 per finalit\u00e0 di cessazione del rapporto di lavoro.<\/li>
                                                                                                                                                2. Tali norme includono misure appropriate e specifiche a salvaguardia della dignit\u00e0 umana, degli interessi legittimi e dei diritti fondamentali degli interessati, in particolare per quanto riguarda la trasparenza del trattamento, il trasferimento di dati personali nell\u2019ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un\u2019attivit\u00e0 economica comune e i sistemi di monitoraggio sul posto di lavoro.<\/li>
                                                                                                                                                3. Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 1 entro 25 maggio 2018 e comunica senza ritardo ogni successiva modifica.<\/li><\/ol>

                                                                                                                                                  Articolo 89<\/em><\/p>

                                                                                                                                                  Garanzie e deroghe relative al trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici<\/span><\/p>

                                                                                                                                                  1. Il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici \u00e8 soggetto a garanzie adeguate per i diritti e le libert\u00e0 dell\u2019interessato, in conformit\u00e0 del presente regolamento. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure possono includere la pseudonimizzazione, purch\u00e9 le finalit\u00e0 in questione possano essere conseguite in tal modo. Qualora possano essere conseguite attraverso il trattamento ulteriore che non consenta o non consenta pi\u00f9 di identificare l\u2019interessato, tali finalit\u00e0 devono essere conseguite in tal modo.<\/li>
                                                                                                                                                  2. Se i dati personali sono trattati a fini di ricerca scientifica o storica o a fini statistici, il diritto dell\u2019Unione o degli Stati membri pu\u00f2 prevedere deroghe ai diritti di cui agli articoli 15, 16, 18 e 21, fatte salve le condizioni e le garanzie di cui al paragrafo 1 del presente articolo, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalit\u00e0 specifiche e tali deroghe sono necessarie al conseguimento di dette finalit\u00e0.<\/li>
                                                                                                                                                  3. Se i dati personali sono trattati per finalit\u00e0 di archiviazione nel pubblico interesse, il diritto dell\u2019Unione o degli Stati membri pu\u00f2 prevedere deroghe ai diritti di cui agli articoli 15, 16, 18, 19, 20 e 21, fatte salve le condizioni e le garanzie di cui al paragrafo 1 del presente articolo, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalit\u00e0 specifiche e tali deroghe sono necessarie al conseguimento di dette finalit\u00e0.<\/li>
                                                                                                                                                  4. Qualora il trattamento di cui ai paragrafi 2 e 3 funga allo stesso tempo a un altro scopo, le deroghe si applicano solo al trattamento per le finalit\u00e0 di cui ai medesimi paragrafi.<\/li><\/ol>

                                                                                                                                                    Articolo 90<\/em><\/p>

                                                                                                                                                    Obblighi di segretezza<\/span><\/p>

                                                                                                                                                    1. Gli Stati membri possono adottare norme specifiche per stabilire i poteri delle autorit\u00e0 di controllo di cui all\u2019articolo 58, paragrafo 1, lettere e) e f), in relazione ai titolari del trattamento o ai responsabili del trattamento che sono soggetti, ai sensi del diritto dell\u2019Unione o degli Stati membri o di norme stabilite dagli organismi nazionali competenti, al segreto professionale o a un obbligo di segretezza equivalente, ove siano necessarie e proporzionate per conciliare il diritto alla protezione dei dati personali e l\u2019obbligo di segretezza. Tali norme si applicano solo ai dati personali che il titolare del trattamento o il responsabile del trattamento ha ricevuto o ha ottenuto in seguito a un\u2019attivit\u00e0 protetta da tale segreto professionale.<\/li>
                                                                                                                                                    2. Ogni Stato membro notifica alla Commissione le norme adottate ai sensi del paragrafo 1 al pi\u00f9 tardi entro 25 maggio 2018 e comunica senza ritardo ogni successiva modifica.<\/li><\/ol>

                                                                                                                                                      Articolo 91<\/em><\/p>

                                                                                                                                                      Norme di protezione dei dati vigenti presso chiese e associazioni religiose<\/span><\/p>

                                                                                                                                                      Qualora in uno Stato membro chiese e associazioni o comunit\u00e0 religiose applichino, al momento dell\u2019entrata in vigore del presente regolamento, corpus completi di norme a tutela delle persone fisiche con riguardo al trattamento, tali corpus possono continuare ad applicarsi purch\u00e9 siano resi conformi al presente regolamento.<\/p>

                                                                                                                                                      Le chiese e le associazioni religiose che applicano i corpus completi di norme di cui al paragrafo 1 del presente articolo sono soggette al controllo di un\u2019autorit\u00e0 di controllo indipendente che pu\u00f2 essere specifica, purch\u00e9 soddisfi le condizioni di cui al capo VI del presente regolamento.<\/p>

                                                                                                                                                      CAPO X<\/p>

                                                                                                                                                      Atti delegati e atti di esecuzione<\/span><\/p>

                                                                                                                                                      Articolo 92<\/em><\/p>

                                                                                                                                                      Esercizio della delega<\/span><\/p>

                                                                                                                                                      1. Il potere di adottare atti delegati \u00e8 conferito alla Commissione alle condizioni stabilite nel presente articolo.<\/li>
                                                                                                                                                      2. La delega di potere di cui all\u2019articolo 12, paragrafo 8, e all\u2019articolo 43, paragrafo 8, \u00e8 conferita alla Commissione per un periodo indeterminato a decorrere 24 maggio 2016.<\/li>
                                                                                                                                                      3. La delega di potere di cui all\u2019articolo 12, paragrafo 8, e all\u2019articolo 43, paragrafo 8, pu\u00f2 essere revocata in qualsiasi momento dal Parlamento europeo o dal Consiglio. La decisione di revoca pone fine alla delega di potere ivi specificata. Gli effetti della decisione decorrono dal giorno successivo alla pubblicazione della decisione nella Gazzetta ufficiale dell\u2019Unione europea o da una data successiva ivi specificata. Essa non pregiudica la validit\u00e0 degli atti delegati gi\u00e0 in vigore.<\/li>
                                                                                                                                                      4. Non appena adotta un atto delegato, la Commissione ne d\u00e0 contestualmente notifica al Parlamento europeo e al Consiglio.<\/li>
                                                                                                                                                      5. L\u2019atto delegato adottato ai sensi dell\u2019articolo 12, paragrafo 8, e all\u2019articolo 43, paragrafo 8, entra in vigore solo se n\u00e9 il Parlamento europeo n\u00e9 il Consiglio hanno sollevato obiezioni entro il termine di tre mesi dalla data in cui esso \u00e8 stato loro notificato o se, prima della scadenza di tale termine, sia il Parlamento europeo che il Consiglio hanno informato la Commissione che non intendono sollevare obiezioni. Tale termine \u00e8 prorogato di tre mesi su iniziativa del Parlamento europeo o del Consiglio.<\/li><\/ol>

                                                                                                                                                        Articolo 93<\/em><\/p>

                                                                                                                                                        Procedura di comitato<\/span><\/p>

                                                                                                                                                        La Commissione \u00e8 assistita da un comitato. Esso \u00e8 un comitato ai sensi del regolamento (UE) n. 182\/2011. 2.Nei casi in cui \u00e8 fatto riferimento al presente paragrafo, si applica l\u2019articolo 5 del regolamento (UE) n. 182\/2011. 3.Nei casi in cui \u00e8 fatto riferimento al presente paragrafo, si applica l\u2019articolo 8 del regolamento (UE) n. 182\/2011 in combinato disposto con il suo articolo 5.<\/p>

                                                                                                                                                        CAPO XI<\/p>

                                                                                                                                                        Disposizioni finali<\/span><\/p>

                                                                                                                                                        Articolo 94<\/em><\/p>

                                                                                                                                                        Abrogazione della direttiva 95\/46\/CE<\/span><\/p>

                                                                                                                                                        Articolo 95<\/em><\/p>

                                                                                                                                                        Rapporto con la direttiva 2002\/58\/CE<\/span><\/p>

                                                                                                                                                        Il presente regolamento non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell\u2019Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva 2002\/58\/CE.<\/p>

                                                                                                                                                        Articolo 96<\/em><\/p>

                                                                                                                                                        Rapporto con accordi precedentemente conclusi<\/span><\/p>

                                                                                                                                                        Restano in vigore, fino alla loro modifica, sostituzione o revoca, gli accordi internazionali che comportano il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali conclusi dagli Stati membri prima di 24 maggio 2016 e conformi al diritto dell\u2019Unione applicabile prima di tale data.<\/p>

                                                                                                                                                        Articolo 97<\/em><\/p>

                                                                                                                                                        Relazioni della Commissione<\/span><\/p>

                                                                                                                                                        1. Entro 25 maggio 2020 e, successivamente, ogni quattro anni, la Commissione trasmette al Parlamento europeo e al Consiglio relazioni di valutazione e sul riesame del presente regolamento.<\/li>
                                                                                                                                                        2. Nel contesto delle valutazioni e del riesame del presente regolamento di cui al paragrafo 1, la Commissione esamina, in particolare, l\u2019applicazione e il funzionamento: a) del capo V sul trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, con particolare riguardo alle decisioni adottate ai sensi dell\u2019articolo 45, paragrafo 3, del presente regolamento, e alle decisioni adottate sulla base dell\u2019articolo 25, paragrafo 6, della direttiva 95\/46\/CE; b) del capo VII su cooperazione e coerenza.<\/li>
                                                                                                                                                        3. Ai fini del paragrafo 1, la Commissione pu\u00f2 richiedere informazioni agli Stati membri e alle autorit\u00e0 di controllo.<\/li>
                                                                                                                                                        4. Nello svolgere le valutazioni e i riesami di cui ai paragrafi 1 e 2, la Commissione tiene conto delle posizioni e delle conclusioni del Parlamento europeo, del Consiglio, nonch\u00e9 di altri organismi o fonti pertinenti.<\/li>
                                                                                                                                                        5. Se del caso, la Commissione presenta opportune proposte di modifica del presente regolamento tenuto conto, in particolare, degli sviluppi delle tecnologie dell\u2019informazione e dei progressi della societ\u00e0 dell\u2019informazione.<\/li><\/ol>

                                                                                                                                                          Articolo 98<\/em><\/p>

                                                                                                                                                          Riesame di altri atti legislativi dell\u2019Unione in materia di protezione dei dati<\/span><\/p>

                                                                                                                                                          Se del caso, la Commissione presenta proposte legislative di modifica di altri atti legislativi dell\u2019Unione in materia di protezione dei dati personali, allo scopo di garantire una protezione uniforme e coerente delle persone fisiche con riguardo al trattamento. Ci\u00f2 riguarda in particolare le norme relative alla protezione delle persone fisiche con riguardo al trattamento da parte di istituzioni, organi, uffici e agenzie dell\u2019Unione e le norme sulla libera circolazione di tali dati.<\/p>

                                                                                                                                                          Articolo 99<\/em><\/p>

                                                                                                                                                          Entrata in vigore e applicazione<\/span><\/p>

                                                                                                                                                          1. Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell\u2019Unione europea.<\/li>
                                                                                                                                                          2. Esso si applica a decorrere da 25 maggio 2018.<\/li>
                                                                                                                                                          3. Il presente regolamento \u00e8 obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.<\/li><\/ol>

                                                                                                                                                            Fatto a Bruxelles, il 27 aprile 2016<\/p>

                                                                                                                                                            Per il Parlamento europeo
                                                                                                                                                            Il presidente M. SCHULZ<\/p>

                                                                                                                                                            Per il Consiglio<\/p>

                                                                                                                                                            Il presidente J.A. HENNIS-PLASSCHAERT<\/p>

                                                                                                                                                            (1)GU C 229 del 31.7.2012, pag. 90.<\/p>

                                                                                                                                                            (2)GU C 391 del 18.12.2012, pag. 127.<\/p>

                                                                                                                                                            (3)Posizione del Parlamento europeo del 12 marzo 2014 (non ancora pubblicata nella Gazzetta ufficiale) e posizione del Consiglio in prima lettura dell\u20198 aprile 2016 (non ancora pubblicata nella Gazzetta ufficiale). Posizione del Parlamento europeo del 14 aprile 2016.<\/p>

                                                                                                                                                            (4) Direttiva 95\/46\/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonch\u00e9 alla libera circolazione di tali dati (GU L 281 del 23.11.1995, pag. 31).<\/p>

                                                                                                                                                            (5)Raccomandazione della Commissione, del 6 maggio 2003, relativa alla definizione delle microimprese, piccole e medie imprese (C(2003) 1422) (GU L 124 del 20.5.2003, pag. 36).<\/p>

                                                                                                                                                            (6)Regolamento (CE) n. 45\/2001 del Parlamento europeo e del Consiglio, del 18 dicembre 2000, concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonch\u00e9 la libera circolazione di tali dati (GU L 8 del 12.1.2001, pag. 1).<\/p>

                                                                                                                                                            (7)Direttiva (UE) 2016\/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorit\u00e0 competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, e la libera circolazione di tali dati e che abroga la decisione quadro 2008\/977\/GAI del Consiglio (Cfr. pagina 89 della presente Gazzetta ufficiale).<\/p>

                                                                                                                                                            (8)Direttiva 2000\/31\/CE del Parlamento europeo e del Consiglio, dell\u20198 giugno 2000, relativa a taluni aspetti giuridici dei servizi della societ\u00e0 dell\u2019informazione, in particolare il commercio elettronico, nel mercato interno (\u00abDirettiva sul commercio elettronico\u00bb) (GU L 178 del 17.7.2000, pag. 1).<\/p>

                                                                                                                                                            (9)Direttiva 2011\/24\/UE del Parlamento europeo e del Consiglio, del 9 marzo 2011, concernente l\u2019applicazione dei diritti dei pazienti relativi all\u2019assistenza sanitaria transfrontaliera (GU L 88 del 4.4.2011, pag. 45).<\/p>

                                                                                                                                                            (10)Direttiva 93\/13\/CEE del Consiglio, del 5 aprile 1993, concernente le clausole abusive nei contratti stipulati con i consumatori (GU L 95 del 21.4.1993, pag. 29).<\/p>

                                                                                                                                                            (11)Regolamento (CE) n. 1338\/2008 del Parlamento europeo e del Consiglio, del 16 dicembre 2008, relativo alle statistiche comunitarie in materia di sanit\u00e0 pubblica e di salute e sicurezza sul luogo di lavoro (GU L 354 del 31.12.2008, pag. 70).<\/p>

                                                                                                                                                            (12)Regolamento (UE) n. 182\/2011 del Parlamento europeo e del Consiglio, del 16 febbraio 2011, che stabilisce le regole e i principi generali relativi alle modalit\u00e0 di controllo da parte degli Stati membri dell\u2019esercizio delle competenze di esecuzione attribuite alla Commissione (GU L 55 del 28.2.2011, pag. 13).<\/p>

                                                                                                                                                            (13)Regolamento (UE) n. 1215\/2012 del Parlamento europeo e del Consiglio, del 12 dicembre 2012, concernente la competenza giurisdizionale, il riconoscimento e l\u2019esecuzione delle decisioni in materia civile e commerciale (GU L 351 del 20.12.2012, pag. 1).<\/p>

                                                                                                                                                            (14)Direttiva 2003\/98\/CE del Parlamento europeo e del Consiglio, del 17 novembre 2003, relativa al riutilizzo dell\u2019informazione del settore pubblico (GU L 345 del 31.12.2003, pag. 90).<\/p>

                                                                                                                                                            (15)Regolamento (UE) n. 536\/2014 del Parlamento europeo e del Consiglio, del 16 aprile 2014, sulla sperimentazione clinica di medicinali per uso umano e che abroga la direttiva 2001\/20\/CE (GU L 158 del 27.5.2014, pag. 1).<\/p>

                                                                                                                                                            16)Regolamento (CE) n. 223\/2009 del Parlamento europeo e del Consiglio, dell\u201911 marzo 2009, relativo alle statistiche europee e che abroga il regolamento (CE, Euratom) n. 1101\/2008 del Parlamento europeo e del Consiglio, relativo alla trasmissione all\u2019Istituto statistico delle Comunit\u00e0 europee di dati statistici protetti dal segreto, il regolamento (CE) n. 322\/97 del Consiglio, relativo alle statistiche comunitarie, e la decisione 89\/382\/CEE, Euratom del Consiglio, che istituisce un comitato del programma statistico delle Comunit\u00e0 europee (GU L 87 del 31.3.2009, pag. 164).<\/p>

                                                                                                                                                            (17)GU C 192 del 30.6.2012, pag. 7.<\/p>

                                                                                                                                                            (18)Direttiva 2002\/58\/CE del Parlamento europeo e del Consiglio, del 12 luglio 2002, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva relativa alla vita privata e alle comunicazioni elettroniche) (GU L 201 del 31.7.2002, pag. 37).<\/p>

                                                                                                                                                            (19)Direttiva (UE) 2015\/1535 del Parlamento europeo e del Consiglio, del 9 settembre 2015, che prevede una procedura d\u2019informazione nel settore delle regolamentazioni tecniche delle regole relative ai servizi della societ\u00e0 dell\u2019informazione (GU L 241 del 17.9.2015, pag. 1).<\/p>

                                                                                                                                                            (20)Regolamento (CE) n. 765\/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che pone norme in materia di accreditamento e vigilanza del mercato per quanto riguarda la commercializzazione dei prodotti e che abroga il regolamento (CEE) n. 339\/93 (GU L 218 del 13.8.2008, pag. 30).<\/p>

                                                                                                                                                            (21)Regolamento (CE) n. 1049\/2001 del Parlamento europeo e del Consiglio, del 30 maggio 2001, relativo all\u2019accesso del pubblico ai documenti del Parlamento europeo, del Consiglio e della Commissione (GU L 145 del 31.5.2001, pag. 43).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

                                                                                                                                                            Privacy Policy La presente Privacy Policy ha lo scopo di descrivere le modalit\u00e0 di gestione di questo sito, in riferimento al trattamento dei dati personali degli utenti\/visitatori che lo consultano. Si tratta di un\u2019informativa che \u00e8 resa anche ai sensi dell\u2019art. 13 del D. Lgs. 196\/03 \u2013 Codice in materia di protezione dei dati personali […]<\/p>\n","protected":false},"author":2,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"footnotes":""},"class_list":["post-63066","page","type-page","status-publish","hentry"],"yoast_head":"\n- Linkjuice<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.linkjuice.it\/fr\/63066-2\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"- Linkjuice\" \/>\n<meta property=\"og:description\" content=\"Privacy Policy La presente Privacy Policy ha lo scopo di descrivere le modalit\u00e0 di gestione di questo sito, in riferimento al trattamento dei dati personali degli utenti\/visitatori che lo consultano. Si tratta di un\u2019informativa che \u00e8 resa anche ai sensi dell\u2019art. 13 del D. Lgs. 196\/03 \u2013 Codice in materia di protezione dei dati personali […]\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.linkjuice.it\/fr\/63066-2\/\" \/>\n<meta property=\"og:site_name\" content=\"Linkjuice\" \/>\n<meta property=\"article:modified_time\" content=\"2025-07-18T08:54:20+00:00\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data1\" content=\"280 minutes\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.linkjuice.it\/fr\/63066-2\/\",\"url\":\"https:\/\/www.linkjuice.it\/fr\/63066-2\/\",\"name\":\"- Linkjuice\",\"isPartOf\":{\"@id\":\"https:\/\/www.linkjuice.it\/fr\/#website\"},\"datePublished\":\"2025-03-31T14:47:25+00:00\",\"dateModified\":\"2025-07-18T08:54:20+00:00\",\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.linkjuice.it\/fr\/63066-2\/\"]}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.linkjuice.it\/fr\/#website\",\"url\":\"https:\/\/www.linkjuice.it\/fr\/\",\"name\":\"Linkjuice\",\"description\":\"\",\"publisher\":{\"@id\":\"https:\/\/www.linkjuice.it\/fr\/#organization\"},\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.linkjuice.it\/fr\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"},{\"@type\":\"Organization\",\"@id\":\"https:\/\/www.linkjuice.it\/fr\/#organization\",\"name\":\"Linkjuice\",\"url\":\"https:\/\/www.linkjuice.it\/fr\/\",\"logo\":{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\/\/www.linkjuice.it\/fr\/#\/schema\/logo\/image\/\",\"url\":\"https:\/\/www.linkjuice.it\/wp-content\/uploads\/2025\/02\/favicon-lj.png\",\"contentUrl\":\"https:\/\/www.linkjuice.it\/wp-content\/uploads\/2025\/02\/favicon-lj.png\",\"width\":200,\"height\":201,\"caption\":\"Linkjuice\"},\"image\":{\"@id\":\"https:\/\/www.linkjuice.it\/fr\/#\/schema\/logo\/image\/\"}}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"- Linkjuice","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.linkjuice.it\/fr\/63066-2\/","og_locale":"fr_FR","og_type":"article","og_title":"- Linkjuice","og_description":"Privacy Policy La presente Privacy Policy ha lo scopo di descrivere le modalit\u00e0 di gestione di questo sito, in riferimento al trattamento dei dati personali degli utenti\/visitatori che lo consultano. Si tratta di un\u2019informativa che \u00e8 resa anche ai sensi dell\u2019art. 13 del D. Lgs. 196\/03 \u2013 Codice in materia di protezione dei dati personali […]","og_url":"https:\/\/www.linkjuice.it\/fr\/63066-2\/","og_site_name":"Linkjuice","article_modified_time":"2025-07-18T08:54:20+00:00","twitter_card":"summary_large_image","twitter_misc":{"Dur\u00e9e de lecture estim\u00e9e":"280 minutes"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.linkjuice.it\/fr\/63066-2\/","url":"https:\/\/www.linkjuice.it\/fr\/63066-2\/","name":"- Linkjuice","isPartOf":{"@id":"https:\/\/www.linkjuice.it\/fr\/#website"},"datePublished":"2025-03-31T14:47:25+00:00","dateModified":"2025-07-18T08:54:20+00:00","inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.linkjuice.it\/fr\/63066-2\/"]}]},{"@type":"WebSite","@id":"https:\/\/www.linkjuice.it\/fr\/#website","url":"https:\/\/www.linkjuice.it\/fr\/","name":"Linkjuice","description":"","publisher":{"@id":"https:\/\/www.linkjuice.it\/fr\/#organization"},"potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.linkjuice.it\/fr\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"},{"@type":"Organization","@id":"https:\/\/www.linkjuice.it\/fr\/#organization","name":"Linkjuice","url":"https:\/\/www.linkjuice.it\/fr\/","logo":{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/www.linkjuice.it\/fr\/#\/schema\/logo\/image\/","url":"https:\/\/www.linkjuice.it\/wp-content\/uploads\/2025\/02\/favicon-lj.png","contentUrl":"https:\/\/www.linkjuice.it\/wp-content\/uploads\/2025\/02\/favicon-lj.png","width":200,"height":201,"caption":"Linkjuice"},"image":{"@id":"https:\/\/www.linkjuice.it\/fr\/#\/schema\/logo\/image\/"}}]}},"_links":{"self":[{"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/pages\/63066","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/comments?post=63066"}],"version-history":[{"count":1,"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/pages\/63066\/revisions"}],"predecessor-version":[{"id":63067,"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/pages\/63066\/revisions\/63067"}],"wp:attachment":[{"href":"https:\/\/www.linkjuice.it\/fr\/wp-json\/wp\/v2\/media?parent=63066"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}