1.   Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati. 2.   Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali. 3.   La libera circolazione dei dati personali nell'Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali. Considerando appropriati Considerando 1 - La Protezione Dei Dati Come Diritto FondamentaleConsiderando 2 - Rispetto Dei Diritti E Delle Libertà FondamentaliConsiderando 3 - Direttiva 95/46/Ce ArmonizzazioneConsiderando 4 - Protezione Dei Dati In Equilibrio Con Altri Diritti FondamentaliConsiderando 5 - Cooperazione Tra Gli Stati Membri Per Lo Scambio Di Dati PersonaliConsiderando 6 - Garantire Un Alto Livello Di Protezione Dei Dati Nonostante L'Aumento Dello Scambio Di DatiConsiderando 7 - Il Quadro Si Basa Sul Controllo E La CertezzaConsiderando 8 - Recepimento Nel Diritto NazionaleConsiderando 9 - Differenti Standard Di Protezione Secondo La Direttiva 95/46/CeConsiderando 10 - Livello Armonizzato Di Protezione Dei Dati Nonostante L'Ambito NazionaleConsiderando 11 - Armonizzazione Dei Poteri E Delle SanzioniConsiderando 12 - Autorizzazione Del Parlamento Europeo E Del Consiglio Domande frequenti sull'articolo 1 +Qual è l'oggetto dell'articolo 1 del GDPR? L'articolo 1 stabilisce l'oggetto e le finalità del GDPR. Fissa regole per proteggere le persone fisiche nel trattamento dei loro dati personali e tutela la libera circolazione di tali dati all'interno dell'UE. +Il GDPR protegge i dati o le persone? Il GDPR protegge le persone fisiche nel trattamento dei loro dati personali e considera la protezione dei dati un diritto fondamentale. Non protegge i dati in sé, ma le persone cui i dati si riferiscono. +La libera circolazione dei dati può essere limitata secondo il GDPR? No. L'articolo 1 dispone che la libera circolazione dei dati personali all'interno dell'UE non può essere limitata né vietata per motivi connessi alla protezione delle persone nel trattamento. Questioni chiave correlate GDPR – Dati Personali GDPR – Trattamento GDPR – Privacy by Design

1.   Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi. 2.   Il presente regolamento non si applica ai trattamenti di dati personali: a) effettuati per attività che non rientrano nell'ambito di applicazione del diritto dell'Unione; b) effettuati dagli Stati membri nell'esercizio di attività che rientrano nell'ambito di applicazione del titolo V, capo 2, TUE; c) effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico; d) effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse. 3.   Per il trattamento dei dati personali da parte di istituzioni, organi, uffici e agenzie dell'Unione, si applica il regolamento (CE) n. 45/2001. Il regolamento (CE) n. 45/2001 e gli altri atti giuridici dell'Unione applicabili a tale trattamento di dati personali devono essere adeguati ai principi e alle norme del presente regolamento conformemente all'articolo 98. 4.   Il presente regolamento non pregiudica pertanto l'applicazione della direttiva 2000/31/CE, in particolare le norme relative alla responsabilità dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva. Considerando appropriati Considerando 13 - Tenere Conto Delle Micro, Piccole E Medie ImpreseConsiderando 14 - Non Applicabile Alle Persone GiuridicheConsiderando 15 - Neutralità TecnologicaConsiderando 16 - Non Applicabile Alle Attività Riguardanti La Sicurezza Nazionale E ComuneConsiderando 17 - Adattamento Del Regolamento (Ce) N. 45/2001Considerando 18 - Non Applicabile Alle Attività Personali O DomesticheConsiderando 19 - Non Applicabile Al Procedimento PenaleConsiderando 20 - Rispettare L'Indipendenza Della MagistraturaConsiderando 21 - Le Norme Di Responsabilità Dei Prestatori Di Servizi Intermediari Rimarranno InalterateConsiderando 27 - Non Applicabile Ai Dati Delle Persone Decedute Domande frequenti sull'articolo 2 +Cosa copre l'articolo 2 del GDPR? L'articolo 2 definisce l'ambito materiale del GDPR. Si applica al trattamento di dati personali interamente o parzialmente automatizzato e al trattamento non automatizzato di dati contenuti in un archivio. +Quali trattamenti sono esclusi dal GDPR? Il GDPR non si applica alle attività a carattere esclusivamente personale o domestico, alla sicurezza nazionale, né al trattamento da parte delle autorità a fini di prevenzione penale coperto dalla direttiva in materia penale. +Il GDPR si applica agli archivi cartacei? Sì, ma solo quando gli archivi cartacei fanno parte di un sistema strutturato. Note manoscritte non strutturate che non fanno parte di un archivio restano fuori dall'ambito materiale. Questioni chiave correlate GDPR Dati Personali GDPR Paesi terzi

1.   Il presente regolamento si applica al trattamento dei dati personali effettuato nell'ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell'Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione. 2.   Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell'Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell'Unione, quando le attività di trattamento riguardano: a) l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatorietà di un pagamento dell'interessato; oppure b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione. 3.   Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell'Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico. Considerando appropriati Considerando 22 - Trattamento Da Parte Di Un'Unità OrganizzativaConsiderando 23 - Applicabile Ai Titolari/Responsabili Del Trattamento Non Stabiliti Nell'Unione Se Sono Presi Di Mira Interessati All'Interno Dell'UnioneConsiderando 24 - Applicabile Ai Titolari/Responsabili Del Trattamento Non Stabiliti Nell'Unione Se I Soggetti Interessati All'Interno Dell'Unione Vengono ProfilatiConsiderando 25 - Applicabile Ai Titolari Ai Sensi Del Diritto Internazionale Domande frequenti sull'articolo 3 +A chi si applica il GDPR? Il GDPR si applica alle organizzazioni stabilite nell'UE che trattano dati personali e alle organizzazioni fuori dall'UE che offrono beni o servizi a persone nell'UE o ne monitorano il comportamento. +Il GDPR si applica alle aziende fuori dall'UE? Sì. Secondo l'articolo 3, un'azienda fuori dall'UE è soggetta se offre beni o servizi a persone nell'UE o ne monitora il comportamento, indipendentemente da dove abbia sede. +Cos'è la portata extraterritoriale del GDPR? SLa portata extraterritoriale significa che il GDPR può applicarsi oltre i confini dell'UE. Se un'azienda fuori dall'UE tratta dati di persone nell'UE in relazione a un'offerta di beni o servizi o al monitoraggio del comportamento, deve rispettarlo. Questioni chiave correlate GDPR Trattamento GDPR Responsabile della protezione dei dati

Ai fini del presente regolamento s'intende per: 1) «dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale; 2) «trattamento»: qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione; 3) «limitazione di trattamento»: il contrassegno dei dati personali conservati con l'obiettivo di limitarne il trattamento in futuro; 4) «profilazione»: qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica; 5) «pseudonimizzazione»: il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile; 6) «archivio»: qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico; 7) «titolare del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri; 8) «responsabile del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento; 9) «destinatario»: la persona fisica o giuridica, l'autorità pubblica, il servizio o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. Tuttavia, le autorità pubbliche che possono ricevere comunicazione di dati personali nell'ambito di una specifica indagine conformemente al diritto dell'Unione o degli Stati membri non sono considerate destinatari; il trattamento di tali dati da parte di dette autorità pubbliche è conforme alle norme applicabili in materia di protezione dei dati secondo le finalità del trattamento; 10) «terzo»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che non sia l'interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile; 11) «consenso dell'interessato»: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento; 12) «violazione dei dati personali»: la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati; 13) «dati genetici»: i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall'analisi di un campione biologico della persona fisica in questione; 14) «dati biometrici»: i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l'identificazione univoca, quali l'immagine facciale o i dati dattiloscopici; 15) «dati relativi alla salute»: i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute; 16) «stabilimento principale»: a) per quanto riguarda un titolare del trattamento con stabilimenti in più di uno Stato membro, il luogo della sua amministrazione centrale nell'Unione, salvo che le decisioni sulle finalità e i mezzi del trattamento di dati personali siano adottate in un altro stabilimento del titolare del trattamento nell'Unione e che quest'ultimo stabilimento abbia facoltà di ordinare l'esecuzione di tali decisioni, nel qual caso lo stabilimento che ha adottato siffatte decisioni è considerato essere lo stabilimento principale; b) con riferimento a un responsabile del trattamento con stabilimenti in più di uno Stato membro, il luogo in cui ha sede la sua amministrazione centrale nell'Unione o, se il responsabile del trattamento non ha un'amministrazione centrale nell'Unione, lo stabilimento del responsabile del trattamento nell'Unione in cui sono condotte le principali attività di trattamento nel contesto delle attività di uno stabilimento del responsabile del trattamento nella misura in cui tale responsabile è soggetto a obblighi specifici ai sensi del presente regolamento; 17) «rappresentante»: la persona fisica o giuridica stabilita nell'Unione che, designata dal titolare del trattamento o dal responsabile del trattamento per iscritto ai sensi dell'articolo 27, li rappresenta per quanto riguarda gli obblighi rispettivi a norma del presente regolamento; 18) «impresa»: la persona fisica o giuridica, indipendentemente dalla forma giuridica rivestita, che eserciti un'attività economica, comprendente le società di persone o le associazioni che esercitano regolarmente un'attività economica; 19) «gruppo imprenditoriale»: un gruppo costituito da un'impresa controllante e dalle imprese da questa controllate; 20) «norme vincolanti d'impresa»: le politiche in materia di protezione dei dati personali applicate da un titolare del trattamento o responsabile del trattamento stabilito nel territorio di uno Stato membro al trasferimento o al complesso di trasferimenti di dati personali a un titolare del trattamento o responsabile del trattamento in uno o più paesi terzi, nell'ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un'attività economica comune; 21) «autorità di controllo»: l'autorità pubblica indipendente istituita da uno Stato membro ai sensi dell'articolo 51; 22) «autorità di controllo interessata»: un'autorità di controllo interessata dal trattamento di dati personali in quanto: a) il titolare del trattamento o il responsabile del trattamento è stabilito sul territorio dello Stato membro di tale autorità di controllo; b) gli interessati che risiedono nello Stato membro dell'autorità di controllo sono o sono probabilmente influenzati in modo sostanziale dal trattamento; oppure c) un reclamo è stato proposto a tale autorità di controllo; 23) «trattamento transfrontaliero»: a) trattamento di dati personali che ha luogo nell'ambito delle attività di stabilimenti in più di uno Stato membro di un titolare del trattamento o responsabile del trattamento nell'Unione ove il titolare del trattamento o il responsabile del trattamento siano stabiliti in più di uno Stato membro; oppure b) trattamento di dati personali che ha luogo nell'ambito delle attività di un unico stabilimento di un titolare del trattamento o responsabile del trattamento nell'Unione, ma che incide o probabilmente incide in modo sostanziale su interessati in più di uno Stato membro; 24) «obiezione pertinente e motivata»: un'obiezione al progetto di decisione sul fatto che vi sia o meno una violazione del presente regolamento, oppure che l'azione prevista in relazione al titolare del trattamento o responsabile del trattamento sia conforme al presente regolamento, la quale obiezione dimostra chiaramente la rilevanza dei rischi posti dal progetto di decisione riguardo ai diritti e alle libertà fondamentali degli interessati e, ove applicabile, alla libera circolazione dei dati personali all'interno dell'Unione; 25) «servizio della società dell'informazione»: il servizio definito all'articolo 1, paragrafo 1, lettera b), della direttiva (UE) 2015/1535 del Parlamento europeo e del Consiglio ; 26) «organizzazione internazionale»: un'organizzazione e gli organismi di diritto internazionale pubblico a essa subordinati o qualsiasi altro organismo istituito da o sulla base di un accordo tra due o più Stati. Considerando appropriati Considerando 15 - Neutralità TecnologicaConsiderando 24 - Applicabile Ai Titolari/Responsabili Del Trattamento Non Stabiliti Nell'Unione Se I Soggetti Interessati All'Interno Dell'Unione Vengono ProfilatiConsiderando 26 - Non Applicabile Ai Dati AnonimiConsiderando 28 - Introduzione Della PseudonimizzazioneConsiderando 29 - Pseudonimizzazione Presso Lo Stesso TitolareConsiderando 30 - Identificatori Online Per Il Profiling E L'IdentificazioneConsiderando 31 - Non Applicabile Alle Autorità Pubbliche In Relazione Ai Loro Compiti UfficialiConsiderando 34 - Dati GeneticiConsiderando 35 - Dati SanitariConsiderando 36 - Determinazione Della Sede PrincipaleConsiderando 37 - Gruppo Di Imprese Domande frequenti sull'articolo 4 +Cosa sono i dati personali secondo l'articolo 4 del GDPR? I dati personali sono qualsiasi informazione relativa a una persona fisica identificata o identificabile. Includono nomi, numeri di identificazione, dati di ubicazione, identificativi online e fattori propri dell'identità. +Qual è la differenza tra titolare e responsabile del trattamento? Il titolare del trattamento determina le finalità e i mezzi del trattamento, mentre il responsabile agisce per conto e su istruzione del titolare. L'articolo 4 fornisce le definizioni giuridiche di entrambe le figure. +Cosa significa trattamento nel GDPR? Il trattamento comprende quasi ogni operazione sui dati personali, come la raccolta, la conservazione, l'uso, la comunicazione, la modifica e la cancellazione, sia automatizzata sia manuale. Questioni chiave correlate GDPR Crittografia GDPR Registri delle Attività di Trattamento

1.   I dati personali sono: a) trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»); b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»); c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»); d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»); e) conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato («limitazione della conservazione»); f) trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»). 2.   Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»). Considerando appropriati Considerando 39 - Principi Del Trattamento Dei DatiConsiderando 74 - Responsabilità E Responsabilità Del Titolare Del Trattamento Domande frequenti sull'articolo 5 +Quali sono i sette principi del GDPR? L'articolo 5 stabilisce sette principi: liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza, e responsabilizzazione. +Cos'è il principio di responsabilizzazione nel GDPR? La responsabilizzazione significa che il titolare è tenuto a rispettare i principi di protezione dei dati e deve poterlo dimostrare. È il fondamento della documentazione e della governance del GDPR. +Cos'è la minimizzazione dei dati secondo l'articolo 5? La minimizzazione esige che i dati raccolti siano adeguati, pertinenti e limitati a quanto necessario alla finalità. Le organizzazioni non dovrebbero raccogliere più dati di quelli effettivamente necessari. Questioni chiave correlate GDPR Diritto di essere informati GDPR Privacy by Design GDPR Crittografia

1.   Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni: a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; b) il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso; c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento; d) il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica; e) il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento; f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore. La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti. 2.   Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l'applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX. 3.   La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita: a) dal diritto dell'Unione; o b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento. La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l'applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell'Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all'obiettivo legittimo perseguito. 4.   Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell'interessato o su un atto legislativo dell'Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all'articolo 23, paragrafo 1, al fine di verificare se il trattamento per un'altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l'altro: a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell'ulteriore trattamento previsto; b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l'interessato e il titolare del trattamento; c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell'articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell'articolo 10; d) delle possibili conseguenze dell'ulteriore trattamento previsto per gli interessati; e) dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione. Considerando appropriati Considerando 39 - Principi Del Trattamento Dei DatiConsiderando 40 - Liceità Del Trattamento Dei DatiConsiderando 41 - Base Giuridica O Misure LegislativeConsiderando 42 - Onere Della Prova E Requisiti Per Il ConsensoConsiderando 43 - Consenso Liberamente PrestatoConsiderando 44 - Esecuzione Di Un ContrattoConsiderando 45 - Adempimento Degli Obblighi LegaliConsiderando 46 - Interessi Vitali Dell'InteressatoConsiderando 47 - Interesse Legittimo PrevalenteConsiderando 48 - Prevalenza Dell'Interesse Legittimo All'Interno Del Gruppo Di ImpreseConsiderando 49 - Sicurezza Della Rete E Dell'Informazione Come Interesse Legittimo PrevalenteConsiderando 50 - Ulteriore Trattamento Dei Dati PersonaliConsiderando 171 - Abrogazione Della Direttiva 95/46/Ce E Disposizioni Transitorie Domande frequenti sull'articolo 6 +Quali sono le sei basi giuridiche del trattamento secondo il GDPR? L'articolo 6 stabilisce sei basi giuridiche: il consenso, l'esecuzione di un contratto, un obbligo legale, gli interessi vitali, un compito di interesse pubblico e il legittimo interesse. Almeno una deve sussistere perché il trattamento sia lecito. +Serve sempre il consenso per trattare dati personali? No. Il consenso è solo una delle sei basi giuridiche. Il trattamento può essere lecito anche se necessario per un contratto, un obbligo legale, interessi vitali, un compito di interesse pubblico o il legittimo interesse. +Cos'è il legittimo interesse secondo il GDPR? Il legittimo interesse è una base giuridica che consente il trattamento quando un'organizzazione ha un interesse reale che non prevale sui diritti e sulle libertà dell'interessato. Va documentato un bilanciamento. Questioni chiave correlate GDPR Consenso GDPR Trattamento

1.   Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali. 2.   Se il consenso dell'interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Nessuna parte di una tale dichiarazione che costituisca una violazione del presente regolamento è vincolante. 3.   L'interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di esprimere il proprio consenso, l'interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato. 4.   Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l'eventualità, tra le altre, che l'esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto. Considerando appropriati Considerando 32 - Condizioni Per Il ConsensoConsiderando 33 - Consenso Per Determinati Ambiti Di Ricerca ScientificaConsiderando 42 - Onere Della Prova E Requisiti Per Il ConsensoConsiderando 43 - Consenso Liberamente Prestato Domande frequenti sull'articolo 7 +Quali sono le condizioni di un consenso valido secondo il GDPR? Secondo l'articolo 7, il consenso deve essere libero, specifico, informato e inequivocabile. Il titolare deve poter dimostrare il consenso e la richiesta deve essere chiaramente distinguibile dalle altre questioni. +Il consenso può essere revocato secondo il GDPR? Sì. Le persone possono revocare il consenso in qualsiasi momento e revocarlo deve essere facile quanto prestarlo. La revoca non pregiudica la liceità del trattamento precedente. +Il GDPR richiede la prova del consenso? Sì. Il titolare deve poter dimostrare che è stato ottenuto un consenso valido, il che implica conservare traccia di quando e come ogni persona ha prestato il consenso. Questioni chiave correlate GDPR Email marketing GDPR Diritto di essere informati

1.   Qualora si applichi l'articolo 6, paragrafo 1, lettera a), per quanto riguarda l'offerta diretta di servizi della società dell'informazione ai minori, il trattamento di dati personali del minore è lecito ove il minore abbia almeno 16 anni. Ove il minore abbia un'età inferiore ai 16 anni, tale trattamento è lecito soltanto se e nella misura in cui tale consenso è prestato o autorizzato dal titolare della responsabilità genitoriale. Gli Stati membri possono stabilire per legge un'età inferiore a tali fini purché non inferiore ai 13 anni. 2.   Il titolare del trattamento si adopera in ogni modo ragionevole per verificare in tali casi che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, in considerazione delle tecnologie disponibili. 3.   Il paragrafo 1 non pregiudica le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l'efficacia di un contratto rispetto a un minore. Considerando appropriati Considerando 38 - Protezione Speciale Dei Dati Personali Dei Minori Domande frequenti sull'articolo 8 +A che età un minore può prestare il consenso al trattamento secondo il GDPR? Secondo l'articolo 8, i minori possono prestare il consenso ai servizi online dai 16 anni, ma gli Stati membri possono abbassare tale età non sotto i 13. Al di sotto, è richiesto il consenso dei genitori. +I servizi online necessitano del consenso dei genitori per i minori? Sì. Quando un servizio online è offerto direttamente a un minore al di sotto dell'età applicabile, il titolare deve ottenere il consenso di chi esercita la responsabilità genitoriale e adoperarsi ragionevolmente per verificarlo. +L'articolo 8 si applica a ogni trattamento di dati dei minori? No. L'articolo 8 riguarda specificamente i servizi online basati sul consenso offerti direttamente ai minori. Al di fuori di questo caso continuano ad applicarsi altre basi giuridiche e tutele. Questioni chiave correlate GDPR Diritto di essere informati GDPR Privacy by Design

1.   È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona. 2.   Il paragrafo 1 non si applica se si verifica uno dei seguenti casi: a) l'interessato ha prestato il proprio consenso esplicito al trattamento di tali dati personali per una o più finalità specifiche, salvo nei casi in cui il diritto dell'Unione o degli Stati membri dispone che l'interessato non possa revocare il divieto di cui al paragrafo 1; b) il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell'interessato; c) il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso; d) il trattamento è effettuato, nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali, a condizione che il trattamento riguardi unicamente i membri, gli ex membri o le persone che hanno regolari contatti con la fondazione, l'associazione o l'organismo a motivo delle sue finalità e che i dati personali non siano comunicati all'esterno senza il consenso dell'interessato; e) il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato; f) il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria o ogniqualvolta le autorità giurisdizionali esercitino le loro funzioni giurisdizionali; g) il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita, rispettare l'essenza del diritto alla protezione dei dati e prevedere misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato; h) il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali sulla base del diritto dell'Unione o degli Stati membri o conformemente al contratto con un professionista della sanità, fatte salve le condizioni e le garanzie di cui al paragrafo 3; i) il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell'assistenza sanitaria e dei medicinali e dei dispositivi medici, sulla base del diritto dell'Unione o degli Stati membri che prevede misure appropriate e specifiche per tutelare i diritti e le libertà dell'interessato, in particolare il segreto professionale; j) il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici in conformità dell'articolo 89, paragrafo 1, sulla base del diritto dell'Unione o nazionale, che è proporzionato alla finalità perseguita, rispetta l'essenza del diritto alla protezione dei dati e prevede misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell'interessato. 3.   I dati personali di cui al paragrafo 1 possono essere trattati per le finalità di cui al paragrafo 2, lettera h), se tali dati sono trattati da o sotto la responsabilità di un professionista soggetto al segreto professionale conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti o da altra persona anch'essa soggetta all'obbligo di segretezza conformemente al diritto dell'Unione o degli Stati membri o alle norme stabilite dagli organismi nazionali competenti. 4.   Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute. Considerando appropriati Considerando 46 - Interessi Vitali Dell'InteressatoConsiderando 51 - Protezione Dei Dati Personali SensibiliConsiderando 52 - Eccezioni Al Divieto Di Trattamento Di Categorie Particolari Di Dati PersonaliConsiderando 53 - Trattamento Dei Dati Sensibili Nel Settore Sanitario E SocialeConsiderando 54 - Trattamento Dei Dati Sensibili Nel Settore Della Salute PubblicaConsiderando 55 - Interesse Pubblico Nel Trattamento Da Parte Di Autorità Ufficiali Per Gli Obiettivi Delle Comunità Religiose RiconosciuteConsiderando 56 - Trattamento Dei Dati Personali Sulle Opinioni Politiche Delle Persone Da Parte Dei Partiti Domande frequenti sull'articolo 9 +Cosa sono le categorie particolari di dati personali secondo il GDPR? Comprendono i dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici e biometrici, dati relativi alla salute e dati sulla vita o l'orientamento sessuale. +È illecito trattare dati sensibili secondo il GDPR? Il trattamento delle categorie particolari è in linea di principio vietato, ma l'articolo 9 prevede eccezioni come il consenso esplicito, obblighi in materia di lavoro, interessi vitali e motivi di interesse pubblico rilevante. +Quali condizioni consentono di trattare i dati sulla salute? I dati sulla salute possono essere trattati con consenso esplicito, per assistenza o diagnosi mediche, per interesse di sanità pubblica o altre condizioni dell'articolo 9, di norma insieme a una base giuridica dell'articolo 6. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Crittografia

Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza sulla base dell'articolo 6, paragrafo 1, deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell'autorità pubblica. Considerando appropriati Considerando 50 - Ulteriore Trattamento Dei Dati Personali Domande frequenti sull'articolo 10 +Le aziende possono trattare dati su condanne penali secondo il GDPR? L'articolo 10 limita il trattamento dei dati relativi a condanne e reati. È consentito solo sotto il controllo di un'autorità pubblica o se autorizzato dal diritto dell'UE o di uno Stato membro con garanzie adeguate. +I dati penali sono una categoria particolare secondo il GDPR? I dati sulle condanne non sono tecnicamente una categoria particolare dell'articolo 9, ma ricevono una protezione rafforzata simile ai sensi dell'articolo 10 e richiedono un'autorizzazione giuridica specifica. +I datori di lavoro possono consultare i precedenti penali secondo il GDPR? Solo se il diritto nazionale lo autorizza e sussistono garanzie adeguate. I datori di lavoro non possono trattare liberamente i dati penali e necessitano di una base consentita dall'articolo 10. Questioni chiave correlate GDPR Valutazione d’Impatto sulla Privacy GDPR Registri delle Attività di Trattamento

1.   Se le finalità per cui un titolare del trattamento tratta i dati personali non richiedono o non richiedono più l'identificazione dell'interessato, il titolare del trattamento non è obbligato a conservare, acquisire o trattare ulteriori informazioni per identificare l'interessato al solo fine di rispettare il presente regolamento. 2.   Qualora, nei casi di cui al paragrafo 1 del presente articolo, il titolare del trattamento possa dimostrare di non essere in grado di identificare l'interessato, ne informa l'interessato, se possibile. In tali casi, gli articoli da 15 a 20 non si applicano tranne quando l'interessato, al fine di esercitare i diritti di cui ai suddetti articoli, fornisce ulteriori informazioni che ne consentano l'identificazione. Considerando appropriati Considerando 57 - Dati Aggiuntivi Per Scopi Di Identificazione Domande frequenti sull'articolo 11 +Cosa dice l'articolo 11 del GDPR sull'identificazione? L'articolo 11 chiarisce che i titolari non sono tenuti a conservare, acquisire o trattare informazioni supplementari al solo scopo di identificare un interessato unicamente per rispettare il GDPR. +I diritti dell'interessato si applicano se il titolare non può identificarlo? Se il titolare non può identificare la persona, alcuni diritti come l'accesso, la rettifica e la cancellazione possono non applicarsi, salvo che la persona fornisca informazioni supplementari che ne consentano l'identificazione. +L'articolo 11 favorisce la minimizzazione dei dati? Sì. L'articolo 11 sostiene la minimizzazione confermando che le organizzazioni non dovrebbero raccogliere ulteriori dati identificativi solo per adempiere a obblighi quando il trattamento non lo richiede. Questioni chiave correlate GDPR Diritto di Accesso GDPR Diritto all’oblio

1.   Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l'identità dell'interessato. 2.   Il titolare del trattamento agevola l'esercizio dei diritti dell'interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all'articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell'interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l'interessato. 3.   Il titolare del trattamento fornisce all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l'interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l'interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell'interessato. 4.   Se non ottempera alla richiesta dell'interessato, il titolare del trattamento informa l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale. 5.   Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell'articolo 34 sono gratuite. Se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può: a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta; oppure b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta. 6.   Fatto salvo l'articolo 11, qualora il titolare del trattamento nutra ragionevoli dubbi circa l'identità della persona fisica che presenta la richiesta di cui agli articoli da 15 a 21, può richiedere ulteriori informazioni necessarie per confermare l'identità dell'interessato. 7.   Le informazioni da fornire agli interessati a norma degli articoli 13 e 14 possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d'insieme del trattamento previsto. Se presentate elettronicamente, le icone sono leggibili da dispositivo automatico. 8.   Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 92 al fine di stabilire le informazioni da presentare sotto forma di icona e le procedure per fornire icone standardizzate. Considerando appropriati Considerando 38 - Protezione Speciale Dei Dati Personali Dei MinoriConsiderando 58 - Il Principio Di TrasparenzaConsiderando 59 - Procedure Per L'Esercizio Dei Diritti Degli InteressatiConsiderando 60 - Obbligo Di InformazioneConsiderando 73 - Limitazioni Dei Diritti E Dei Principi Domande frequenti sull'articolo 12 +In quanto tempo un'azienda deve rispondere a una richiesta dell'interessato? Secondo l'articolo 12, i titolari devono rispondere senza ingiustificato ritardo ed entro un mese. Tale termine può essere prorogato di due mesi per richieste complesse o numerose. +Un'azienda può addebitare un costo per gestire una richiesta dell'interessato? Le richieste sono in linea di principio gratuite. Un contributo ragionevole può essere addebitato, o la richiesta rifiutata, solo se manifestamente infondata o eccessiva, in particolare se ripetitiva. +Come devono essere presentate le informazioni sulla privacy secondo il GDPR? Le informazioni devono essere concise, trasparenti, intelligibili e facilmente accessibili, con un linguaggio chiaro e semplice. Ciò vale in particolare quando sono rivolte ai minori. Questioni chiave correlate GDPR Diritto di essere informati GDPR Diritto di Accesso GDPR Diritto all’oblio

1.   In caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni: a) l'identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante; b) i dati di contatto del responsabile della protezione dei dati, ove applicabile; c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; d) qualora il trattamento si basi sull'articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi; e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali; f) ove applicabile, l'intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un'organizzazione internazionale e l'esistenza o l'assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all'articolo 46 o 47, o all'articolo 49, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali dati o il luogo dove sono stati resi disponibili. 2.   In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all'interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente: a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; b) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati; c) qualora il trattamento sia basato sull'articolo 6, paragrafo 1, lettera a), oppure sull'articolo 9, paragrafo 2, lettera a), l'esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca; d) il diritto di proporre reclamo a un'autorità di controllo; e) se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l'interessato ha l'obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati; f) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato. 3.   Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all'interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente di cui al paragrafo 2. 4.   I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l'interessato dispone già delle informazioni. Considerando appropriati Considerando 60 - Obbligo Di InformazioneConsiderando 61 - Momento Dell'InformazioneConsiderando 62 - Eccezioni All'Obbligo Di Fornire Informazioni Domande frequenti sull'articolo 13 +Cosa deve contenere un'informativa sulla privacy secondo l'articolo 13 del GDPR? Nella raccolta diretta, il titolare deve fornire la propria identità e i dati di contatto, le finalità e la base giuridica del trattamento, i destinatari, i periodi di conservazione e i diritti dell'interessato. +Quando devono essere fornite le informazioni sulla privacy? Secondo l'articolo 13, le informazioni devono essere fornite nel momento in cui i dati sono ottenuti direttamente dalla persona, non dopo. +L'articolo 13 impone di indicare i periodi di conservazione? Sì. L'informativa deve indicare il periodo di conservazione dei dati o, quando non è possibile, i criteri per determinarlo. Questioni chiave correlate GDPR Diritto di Accesso GDPR Paesi terzi

1.   Qualora i dati non siano stati ottenuti presso l'interessato, il titolare del trattamento fornisce all'interessato le seguenti informazioni: a) l'identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante; b) i dati di contatto del responsabile della protezione dei dati, ove applicabile; c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento; d) le categorie di dati personali in questione; e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali; f) ove applicabile, l'intenzione del titolare del trattamento di trasferire dati personali a un destinatario in un paese terzo o a un'organizzazione internazionale e l'esistenza o l'assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all'articolo 46 o 47, o all'articolo 49, secondo comma, il riferimento alle garanzie adeguate o opportune e i mezzi per ottenere una copia di tali dati o il luogo dove sono stati resi disponibili. 2.   Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all'interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell'interessato: a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; b) qualora il trattamento si basi sull'articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi; c) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati; d) qualora il trattamento sia basato sull'articolo 6, paragrafo 1, lettera a), oppure sull'articolo 9, paragrafo 2, lettera a), l'esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca; e) il diritto di proporre reclamo a un'autorità di controllo; f) la fonte da cui hanno origine i dati personali e, se del caso, l'eventualità che i dati provengano da fonti accessibili al pubblico; g) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato. 3.   Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2: a) entro un termine ragionevole dall'ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati; b) nel caso in cui i dati personali siano destinati alla comunicazione con l'interessato, al più tardi al momento della prima comunicazione all'interessato; oppure c) nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali. 4.   Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all'interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2. 5.   I paragrafi da 1 a 4 non si applicano se e nella misura in cui: a) l'interessato dispone già delle informazioni; b) comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; in particolare per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all'articolo 89, paragrafo 1, o nella misura in cui l'obbligo di cui al paragrafo 1 del presente articolo rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, anche rendendo pubbliche le informazioni; c) l'ottenimento o la comunicazione sono espressamente previsti dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell'interessato; oppure d) qualora i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell'Unione o degli Stati membri, compreso un obbligo di segretezza previsto per legge. Considerando appropriati Considerando 60 - Obbligo Di InformazioneConsiderando 61 - Momento Dell'InformazioneConsiderando 62 - Eccezioni All'Obbligo Di Fornire Informazioni Domande frequenti sull'articolo 14 +Quali informazioni fornire quando i dati sono ottenuti indirettamente? L'articolo 14 richiede informazioni simili all'articolo 13, oltre alle categorie di dati e alla loro fonte, quando i dati sono raccolti da un terzo e non dalla persona stessa. +Quando informare le persone se i loro dati provengono da un'altra fonte? Le informazioni devono essere fornite entro un termine ragionevole e al più tardi entro un mese, oppure alla prima comunicazione con la persona se anteriore. +Esistono eccezioni all'informativa dell'articolo 14? Sì. Nessuna informazione è richiesta se la persona ne dispone già, se risulta impossibile o comporta uno sforzo sproporzionato, o se l'acquisizione è prevista per legge con garanzie. Questioni chiave correlate Consenso GDPR GDPR Paesi terzi

1.   L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni: a) le finalità del trattamento; b) le categorie di dati personali in questione; c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali; d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo; e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento; f) il diritto di proporre reclamo a un'autorità di controllo; g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine; h) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato. 2.   Qualora i dati personali siano trasferiti a un paese terzo o a un'organizzazione internazionale, l'interessato ha il diritto di essere informato dell'esistenza di garanzie adeguate ai sensi dell'articolo 46 relative al trasferimento. 3.   Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune. 4.   Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui. Considerando appropriati Considerando 63 - Diritto Di AccessoConsiderando 64 - Verifica Dell'Identità Domande frequenti sull'articolo 15 +Cos'è il diritto di accesso secondo il GDPR? L'articolo 15 conferisce alle persone il diritto di confermare se i loro dati sono trattati e di ottenerne una copia, insieme alle informazioni su finalità, destinatari e periodo di conservazione. +Una richiesta di accesso è gratuita secondo il GDPR? Sì. La prima copia dei dati personali deve essere fornita gratuitamente. Un contributo ragionevole basato sui costi amministrativi può essere richiesto per copie ulteriori o richieste eccessive. +Cos'è una richiesta di accesso (DAI)? Una richiesta di accesso si ha quando una persona esercita il diritto dell'articolo 15 di accedere ai dati che un'organizzazione detiene su di lei. L'organizzazione deve di norma rispondere entro un mese. Questioni chiave correlate GDPR Diritto di Accesso GDPR Registri delle Attività di Trattamento

L'interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l'interessato ha il diritto di ottenere l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa. Considerando appropriati Considerando 65 - Diritto Di Rettifica E Cancellazione Domande frequenti sull'articolo 16 +Cos'è il diritto di rettifica secondo il GDPR? L'articolo 16 conferisce alle persone il diritto di far rettificare i dati inesatti e completare quelli incompleti, anche mediante una dichiarazione integrativa. +Quanto tempo ha un'azienda per correggere dati inesatti? Le richieste di rettifica seguono il termine dell'articolo 12, per cui il titolare deve agire senza ingiustificato ritardo ed entro un mese dalla ricezione della richiesta. +Bisogna informare i terzi quando i dati vengono corretti? Sì. Secondo l'articolo 19, il titolare deve comunicare ogni rettifica ai destinatari cui i dati sono stati comunicati, salvo che ciò risulti impossibile o comporti uno sforzo sproporzionato. Questioni chiave correlate GDPR Registri delle Attività di Trattamento GDPR Privacy by Design

1.   L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti: a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati; b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento; c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2; d) i dati personali sono stati trattati illecitamente; e) i dati personali devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento; f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1. 2.   Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali. 3.   I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario: a) per l'esercizio del diritto alla libertà di espressione e di informazione; b) per l'adempimento di un obbligo legale che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento; c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'articolo 9, paragrafo 2, lettere h) e i), e dell'articolo 9, paragrafo 3; d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. Considerando appropriati Considerando 65 - Diritto Di Rettifica E CancellazioneConsiderando 66 - Diritto All'Oblio Domande frequenti sull'articolo 17 +Cos'è il diritto all'oblio secondo il GDPR? L'articolo 17 conferisce alle persone il diritto di ottenere la cancellazione dei propri dati in determinate circostanze, ad esempio quando non sono più necessari, il consenso è revocato o il trattamento era illecito. +Il diritto alla cancellazione è assoluto secondo il GDPR? No. La cancellazione può essere rifiutata quando il trattamento è necessario per la libertà di espressione, obblighi legali, sanità pubblica, archiviazione di interesse pubblico o l'esercizio di pretese in sede giudiziaria. +Quando un'azienda può rifiutare una richiesta di cancellazione? Un titolare può rifiutare la cancellazione quando dispone ancora di una base giuridica o di un obbligo valido di conservare i dati, ad esempio per rispettare la legge o difendere pretese in sede giudiziaria. Questioni chiave correlate GDPR Diritto all’oblio Consenso GDPR GDPR Email marketing

1.   L'interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi: a) l'interessato contesta l'esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l'esattezza di tali dati personali; b) il trattamento è illecito e l'interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l'utilizzo; c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all'interessato per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria; d) l'interessato si è opposto al trattamento ai sensi dell'articolo 21, paragrafo 1, in attesa della verifica in merito all'eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell'interessato. 2.   Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell'interessato o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un'altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell'Unione o di uno Stato membro. 3.   L'interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 è informato dal titolare del trattamento prima che detta limitazione sia revocata. Considerando appropriati Considerando 67 - Limitazione Del Trattamento Domande frequenti sull'articolo 18 +Cos'è il diritto di limitazione del trattamento secondo il GDPR? L'articolo 18 consente alle persone di limitare l'uso dei propri dati in alcune situazioni, ad esempio mentre se ne contesta l'esattezza o quando il trattamento è illecito ma la persona preferisce la limitazione alla cancellazione. +Cosa significa concretamente limitare il trattamento? Quando il trattamento è limitato, i dati possono essere conservati ma non altrimenti usati, salvo con il consenso, per pretese in giudizio, per tutelare un'altra persona o per motivi di interesse pubblico rilevante. +Quando un interessato può chiedere la limitazione invece della cancellazione? La limitazione può essere chiesta quando se ne contesta l'esattezza, il trattamento è illecito, i dati non sono più necessari ma servono per pretese in giudizio, o un'opposizione è in corso di verifica. Questioni chiave correlate GDPR Registri delle Attività di Trattamento GDPR Diritto di Accesso

Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell'articolo 16, dell'articolo 17, paragrafo 1, e dell'articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all'interessato tali destinatari qualora l'interessato lo richieda. Considerando appropriati Considerando 66 - Diritto All'Oblio Domande frequenti sull'articolo 19 +Cosa richiede l'articolo 19 del GDPR? L'articolo 19 obbliga i titolari a comunicare a ciascun destinatario dei dati ogni rettifica, cancellazione o limitazione del trattamento, salvo che ciò risulti impossibile o comporti uno sforzo sproporzionato. +Le persone devono sapere con chi sono stati condivisi i loro dati? Sì. Se la persona lo richiede, il titolare deve informarla dei destinatari cui i suoi dati personali sono stati comunicati. +Perché l'articolo 19 è importante per l'esattezza dei dati? Garantisce che le correzioni e le cancellazioni si propaghino a tutte le parti che hanno ricevuto i dati, così da non conservare altrove informazioni inesatte o obsolete. Questioni chiave correlate GDPR Registri delle Attività di Trattamento GDPR Diritto di essere informati

1.   L'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora: a) il trattamento si basi sul consenso ai sensi dell'articolo 6, paragrafo 1, lettera a), o dell'articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell'articolo 6, paragrafo 1, lettera b); e b) il trattamento sia effettuato con mezzi automatizzati. 2.   Nell'esercitare i propri diritti relativamente alla portabilità dei dati a norma del paragrafo 1, l'interessato ha il diritto di ottenere la trasmissione diretta dei dati personali da un titolare del trattamento all'altro, se tecnicamente fattibile. 3.   L'esercizio del diritto di cui al paragrafo 1 del presente articolo lascia impregiudicato l'articolo 17. Tale diritto non si applica al trattamento necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento. 4.   Il diritto di cui al paragrafo 1 non deve ledere i diritti e le libertà altrui. Considerando appropriati Considerando 68 - Diritto Alla Portabilità Dei Dati Domande frequenti sull'articolo 20 +Cos'è il diritto alla portabilità secondo il GDPR? L'articolo 20 consente alle persone di ricevere i dati che hanno fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare senza impedimenti. +Quando si applica il diritto alla portabilità? Si applica solo quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati. Non copre i dati trattati su altre basi giuridiche. +Le persone possono trasferire i dati direttamente tra fornitori? Sì, quando è tecnicamente fattibile. L'articolo 20 conferisce alle persone il diritto di far trasmettere i propri dati direttamente da un titolare a un altro. Questioni chiave correlate GDPR Privacy by Design GDPR Diritto di essere informati

1.   L'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell'articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria. 2.   Qualora i dati personali siano trattati per finalità di marketing diretto, l'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto. 3.   Qualora l'interessato si opponga al trattamento per finalità di marketing diretto, i dati personali non sono più oggetto di trattamento per tali finalità. 4.   Il diritto di cui ai paragrafi 1 e 2 è esplicitamente portato all'attenzione dell'interessato ed è presentato chiaramente e separatamente da qualsiasi altra informazione al più tardi al momento della prima comunicazione con l'interessato. 5.   Nel contesto dell'utilizzo di servizi della società dell'informazione e fatta salva la direttiva 2002/58/CE, l'interessato può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche. 6.   Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici a norma dell'articolo 89, paragrafo 1, l'interessato, per motivi connessi alla sua situazione particolare, ha il diritto di opporsi al trattamento di dati personali che lo riguarda, salvo se il trattamento è necessario per l'esecuzione di un compito di interesse pubblico. Considerando appropriati Considerando 69 - Diritto Di OpposizioneConsiderando 70 - Diritto Di Opposizione Al Marketing Diretto Domande frequenti sull'articolo 21 +Cos'è il diritto di opposizione secondo il GDPR? L'articolo 21 conferisce alle persone il diritto di opporsi al trattamento basato sul legittimo interesse o su un compito di interesse pubblico, e un diritto assoluto di opporsi al trattamento per finalità di marketing diretto. +Posso impedire a un'azienda di usare i miei dati per il marketing? Sì. Secondo l'articolo 21, le persone hanno un diritto assoluto di opporsi al marketing diretto e il titolare deve cessare immediatamente il trattamento per tale finalità. +Un'azienda può continuare il trattamento dopo un'opposizione? Per il trattamento basato sul legittimo interesse, il titolare può continuare solo se dimostra motivi legittimi cogenti che prevalgono sugli interessi della persona, o se il trattamento è necessario per pretese in giudizio. Questioni chiave correlate GDPR Sanzioni / Penalità Valutazione d’Impatto sulla Privacy GDPR

1.   L'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona. 2.   Il paragrafo 1 non si applica nel caso in cui la decisione: a) sia necessaria per la conclusione o l'esecuzione di un contratto tra l'interessato e un titolare del trattamento; b) sia autorizzata dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell'interessato; c) si basi sul consenso esplicito dell'interessato. 3.   Nei casi di cui al paragrafo 2, lettere a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, almeno il diritto di ottenere l'intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione. 4.   Le decisioni di cui al paragrafo 2 non si basano sulle categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, a meno che non sia d'applicazione l'articolo 9, paragrafo 2, lettere a) o g), e non siano in vigore misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell'interessato. Considerando appropriati Considerando 71 - ProfilazioneConsiderando 72 - Orientamenti Del Comitato Europeo Per La Protezione Dei Dati Riguardanti La ProfilazioneConsiderando 91 - Necessità Di Una Valutazione D'Impatto Sulla Protezione Dei Dati Domande frequenti sull'articolo 22 +Cosa dice il GDPR sulle decisioni automatizzate? L'articolo 22 conferisce alle persone il diritto di non essere sottoposte a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o similmente significativi. +Quando sono ammesse le decisioni automatizzate secondo il GDPR? Sono ammesse quando necessarie per un contratto, autorizzate dalla legge o basate sul consenso esplicito, con garanzie come il diritto all'intervento umano e quello di contestare la decisione. +L'articolo 22 si applica all'IA e alla profilazione? Sì. Quando l'IA o la profilazione adottano decisioni unicamente automatizzate con effetti significativi su una persona, si applica l'articolo 22 e devono essere offerte garanzie effettive. Questioni chiave correlate GDPR Privacy by Design Valutazione d’Impatto sulla Privacy GDPR

1.   Il diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all'articolo 5, nella misura in cui le disposizioni ivi contenute corrispondano ai diritti e agli obblighi di cui agli articoli da 12 a 22, qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare: a) la sicurezza nazionale; b) la difesa; c) la sicurezza pubblica; d) la prevenzione, l'indagine, l'accertamento e il perseguimento di reati o l'esecuzione di sanzioni penali, incluse la salvaguardia contro e la prevenzione di minacce alla sicurezza pubblica; e) altri importanti obiettivi di interesse pubblico generale dell'Unione o di uno Stato membro, in particolare un rilevante interesse economico o finanziario dell'Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanità pubblica e sicurezza sociale; f) la salvaguardia dell'indipendenza della magistratura e dei procedimenti giudiziari; g) le attività volte a prevenire, indagare, accertare e perseguire violazioni della deontologia delle professioni regolamentate; h) una funzione di controllo, d'ispezione o di regolamentazione connessa, anche occasionalmente, all'esercizio di pubblici poteri nei casi di cui alle lettere da a), a e) e g); i) la tutela dell'interessato o dei diritti e delle libertà altrui; j) l'esecuzione delle azioni civili. 2.   In particolare qualsiasi misura legislativa di cui al paragrafo 1 contiene disposizioni specifiche riguardanti almeno, se del caso: a) le finalità del trattamento o le categorie di trattamento; b) le categorie di dati personali; c) la portata delle limitazioni introdotte; d) le garanzie per prevenire abusi o l'accesso o il trasferimento illeciti; e) l'indicazione precisa del titolare del trattamento o delle categorie di titolari; f) i periodi di conservazione e le garanzie applicabili tenuto conto della natura, dell'ambito di applicazione e delle finalità del trattamento o delle categorie di trattamento; g) i rischi per i diritti e le libertà degli interessati; e h) il diritto degli interessati di essere informati della limitazione, a meno che ciò possa compromettere la finalità della stessa. Considerando appropriati Considerando 73 - Limitazioni Dei Diritti E Dei Principi Domande frequenti sull'articolo 23 +Cosa consente l'articolo 23 del GDPR? L'articolo 23 consente al diritto dell'UE o di uno Stato membro di limitare alcuni diritti e obblighi del GDPR quando ciò è necessario e proporzionato per salvaguardare interessi come la sicurezza nazionale, la difesa o la sicurezza pubblica. +I diritti dell'interessato possono essere limitati secondo il GDPR? Sì. L'articolo 23 consente limitazioni circoscritte dei diritti per obiettivi determinati di interesse pubblico, ma ogni limitazione deve rispettare il contenuto essenziale dei diritti fondamentali ed essere necessaria e proporzionata. +Quali garanzie si applicano alle limitazioni dell'articolo 23? Le misure legislative che impongono limitazioni devono prevedere disposizioni specifiche su finalità, ambito, garanzie, conservazione e rischi per le persone, evitando l'arbitrarietà. Questioni chiave correlate GDPR Paesi terzi GDPR Sanzioni / Penalità

1.   Tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario. 2.   Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l'attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento. 3.   L'adesione ai codici di condotta di cui all'articolo 40 o a un meccanismo di certificazione di cui all'articolo 42 può essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento. Considerando appropriati Considerando 74 - Responsabilità E Responsabilità Del Titolare Del TrattamentoConsiderando 75 - Rischi Per I Diritti E Le Libertà Delle Persone FisicheConsiderando 76 - Valutazione Del RischioConsiderando 77 - Linee Guida Per La Valutazione Del Rischio Domande frequenti sull'articolo 24 +Quali sono le responsabilità di un titolare del trattamento secondo il GDPR? L'articolo 24 obbliga i titolari ad attuare misure tecniche e organizzative adeguate per garantire e dimostrare che il trattamento è conforme al GDPR, tenendo conto dei rischi per le persone. +Come dimostra un titolare la conformità al GDPR? I titolari lo dimostrano mediante politiche documentate, misure di protezione, registri e, ove proporzionato, l'adesione a codici di condotta approvati o a certificazioni. +Cos'è l'obbligo di responsabilizzazione per i titolari? La responsabilizzazione significa che i titolari non devono solo rispettare il GDPR, ma anche poterlo provare con misure adeguate, riesaminate e aggiornate secondo necessità. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Privacy by Design

1.   Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati. 2.   Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica. 3.   Un meccanismo di certificazione approvato ai sensi dell'articolo 42 può essere utilizzato come elemento per dimostrare la conformità ai requisiti di cui ai paragrafi 1 e 2 del presente articolo. Considerando appropriati Considerando 78 - Misure Tecniche E Organizzative Appropriate Domande frequenti sull'articolo 25 +Cos'è la protezione dei dati fin dalla progettazione e per impostazione predefinita? L'articolo 25 obbliga i titolari a integrare la protezione dei dati fin dall'inizio e a garantire, per impostazione predefinita, che siano trattati solo i dati necessari a ciascuna finalità. +Cosa significa protezione dei dati per impostazione predefinita? Per impostazione predefinita, le configurazioni devono limitare la quantità di dati raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità, così da non rendere i dati accessibili a un numero indefinito di persone. +Come si attua la privacy by design secondo il GDPR? La privacy by design si attua con misure come la pseudonimizzazione, la minimizzazione dei dati, il controllo degli accessi e l'integrazione di garanzie nei sistemi fin dalla fase di progettazione. Questioni chiave correlate GDPR Crittografia GDPR Valutazione d’Impatto sulla Privacy

1.   Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all'osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all'esercizio dei diritti dell'interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell'Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati. 2.   L'accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell'accordo è messo a disposizione dell'interessato. 3.   Indipendentemente dalle disposizioni dell'accordo di cui al paragrafo 1, l'interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento. Considerando appropriati Considerando 58 - Il Principio Di TrasparenzaConsiderando 79 - Assegnazione Delle Responsabilità Domande frequenti sull'articolo 26 +Cosa sono i contitolari del trattamento secondo il GDPR? I contitolari sono due o più titolari che determinano congiuntamente le finalità e i mezzi del trattamento. L'articolo 26 impone loro di definire le rispettive responsabilità in un accordo. +I contitolari hanno bisogno di un accordo scritto? Sì. I contitolari devono definire in modo trasparente i rispettivi obblighi, in particolare sui diritti delle persone e sull'informativa, e mettere a disposizione degli interessati il contenuto essenziale dell'accordo. +Un interessato può esercitare i diritti nei confronti di ciascun contitolare? Sì. Indipendentemente dall'accordo interno, le persone possono esercitare i propri diritti nei confronti di ciascuno dei contitolari. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Valutazione d’Impatto sulla Privacy GDPR Registri delle Attività di Trattamento

1.   Ove si applichi l'articolo 3, paragrafo 2, il titolare del trattamento o il responsabile del trattamento designa per iscritto un rappresentante nell'Unione. 2.   L'obbligo di cui al paragrafo 1 del presente articolo non si applica: a) al trattamento se quest'ultimo è occasionale, non include il trattamento, su larga scala, di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o di dati personali relativi a condanne penali e a reati di cui all'articolo 10, ed è improbabile che presenti un rischio per i diritti e le libertà delle persone fisiche, tenuto conto della natura, del contesto, dell'ambito di applicazione e delle finalità del trattamento; oppure b) alle autorità pubbliche o agli organismi pubblici. 3.   Il rappresentante è stabilito in uno degli Stati membri in cui si trovano gli interessati e i cui dati personali sono trattati nell'ambito dell'offerta di beni o servizi o il cui comportamento è monitorato. 4.   Ai fini della conformità con il presente regolamento, il rappresentante è incaricato dal titolare del trattamento o dal responsabile del trattamento a fungere da interlocutore, in aggiunta o in sostituzione del titolare del trattamento o del responsabile del trattamento, in particolare delle autorità di controllo e degli interessati, per tutte le questioni riguardanti il trattamento. 5.   La designazione di un rappresentante a cura del titolare del trattamento o del responsabile del trattamento fa salve le azioni legali che potrebbero essere promosse contro lo stesso titolare del trattamento o responsabile del trattamento. Considerando appropriati Considerando 80 - Designazione Di Un Rappresentante Domande frequenti sull'articolo 27 +Le aziende fuori dall'UE hanno bisogno di un rappresentante nell'UE secondo il GDPR? L'articolo 27 impone ai titolari e ai responsabili fuori dall'UE soggetti al GDPR di designare un rappresentante stabilito nell'UE, con eccezioni limitate per trattamenti occasionali e a basso rischio. +Cosa fa un rappresentante nell'UE secondo il GDPR? Il rappresentante funge da punto di contatto per le autorità di controllo e per le persone su tutto ciò che riguarda il trattamento, contribuendo a garantire la conformità per conto dell'organizzazione fuori dall'UE. +Quando non è richiesto un rappresentante nell'UE? Non è richiesto quando il trattamento è occasionale, non comprende dati sensibili o penali su larga scala ed è improbabile che comporti un rischio, oppure quando si tratta di un'autorità pubblica. Questioni chiave correlate GDPR Registri delle Attività di Trattamento GDPR Paesi terzi

1.   Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato. 2.   Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l'opportunità di opporsi a tali modifiche. 3.   I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento: a) tratti i dati personali soltanto su istruzione documentata del titolare del trattamento, anche in caso di trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il responsabile del trattamento; in tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico; b) garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza; c) adotti tutte le misure richieste ai sensi dell'articolo 32; d) rispetti le condizioni di cui ai paragrafi 2 e 4 per ricorrere a un altro responsabile del trattamento; e) tenendo conto della natura del trattamento, assista il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del titolare del trattamento di dare seguito alle richieste per l'esercizio dei diritti dell'interessato di cui al capo III; f) assista il titolare del trattamento nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36, tenendo conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento; g) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione dei dati; e h) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato. Con riguardo alla lettera h) del primo comma, il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un'istruzione violi il presente regolamento o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati. 4.   Quando un responsabile del trattamento ricorre a un altro responsabile del trattamento per l'esecuzione di specifiche attività di trattamento per conto del titolare del trattamento, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento di cui al paragrafo 3, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento. Qualora l'altro responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, il responsabile iniziale conserva nei confronti del titolare del trattamento l'intera responsabilità dell'adempimento degli obblighi dell'altro responsabile. 5.   L'adesione da parte del responsabile del trattamento a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare le garanzie sufficienti di cui ai paragrafi 1 e 4 del presente articolo. 6.   Fatto salvo un contratto individuale tra il titolare del trattamento e il responsabile del trattamento, il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 del presente articolo può basarsi, in tutto o in parte, su clausole contrattuali tipo di cui ai paragrafi 7 e 8 del presente articolo, anche laddove siano parte di una certificazione concessa al titolare del trattamento o al responsabile del trattamento ai sensi degli articoli 42 e 43. 7.   La Commissione può stabilire clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo e secondo la procedura d'esame di cui all'articolo 93, paragrafo 2. 8.   Un'autorità di controllo può adottare clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo in conformità del meccanismo di coerenza di cui all'articolo 63. 9.   Il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 è stipulato in forma scritta, anche in formato elettronico. 10.   Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione. Considerando appropriati Considerando 81 - L'Uso Dei Responsabili Del Trattamento Dei Dati Domande frequenti sull'articolo 28 +Cosa deve contenere un contratto di nomina a responsabile secondo l'articolo 28? Il contratto deve disciplinare oggetto, durata, natura e finalità del trattamento, i tipi di dati, gli obblighi delle parti, le misure di sicurezza, le regole sui sub-responsabili e l'assistenza alla conformità. +Un responsabile può ricorrere a sub-responsabili secondo il GDPR? Un responsabile può ricorrere a sub-responsabili solo previa autorizzazione del titolare e deve imporre loro per contratto gli stessi obblighi di protezione dei dati. +Quali sono gli obblighi di un responsabile del trattamento secondo il GDPR? I responsabili trattano i dati solo su istruzioni documentate, garantiscono la riservatezza, attuano misure di sicurezza, assistono il titolare e cancellano o restituiscono i dati al termine dell'incarico. Questioni chiave correlate GDPR Crittografia GDPR Registri delle Attività di Trattamento

Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri. Considerando correlati Considerando 39 – Principi Del Trattamento Dei Dati Considerando 40 – Liceità Del Trattamento Dei Dati Considerando 74 – Responsabilità E Responsabilità Del Titolare Del Trattamento Domande frequenti sull'articolo 29 +Cosa richiede l'articolo 29 del GDPR? L'articolo 29 richiede che chiunque agisca sotto l'autorità del titolare o del responsabile tratti i dati personali solo su istruzione del titolare, salvo che vi sia obbligo di legge contrario. +I dipendenti possono trattare dati senza istruzioni secondo il GDPR? No. Il personale e le altre persone con accesso ai dati personali possono trattarli solo su istruzioni documentate del titolare, il che sostiene la responsabilizzazione e limita gli usi non autorizzati. +Come si collega l'articolo 29 alla sicurezza dei dati? Limitando il trattamento alle istruzioni autorizzate, l'articolo 29 riduce il rischio di uso improprio e sostiene gli obblighi di riservatezza e integrità previsti altrove nel GDPR. Questioni chiave correlate GDPR Crittografia GDPR Responsabile della protezione dei dati GDPR Privacy by Design

1.   Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni: a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati; b) le finalità del trattamento; c) una descrizione delle categorie di interessati e delle categorie di dati personali; d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali; e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate; f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati; g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1. 2.   Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento, contenente: a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati; b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento; c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate; d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1. 3.   I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico. 4.   Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell'autorità di controllo. 5.   Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10. Considerando appropriati Considerando 13 - Tenere Conto Delle Micro, Piccole E Medie ImpreseConsiderando 82 - Registro Delle Attività Di Trattamento Domande frequenti sull'articolo 30 +Cos'è il registro delle attività di trattamento? L'articolo 30 obbliga titolari e responsabili a tenere un registro delle attività di trattamento, comprendente finalità, categorie di dati e destinatari, trasferimenti, periodi di conservazione e misure di sicurezza. +Le piccole imprese sono esonerate dal tenere il registro dei trattamenti? Le organizzazioni con meno di 250 dipendenti sono parzialmente esonerate, ma devono tenere il registro quando il trattamento non è occasionale, riguarda dati sensibili o può comportare un rischio per le persone. +Quali informazioni contiene un registro dei trattamenti del GDPR? Di norma comprende i dati del titolare, le finalità del trattamento, le categorie di persone e di dati, i destinatari, i trasferimenti internazionali, i periodi di conservazione e una descrizione delle misure di sicurezza. Questioni chiave correlate Valutazione d’Impatto sulla Privacy GDPR GDPR Paesi terzi

Il titolare del trattamento, il responsabile del trattamento e, ove applicabile, il loro rappresentante cooperano, su richiesta, con l'autorità di controllo nell'esecuzione dei suoi compiti. Considerando appropriati Considerando 82 - Registro Delle Attività Di Trattamento Domande frequenti sull'articolo 31 +Cosa richiede l'articolo 31 del GDPR? L'articolo 31 obbliga titolari e responsabili a cooperare, su richiesta, con l'autorità di controllo nell'esecuzione dei suoi compiti. +Le aziende devono cooperare con le autorità di protezione dei dati? Sì. La cooperazione è un obbligo di legge e le organizzazioni devono rispondere alle richieste dell'autorità di controllo e sostenerne le funzioni di indagine e correzione. +Come sostiene l'articolo 31 l'applicazione del GDPR? Imponendo la cooperazione, l'articolo 31 consente alle autorità di indagare sui reclami, verificare i trattamenti e adottare misure correttive in modo efficace. Questioni chiave correlate GDPR Sanzioni / Penalità Valutazione d’Impatto sulla Privacy GDPR

1.   Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. 2.   Nel valutare l'adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. 3.   L'adesione a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo. 4.   Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri. Considerando appropriati Considerando 75 - Rischi Per I Diritti E Le Libertà Delle Persone FisicheConsiderando 76 - Valutazione Del RischioConsiderando 77 - Linee Guida Per La Valutazione Del RischioConsiderando 78 - Misure Tecniche E Organizzative AppropriateConsiderando 79 - Assegnazione Delle ResponsabilitàConsiderando 83 - Sicurezza Del Trattamento Domande frequenti sull'articolo 32 +Quali misure di sicurezza richiede il GDPR? L'articolo 32 richiede misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, comprese pseudonimizzazione, cifratura, riservatezza, integrità, disponibilità e resilienza. +La cifratura è obbligatoria secondo il GDPR? La cifratura non è strettamente obbligatoria, ma l'articolo 32 la cita come esempio di misura adeguata. Le organizzazioni devono scegliere misure proporzionate al rischio del loro trattamento. +Come si valuta il livello di sicurezza adeguato? Le organizzazioni devono soppesare lo stato dell'arte, i costi e la natura e i rischi del trattamento, attuando misure che riducano il rischio per le persone a un livello accettabile. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Privacy by Design

1.   In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo. 2.   Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione. 3.   La notifica di cui al paragrafo 1 deve almeno: a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione; b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni; c) descrivere le probabili conseguenze della violazione dei dati personali; d) descrivere le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. 4.   Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo. 5.   Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all'autorità di controllo di verificare il rispetto del presente articolo. Considerando appropriati Considerando 85 - Obbligo Di Notifica Delle Violazioni All'Autorità Di ControlloConsiderando 87 - Prontezza Della Segnalazione / NotificaConsiderando 88 - Formato E Procedure Della Notifica Domande frequenti sull'articolo 33 +In quanto tempo va notificata una violazione dei dati secondo il GDPR? L'articolo 33 impone ai titolari di notificare una violazione dei dati personali all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne vengono a conoscenza. +Tutte le violazioni dei dati vanno notificate all'autorità? No. Una violazione va notificata salvo che sia improbabile che comporti un rischio per i diritti e le libertà delle persone. Anche le violazioni non notificate vanno documentate internamente. +Cosa deve contenere una notifica di violazione del GDPR? La notifica deve descrivere la natura della violazione, le categorie e il numero di persone interessate, le probabili conseguenze e le misure adottate per porvi rimedio. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Sanzioni / Penalità

1.   Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all'interessato senza ingiustificato ritardo. 2.   La comunicazione all'interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all'articolo 33, paragrafo 3, lettere b), c) e d). 3.   Non è richiesta la comunicazione all'interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni: a) il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura; b) il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1; c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia. 4.   Nel caso in cui il titolare del trattamento non abbia ancora comunicato all'interessato la violazione dei dati personali, l'autorità di controllo può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta. Considerando appropriati Considerando 86 - Notifica Agli Interessati In Caso Di Violazioni Dei DatiConsiderando 87 - Prontezza Della Segnalazione / NotificaConsiderando 88 - Formato E Procedure Della Notifica Domande frequenti sull'articolo 34 +Quando vanno informate le persone di una violazione dei dati? L'articolo 34 impone ai titolari di informare le persone interessate senza ingiustificato ritardo quando una violazione è suscettibile di comportare un rischio elevato per i loro diritti e le loro libertà. +Quando non è richiesto informare le persone di una violazione? Non è richiesto se i dati erano cifrati o resi incomprensibili, se misure successive hanno eliminato il rischio elevato, o se comporterebbe uno sforzo sproporzionato, nel qual caso può bastare una comunicazione pubblica. +Cosa deve contenere l'avviso di violazione alle persone? Deve descrivere la violazione in linguaggio chiaro e indicare il punto di contatto per ulteriori informazioni, le probabili conseguenze e le misure adottate o proposte per porvi rimedio. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Diritto di essere informati

1.   Quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi. 2.   Il titolare del trattamento, allorquando svolge una valutazione d'impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati, qualora ne sia designato uno. 3.   La valutazione d'impatto sulla protezione dei dati di cui al paragrafo 1 è richiesta in particolare nei casi seguenti: a) una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche; b) il trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, o di dati relativi a condanne penali e a reati di cui all'articolo 10; o c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico. 4.   L'autorità di controllo redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d'impatto sulla protezione dei dati ai sensi del paragrafo 1. L'autorità di controllo comunica tali elenchi al comitato di cui all'articolo 68. 5.   L'autorità di controllo può inoltre redigere e rendere pubblico un elenco delle tipologie di trattamenti per le quali non è richiesta una valutazione d'impatto sulla protezione dei dati. L'autorità di controllo comunica tali elenchi al comitato. 6.   Prima di adottare gli elenchi di cui ai paragrafi 4 e 5, l'autorità di controllo competente applica il meccanismo di coerenza di cui all'articolo 63 se tali elenchi comprendono attività di trattamento finalizzate all'offerta di beni o servizi a interessati o al monitoraggio del loro comportamento in più Stati membri, o attività di trattamento che possono incidere significativamente sulla libera circolazione dei dati personali all'interno dell'Unione. 7.   La valutazione contiene almeno: a) una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l'interesse legittimo perseguito dal titolare del trattamento; b) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità; c) una valutazione dei rischi per i diritti e le libertà degli interessati di cui al paragrafo 1; e d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione. 8.   Nel valutare l'impatto del trattamento effettuato dai relativi titolari o responsabili è tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all'articolo 40, in particolare ai fini di una valutazione d'impatto sulla protezione dei dati. 9.   Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti. 10.   Qualora il trattamento effettuato ai sensi dell'articolo 6, paragrafo 1, lettere c) o e), trovi nel diritto dell'Unione o nel diritto dello Stato membro cui il titolare del trattamento è soggetto una base giuridica, tale diritto disciplini il trattamento specifico o l'insieme di trattamenti in questione, e sia già stata effettuata una valutazione d'impatto sulla protezione dei dati nell'ambito di una valutazione d'impatto generale nel contesto dell'adozione di tale base giuridica, i paragrafi da 1 a 7 non si applicano, salvo che gli Stati membri ritengano necessario effettuare tale valutazione prima di procedere alle attività di trattamento. 11.   Se necessario, il titolare del trattamento procede a un riesame per valutare se il trattamento dei dati personali sia effettuato conformemente alla valutazione d'impatto sulla protezione dei dati almeno quando insorgono variazioni del rischio rappresentato dalle attività relative al trattamento. Considerando appropriati Considerando 75 - Rischi Per I Diritti E Le Libertà Delle Persone FisicheConsiderando 84 - Valutazione Dei Rischi E Valutazione D'ImpattoConsiderando 89 - Eliminazione Dell'Obbligo Generale Di SegnalazioneConsiderando 90 - Valutazione D'Impatto Sulla Protezione Dei DatiConsiderando 91 - Necessità Di Una Valutazione D'Impatto Sulla Protezione Dei DatiConsiderando 92 - Valutazione D'Impatto Sulla Protezione Dei Dati Più AmpiaConsiderando 93 - Valutazione D'Impatto Sulla Protezione Dei Dati Presso Le Autorità Domande frequenti sull'articolo 35 +Quando è richiesta una valutazione d'impatto (DPIA)? L'articolo 35 richiede una DPIA quando il trattamento può comportare un rischio elevato per le persone, ad esempio un trattamento su larga scala di dati sensibili, un monitoraggio sistematico o una profilazione estesa. +Cos'è una DPIA secondo il GDPR? Una DPIA è una valutazione strutturata di come un trattamento incide sulla protezione dei dati, che individua i rischi e le misure necessarie ad attenuarli prima dell'inizio del trattamento. +Cosa deve contenere una DPIA? Una DPIA deve descrivere il trattamento e le sue finalità, valutarne necessità e proporzionalità, stimare i rischi per le persone ed esporre le misure previste per affrontarli. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Privacy by Design

1.   Il titolare del trattamento, prima di procedere al trattamento, consulta l'autorità di controllo qualora la valutazione d'impatto sulla protezione dei dati a norma dell'articolo 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio. 2.   Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, l'autorità di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento e può avvalersi dei poteri di cui all'articolo 58. Tale periodo può essere prorogato di sei settimane, tenendo conto della complessità del trattamento previsto. L'autorità di controllo informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione. La decorrenza dei termini può essere sospesa fino all'ottenimento da parte dell'autorità di controllo delle informazioni richieste ai fini della consultazione. 3.   Al momento di consultare l'autorità di controllo ai sensi del paragrafo 1, il titolare del trattamento comunica all'autorità di controllo: a) ove applicabile, le rispettive responsabilità del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, in particolare relativamente al trattamento nell'ambito di un gruppo imprenditoriale; b) le finalità e i mezzi del trattamento previsto; c) le misure e le garanzie previste per proteggere i diritti e le libertà degli interessati a norma del presente regolamento; d) ove applicabile, i dati di contatto del titolare della protezione dei dati; e) la valutazione d'impatto sulla protezione dei dati di cui all'articolo 35; f) ogni altra informazione richiesta dall'autorità di controllo. 4.   Gli Stati membri consultano l'autorità di controllo durante l'elaborazione di una proposta di atto legislativo che deve essere adottato dai parlamenti nazionali o di misura regolamentare basata su detto atto legislativo relativamente al trattamento. 5.   Nonostante il paragrafo 1, il diritto degli Stati membri può prescrivere che i titolari del trattamento consultino l'autorità di controllo, e ne ottengano l'autorizzazione preliminare, in relazione al trattamento da parte di un titolare del trattamento per l'esecuzione, da parte di questi, di un compito di interesse pubblico, tra cui il trattamento con riguardo alla protezione sociale e alla sanità pubblica. Considerando appropriati Considerando 94 - Consultazione Dell'Autorità Di ControlloConsiderando 95 - Assistenza Da Parte Del Responsabile Del TrattamentoConsiderando 96 - Consultazione Dell'Autorità Di Controllo Nel Corso Di Un Processo Legislativo Domande frequenti sull'articolo 36 +Cos'è la consultazione preventiva secondo l'articolo 36 del GDPR? L'articolo 36 impone ai titolari di consultare l'autorità di controllo prima del trattamento quando una DPIA evidenzia un rischio elevato non attenuabile con le misure a disposizione del titolare. +Quando bisogna consultare l'autorità di protezione dei dati prima del trattamento? La consultazione è richiesta quando una DPIA mostra che il trattamento comporterebbe un rischio residuo elevato per le persone in assenza di misure adottate dal titolare per attenuarlo. +Cosa può fare l'autorità di controllo in una consultazione preventiva? L'autorità può fornire un parere scritto e usare i suoi poteri, compresi avvertimenti o limitazioni, se ritiene che il trattamento previsto violerebbe il GDPR. Questioni chiave correlate Valutazione d’Impatto sulla Privacy GDPR GDPR Diritto di essere informati

1.   Il titolare del trattamento e il responsabile del trattamento designano sistematicamente un responsabile della protezione dei dati ogniqualvolta: a) il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali; b) le attività principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure c) le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9 o di dati relativi a condanne penali e a reati di cui all'articolo 10. 2.   Un gruppo imprenditoriale può nominare un unico responsabile della protezione dei dati, a condizione che un responsabile della protezione dei dati sia facilmente raggiungibile da ciascuno stabilimento. 3.   Qualora il titolare del trattamento o il responsabile del trattamento sia un'autorità pubblica o un organismo pubblico, un unico responsabile della protezione dei dati può essere designato per più autorità pubbliche o organismi pubblici, tenuto conto della loro struttura organizzativa e dimensione. 4.   Nei casi diversi da quelli di cui al paragrafo 1, il titolare e del trattamento, il responsabile del trattamento o le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o di responsabili del trattamento possono o, se previsto dal diritto dell'Unione o degli Stati membri, devono designare un responsabile della protezione dei dati. Il responsabile della protezione dei dati può agire per dette associazioni e altri organismi rappresentanti i titolari del trattamento o i responsabili del trattamento. 5.   Il responsabile della protezione dei dati è designato in funzione delle qualità professionali, in particolare della conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati, e della capacità di assolvere i compiti di cui all'articolo 39. 6.   Il responsabile della protezione dei dati può essere un dipendente del titolare del trattamento o del responsabile del trattamento oppure assolvere i suoi compiti in base a un contratto di servizi. 7.   Il titolare del trattamento o il responsabile del trattamento pubblica i dati di contatto del responsabile della protezione dei dati e li comunica all'autorità di controllo. Considerando appropriati Considerando 97 - Responsabile Della Protezione Dei Dati Domande frequenti sull'articolo 37 +Quando è richiesto un responsabile della protezione dei dati (RPD) secondo il GDPR? L'articolo 37 richiede un RPD quando il trattamento è effettuato da un'autorità pubblica, o quando le attività principali comportano un monitoraggio sistematico su larga scala o un trattamento su larga scala di dati sensibili. +Ogni azienda ha bisogno di un RPD secondo il GDPR? No. Un RPD è obbligatorio solo nei casi dell'articolo 37, ma qualsiasi organizzazione può designarne uno volontariamente come buona prassi. +Un RPD può essere un consulente esterno? Sì. L'RPD può essere un dipendente o svolgere il ruolo in base a un contratto di servizi, purché possieda le competenze necessarie e possa agire in modo indipendente. Questioni chiave correlate GDPR Responsabile della protezione dei dati Valutazione d’Impatto sulla Privacy GDPR

1.   Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati sia tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali. 2.   Il titolare e del trattamento e il responsabile del trattamento sostengono il responsabile della protezione dei dati nell'esecuzione dei compiti di cui all'articolo 39 fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica. 3.   Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per quanto riguarda l'esecuzione di tali compiti. Il responsabile della protezione dei dati non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l'adempimento dei propri compiti. Il responsabile della protezione dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento. 4   Gli interessati possono contattare il responsabile della protezione dei dati per tutte le questioni relative al trattamento dei loro dati personali e all'esercizio dei loro diritti derivanti dal presente regolamento. 5.   Il responsabile della protezione dei dati è tenuto al segreto o alla riservatezza in merito all'adempimento dei propri compiti, in conformità del diritto dell'Unione o degli Stati membri. 6.   Il responsabile della protezione dei dati può svolgere altri compiti e funzioni. Il titolare del trattamento o il responsabile del trattamento si assicura che tali compiti e funzioni non diano adito a un conflitto di interessi. Considerando appropriati Considerando 97 - Responsabile Della Protezione Dei Dati Domande frequenti sull'articolo 38 +Qual è il ruolo di un RPD all'interno di un'organizzazione? L'articolo 38 richiede che l'RPD sia coinvolto in modo adeguato e tempestivo in tutte le questioni di protezione dei dati, disponga di risorse sufficienti e riferisca al vertice gerarchico. +Un RPD deve essere indipendente secondo il GDPR? Sì. L'RPD deve svolgere i propri compiti in modo indipendente, non può essere rimosso o penalizzato per il loro esercizio e non riceve istruzioni sul modo di assolverli. +Un RPD può avere altre funzioni in azienda? Un RPD può svolgere altre funzioni, ma l'organizzazione deve assicurare che non diano luogo a un conflitto di interessi con le sue responsabilità in materia di protezione dei dati. Questioni chiave correlate Valutazione d’Impatto sulla Privacy GDPR GDPR Registri delle Attività di Trattamento

1.   Il responsabile della protezione dei dati è incaricato almeno dei seguenti compiti: a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati; b) sorvegliare l'osservanza del presente regolamento, di altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo; c) fornire, se richiesto, un parere in merito alla valutazione d'impatto sulla protezione dei dati e sorvegliarne lo svolgimento ai sensi dell'articolo 35; d) cooperare con l'autorità di controllo; e e) fungere da punto di contatto per l'autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all'articolo 36, ed effettuare, se del caso, consultazioni relativamente a qualunque altra questione. 2.   Nell'eseguire i propri compiti il responsabile della protezione dei dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del medesimo. Considerando appropriati Considerando 97 - Responsabile Della Protezione Dei Dati Domande frequenti sull'articolo 39 +Quali sono i compiti di un responsabile della protezione dei dati? L'articolo 39 affida all'RPD il compito di fornire consulenza sugli obblighi, sorvegliare la conformità, fornire pareri sulle DPIA, cooperare con l'autorità di controllo e fungere da suo punto di contatto. +L'RPD è responsabile della conformità al GDPR? No. L'RPD sorveglia e fornisce consulenza sulla conformità, ma la responsabilità giuridica della conformità resta del titolare o del responsabile. +Per chi funge da punto di contatto l'RPD? L'RPD è il punto di contatto dell'autorità di controllo e può anche gestire le richieste delle persone sul trattamento dei loro dati e sui loro diritti. Questioni chiave correlate GDPR Sanzioni / Penalità GDPR Registri delle Attività di Trattamento

1.   Gli Stati membri, le autorità di controllo, il comitato e la Commissione incoraggiano l'elaborazione di codici di condotta destinati a contribuire alla corretta applicazione del presente regolamento, in funzione delle specificità dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese. 2.   Le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o responsabili del trattamento possono elaborare i codici di condotta, modificarli o prorogarli, allo scopo di precisare l'applicazione del presente regolamento, ad esempio relativamente a: a) il trattamento corretto e trasparente dei dati; b) i legittimi interessi perseguiti dal responsabile del trattamento in contesti specifici; c) la raccolta dei dati personali; d) la pseudonimizzazione dei dati personali; e) l'informazione fornita al pubblico e agli interessati; f) l'esercizio dei diritti degli interessati; g) l'informazione fornita e la protezione del minore e le modalità con cui è ottenuto il consenso dei titolari della responsabilità genitoriale sul minore; h) le misure e le procedure di cui agli articoli 24 e 25 e le misure volte a garantire la sicurezza del trattamento di cui all'articolo 32; i) la notifica di una violazione dei dati personali alle autorità di controllo e la comunicazione di tali violazioni dei dati personali all'interessato; j) il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali; o k) le procedure stragiudiziali e di altro tipo per comporre le controversie tra titolari del trattamento e interessati in materia di trattamento, fatti salvi i diritti degli interessati ai sensi degli articoli 77 e 79. 3.   Oltre all'adesione ai codici di condotta approvati ai sensi del paragrafo 5 del presente articolo e aventi validità generale a norma del paragrafo 9 del presente articolo da parte di titolari o responsabili soggetti al presente regolamento, possono aderire a tali codici di condotta anche i titolari del trattamento o i responsabili del trattamento che non sono soggetti al presente regolamento ai sensi dell'articolo 3, al fine di fornire adeguate garanzie nel quadro dei trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali alle condizioni di cui all'articolo 46, paragrafo 2, lettera e). Detti titolari del trattamento o responsabili del trattamento assumono l'impegno vincolante e azionabile, mediante strumenti contrattuali o di altro tipo giuridicamente vincolanti, di applicare le stesse adeguate garanzie anche per quanto riguarda i diritti degli interessati. 4.   Il codice di condotta di cui al paragrafo 2 del presente articolo contiene i meccanismi che consentono all'organismo di cui all'articolo 41, paragrafo 1, di effettuare il controllo obbligatorio del rispetto delle norme del codice da parte dei titolari del trattamento o dei responsabili del trattamento che si impegnano ad applicarlo, fatti salvi i compiti e i poteri delle autorità di controllo competenti ai sensi degli articoli 55 o 56. 5.   Le associazioni e gli altri organismi di cui al paragrafo 2 del presente articolo che intendono elaborare un codice di condotta o modificare o prorogare un codice esistente sottopongono il progetto di codice, la modifica o la proroga all'autorità di controllo competente ai sensi dell'articolo 55. L'autorità di controllo esprime un parere sulla conformità al presente regolamento del progetto di codice, della modifica o della proroga e approva tale progetto, modifica o proroga, se ritiene che offra in misura sufficiente garanzie adeguate. 6.   Qualora il progetto di codice, la modifica o la proroga siano approvati ai sensi dell'articolo 55, e se il codice di condotta in questione non si riferisce alle attività di trattamento in vari Stati membri, l'autorità di controllo registra e pubblica il codice. 7.   Qualora il progetto di codice di condotta si riferisca alle attività di trattamento in vari Stati membri, prima di approvare il progetto, la modifica o la proroga, l'autorità di controllo che è competente ai sensi dell'articolo 55 lo sottopone, tramite la procedura di cui all'articolo 63, al comitato, il quale formula un parere sulla conformità al presente regolamento del progetto di codice, della modifica o della proroga o, nel caso di cui al paragrafo 3 del presente articolo, sulla previsione di adeguate garanzie. 8.   Qualora il parere di cui al paragrafo 7 confermi che il progetto di codice di condotta, la modifica o la proroga è conforme al presente regolamento o, nel caso di cui al paragrafo 3, fornisce adeguate garanzie, il comitato trasmette il suo parere alla Commissione. 9.   La Commissione può decidere, mediante atti di esecuzione, che il codice di condotta, la modifica o la proroga approvati, che le sono stati sottoposti ai sensi del paragrafo 8 del presente articolo, hanno validità generale all'interno dell'Unione. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2. 10.   La Commissione provvede a dare un'adeguata pubblicità dei codici approvati per i quali è stata decisa la validità generale ai sensi del paragrafo 9. 11.   Il comitato raccoglie in un registro tutti i codici di condotta, le modifiche e le proroghe approvati e li rende pubblici mediante mezzi appropriati. Considerando appropriati Considerando 98 - Elaborazione Dei Codici Di Condotta Da Parte Di Organizzazioni E AssociazioniConsiderando 99 - Consultazione Delle Parti Interessate E Degli Interessati Nello Sviluppo Dei Codici Di Condotta Domande frequenti sull'articolo 40 +Cosa sono i codici di condotta secondo il GDPR? L'articolo 40 incoraggia le associazioni a elaborare codici di condotta che precisino come si applica il GDPR in un settore, aiutando le organizzazioni a dimostrare conformità e buone prassi. +Come aiutano i codici di condotta nella conformità al GDPR? L'adesione a un codice approvato può servire a dimostrare il rispetto di obblighi come la sicurezza e la responsabilizzazione e segnala un impegno verso le buone prassi. +Chi approva un codice di condotta del GDPR? I codici sono sottoposti all'autorità di controllo competente per l'approvazione, e quelli di rilevanza transfrontaliera coinvolgono il Comitato europeo per la protezione dei dati. Questioni chiave correlate GDPR Privacy by Design GDPR Paesi terzi

1.   Fatti salvi i compiti e i poteri dell'autorità di controllo competente di cui agli articoli 57 e 58, il controllo della conformità con un codice di condotta ai sensi dell'articolo 40 può essere effettuato da un organismo in possesso del livello adeguato di competenze riguardo al contenuto del codice e del necessario accreditamento a tal fine dell'autorità di controllo competente. 2.   L'organismo di cui al paragrafo 1 può essere accreditato a monitorare l'osservanza di un codice di condotta se esso ha: a) dimostrato in modo convincente all'autorità di controllo competente di essere indipendente e competente riguardo al contenuto del codice; b) istituito procedure che gli consentono di valutare l'ammissibilità dei titolari del trattamento e dei responsabili del trattamento in questione ad applicare il codice, di controllare che detti titolari e responsabili ne rispettino le disposizioni e di riesaminarne periodicamente il funzionamento; c) istituito procedure e strutture atte a gestire i reclami relativi a violazioni del codice o il modo in cui il codice è stato o è attuato da un titolare del trattamento o un responsabile del trattamento e a rendere dette procedure e strutture trasparenti per gli interessati e il pubblico; e d) dimostrato in modo convincente all'autorità di controllo competente che i compiti e le funzioni da esso svolti non danno adito a conflitto di interessi. 3.   L'autorità di controllo competente presenta al comitato il progetto di criteri per l'accreditamento dell'organismo di cui al paragrafo 1 del presente articolo, ai sensi del meccanismo di coerenza di cui all'articolo 63. 4.   Fatti salvi i compiti e i poteri dell'autorità di controllo competente e le disposizioni del capo VIII, un organismo di cui al paragrafo 1 del presente articolo adotta, stanti garanzie appropriate, le opportune misure in caso di violazione del codice da parte di un titolare del trattamento o responsabile del trattamento, tra cui la sospensione o l'esclusione dal codice del titolare del trattamento o del responsabile del trattamento. Esso informa l'autorità di controllo competente di tali misure e dei motivi della loro adozione. 5.   L'autorità di controllo competente revoca l'accreditamento dell'organismo di cui al paragrafo 1, se le condizioni per l'accreditamento non sono, o non sono più, rispettate o se le misure adottate dall'organismo violano il presente regolamento. 6.   Il presente articolo non si applica al trattamento effettuato da autorità pubbliche e da organismi pubblici. Considerando appropriati Considerando 77 – Linee Guida Per La Valutazione Del Rischio Considerando 81 – L’Uso Dei Responsabili Del Trattamento Dei Dati Considerando 98 – Elaborazione Dei Codici Di Condotta Da Parte Di Organizzazioni E Associazioni Considerando 99 – Consultazione Delle Parti Interessate E Degli Interessati Nello Sviluppo Dei Codici Di Condotta Domande frequenti sull'articolo 41 +Chi monitora il rispetto dei codici di condotta del GDPR? L'articolo 41 consente a un organismo accreditato con competenze adeguate di monitorare il rispetto di un codice approvato, in aggiunta ai poteri dell'autorità di controllo. +Cosa succede se un'organizzazione viola un codice di condotta? L'organismo di monitoraggio può adottare misure, compresa la sospensione o l'esclusione dell'organizzazione dal codice, e deve informare l'autorità di controllo di tali misure. +Gli organismi di monitoraggio sostituiscono le autorità di controllo? No. Gli organismi di monitoraggio integrano ma non sostituiscono l'autorità di controllo, che conserva tutti i suoi poteri di applicazione ai sensi del GDPR. Questioni chiave correlate Valutazione d’Impatto sulla Privacy GDPR GDPR Registri delle Attività di Trattamento

1.   Gli Stati membri, le autorità di controllo, il comitato e la Commissione incoraggiano, in particolare a livello di Unione, l'istituzione di meccanismi di certificazione della protezione dei dati nonché di sigilli e marchi di protezione dei dati allo scopo di dimostrare la conformità al presente regolamento dei trattamenti effettuati dai titolari del trattamento e dai responsabili del trattamento. Sono tenute in considerazione le esigenze specifiche delle micro, piccole e medie imprese. 2.   Oltre all'adesione dei titolari del trattamento o dei responsabili del trattamento soggetti al presente regolamento, i meccanismi, i sigilli o i marchi approvati ai sensi del paragrafo 5 del presente articolo, possono essere istituiti al fine di dimostrare la previsione di garanzie appropriate da parte dei titolari del trattamento o responsabili del trattamento non soggetti al presente regolamento ai sensi dell'articolo 3, nel quadro dei trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali alle condizioni di cui all'articolo 46, paragrafo 2, lettera f). Detti titolari del trattamento o responsabili del trattamento assumono l'impegno vincolante e azionabile, mediante strumenti contrattuali o di altro tipo giuridicamente vincolanti, di applicare le stesse adeguate garanzie anche per quanto riguarda i diritti degli interessati. 3.   La certificazione è volontaria e accessibile tramite una procedura trasparente. 4.   La certificazione ai sensi del presente articolo non riduce la responsabilità del titolare del trattamento o del responsabile del trattamento riguardo alla conformità al presente regolamento e lascia impregiudicati i compiti e i poteri delle autorità di controllo competenti a norma degli articoli 55 o 56. 5.   La certificazione ai sensi del presente articolo è rilasciata dagli organismi di certificazione di cui all'articolo 43 o dall'autorità di controllo competente in base ai criteri approvati da tale autorità di controllo competente ai sensi dell'articolo 58, paragrafo 3, o dal comitato, ai sensi dell'articolo 63. Ove i criteri siano approvati dal comitato, ciò può risultare in una certificazione comune, il sigillo europeo per la protezione dei dati. 6.   Il titolare del trattamento o il responsabile del trattamento che sottopone il trattamento effettuato al meccanismo di certificazione fornisce all'organismo di certificazione di cui all'articolo 43 o, ove applicabile, all'autorità di controllo competente tutte le informazioni e l'accesso alle attività di trattamento necessarie a espletare la procedura di certificazione. 7.   La certificazione è rilasciata al titolare del trattamento o responsabile del trattamento per un periodo massimo di tre anni e può essere rinnovata alle stesse condizioni purché continuino a essere soddisfatti i requisiti pertinenti. La certificazione è revocata, se del caso, dagli organismi di certificazione di cui all'articolo 43 o dall'autorità di controllo competente, a seconda dei casi, qualora non siano o non siano più soddisfatti i requisiti per la certificazione. 8.   Il comitato raccoglie in un registro tutti i meccanismi di certificazione e i sigilli e i marchi di protezione dei dati e li rende pubblici con qualsiasi mezzo appropriato. Considerando appropriati Considerando 100 - Certificazione Domande frequenti sull'articolo 42 +Cos'è la certificazione del GDPR secondo l'articolo 42? L'articolo 42 promuove meccanismi di certificazione, sigilli e marchi che consentono alle organizzazioni di dimostrare la conformità dei loro trattamenti al GDPR. +La certificazione del GDPR prova la piena conformità? No. La certificazione aiuta a dimostrare la conformità ma non riduce la responsabilità del titolare o del responsabile, che restano pienamente responsabili ai sensi del GDPR. +La certificazione del GDPR è obbligatoria? No. La certificazione è volontaria e si ottiene con un processo trasparente; funge da strumento per mostrare buone prassi e creare fiducia. Questioni chiave correlate GDPR Crittografia Valutazione d’Impatto sulla Privacy GDPR

1.   Fatti salvi i compiti e i poteri dell'autorità di controllo competente di cui agli articoli 57 e 58, gli organismi di certificazione in possesso del livello adeguato di competenze riguardo alla protezione dei dati, rilasciano e rinnovano la certificazione, dopo averne informato l'autorità di controllo al fine di consentire alla stessa di esercitare i suoi poteri a norma dell'articolo 58, paragrafo 2, lettera h), ove necessario. Gli Stati membri garantiscono che tali organismi di certificazione siano accreditati da uno o entrambi dei seguenti organismi: a) dall'autorità di controllo competente ai sensi degli articoli 55 o 56; b) dall'organismo nazionale di accreditamento designato in virtù del regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio  conformemente alla norma EN-ISO/IEC 17065/2012 e ai requisiti aggiuntivi stabiliti dall'autorità di controllo competente ai sensi degli articoli 55 o 56. 2.   Gli organismi di certificazione di cui al paragrafo 1 sono accreditati in conformità di tale paragrafo solo se: a) hanno dimostrato in modo convincente all'autorità di controllo competente di essere indipendenti e competenti riguardo al contenuto della certificazione; b) si sono impegnati a rispettare i criteri di cui all'articolo 42, paragrafo 5, e approvati dall'autorità di controllo competente ai sensi degli articoli 55 o 56 o dal comitato, ai sensi dell'articolo 63; c) hanno istituito procedure per il rilascio, il riesame periodico e il ritiro delle certificazioni, dei sigilli e dei marchi di protezione dei dati; d) hanno istituito procedure e strutture atte a gestire i reclami relativi a violazioni della certificazione o il modo in cui la certificazione è stata o è attuata dal titolare del trattamento o dal responsabile del trattamento e a rendere dette procedure e strutture trasparenti per gli interessati e il pubblico; e e) hanno dimostrato in modo convincente all'autorità di controllo competente che i compiti e le funzioni da loro svolti non danno adito a conflitto di interessi. 3.   L'accreditamento degli organi di certificazione di cui ai paragrafi 1 e 2 del presente articolo ha luogo in base ai criteri approvati dall'autorità di controllo competente ai sensi degli articoli 55 o 56 o dal comitato, ai sensi dell'articolo 63. In caso di accreditamento ai sensi del paragrafo 1, lettera b), del presente articolo, tali requisiti integrano quelli previsti dal regolamento (CE) n. 765/2008 nonché le norme tecniche che definiscono i metodi e le procedure degli organismi di certificazione. 4.   Gli organismi di certificazione di cui al paragrafo 1 sono responsabili della corretta valutazione che comporta la certificazione o la revoca di quest'ultima, fatta salva la responsabilità del titolare del trattamento o del responsabile del trattamento riguardo alla conformità al presente regolamento. L'accreditamento è rilasciato per un periodo massimo di cinque anni e può essere rinnovato alle stesse condizioni purché l'organismo di certificazione soddisfi i requisiti. 5.   L'organismo di certificazione di cui al paragrafo 1 trasmette all'autorità di controllo competente i motivi del rilascio o della revoca della certificazione richiesta. 6.   I requisiti di cui al paragrafo 3 del presente articolo e i criteri di cui all'articolo 42, paragrafo 5, sono resi pubblici dall'autorità di controllo in forma facilmente accessibile. Le autorità di controllo provvedono a trasmetterli anche al comitato. Il comitato raccoglie in un registro tutti i meccanismi di certificazione e i sigilli di protezione dei dati e li rende pubblici con qualsiasi mezzo appropriato. 7.   Fatto salvo il capo VIII, l'autorità di controllo competente o l'organismo nazionale di accreditamento revoca l'accreditamento di un organismo di certificazione di cui al paragrafo 1 del presente articolo, se le condizioni per l'accreditamento non sono, o non sono più, rispettate o se le misure adottate da un organismo di certificazione violano il presente regolamento. 8.   Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 92 al fine di precisare i requisiti di cui tenere conto per i meccanismi di certificazione della protezione dei dati di cui all'articolo 42, paragrafo 1. 9.   La Commissione può adottare atti di esecuzione per stabilire norme tecniche riguardanti i meccanismi di certificazione e i sigilli e marchi di protezione dei dati e le modalità per promuovere e riconoscere tali meccanismi di certificazione, i sigilli e marchi di protezione dei dati. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2. Considerando appropriati Considerando 77 – Linee Guida Per La Valutazione Del Rischio Considerando 81 – L’Uso Dei Responsabili Del Trattamento Dei Dati Considerando 98 – Elaborazione Dei Codici Di Condotta Da Parte Di Organizzazioni E Associazioni Considerando 99 – Consultazione Delle Parti Interessate E Degli Interessati Nello Sviluppo Dei Codici Di Condotta Considerando 100 – Certificazione Considerando 148 – Sanzioni Domande frequenti sull'articolo 43 +Cosa sono gli organismi di certificazione secondo il GDPR? L'articolo 43 stabilisce che gli organismi di certificazione accreditati possono rilasciare, rinnovare e revocare le certificazioni del GDPR, purché abbiano le competenze adeguate e soddisfino i requisiti di accreditamento. +Chi accredita gli organismi di certificazione del GDPR? Gli organismi di certificazione sono accreditati dall'autorità di controllo o dall'organismo nazionale di accreditamento, sulla base di criteri approvati dall'autorità competente. +Una certificazione può essere revocata? Sì. Un organismo di certificazione deve revocare una certificazione quando i requisiti non sono più soddisfatti, e anche le autorità di controllo possono ordinarne la revoca. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Registri delle Attività di Trattamento

Qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un'organizzazione internazionale, compresi trasferimenti successivi di dati personali da un paese terzo o un'organizzazione internazionale verso un altro paese terzo o un'altra organizzazione internazionale, ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento. Tutte le disposizioni del presente capo sono applicate al fine di assicurare che il livello di protezione delle persone fisiche garantito dal presente regolamento non sia pregiudicato. Considerando appropriati Considerando 101 - Principi Generali Per I Trasferimenti Internazionali Di DatiConsiderando 102 - Accordi Internazionali Per Un Adeguato Livello Di Protezione Dei Dati Domande frequenti sull'articolo 44 +Qual è il principio generale dei trasferimenti internazionali secondo il GDPR? L'articolo 44 dispone che i dati possono essere trasferiti fuori dall'UE solo se sono soddisfatte le condizioni del capo 5, in modo che il livello di protezione garantito dal GDPR non sia pregiudicato. +I dati personali possono lasciare l'UE secondo il GDPR? Sì, ma solo in presenza di una decisione di adeguatezza, di garanzie adeguate o di una deroga applicabile. Il livello di protezione deve restare essenzialmente equivalente a quello del GDPR. +Cos'è un trasferimento soggetto a condizioni secondo il GDPR? È un trasferimento di dati verso un paese o un'organizzazione fuori dall'UE o dal SEE, lecito solo se è in essere un meccanismo di trasferimento del capo 5. Questioni chiave correlate Valutazione d’Impatto sulla Privacy GDPR GDPR Registri delle Attività di Trattamento GDPR Paesi terzi

1.   Il trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale è ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all'interno del paese terzo, o l'organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche. 2.   Nel valutare l'adeguatezza del livello di protezione, la Commissione prende in considerazione in particolare i seguenti elementi: a) lo stato di diritto, il rispetto dei diritti umani e delle libertà fondamentali, la pertinente legislazione generale e settoriale (anche in materia di sicurezza pubblica, difesa, sicurezza nazionale, diritto penale e accesso delle autorità pubbliche ai dati personali), così come l'attuazione di tale legislazione, le norme in materia di protezione dei dati, le norme professionali e le misure di sicurezza, comprese le norme per il trasferimento successivo dei dati personali verso un altro paese terzo o un'altra organizzazione internazionale osservate nel paese o dall'organizzazione internazionale in questione, la giurisprudenza nonché i diritti effettivi e azionabili degli interessati e un ricorso effettivo in sede amministrativa e giudiziaria per gli interessati i cui dati personali sono oggetto di trasferimento; b) l'esistenza e l'effettivo funzionamento di una o più autorità di controllo indipendenti nel paese terzo o cui è soggetta un'organizzazione internazionale, con competenza per garantire e controllare il rispetto delle norme in materia di protezione dei dati, comprensiva di adeguati poteri di esecuzione, per assistere e fornire consulenza agli interessati in merito all'esercizio dei loro diritti e cooperare con le autorità di controllo degli Stati membri; e c) gli impegni internazionali assunti dal paese terzo o dall'organizzazione internazionale in questione o altri obblighi derivanti da convenzioni o strumenti giuridicamente vincolanti come pure dalla loro partecipazione a sistemi multilaterali o regionali, in particolare in relazione alla protezione dei dati personali. 3.   La Commissione, previa valutazione dell'adeguatezza del livello di protezione, può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale garantiscono un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo. L'atto di esecuzione prevede un meccanismo di riesame periodico, almeno ogni quattro anni, che tenga conto di tutti gli sviluppi pertinenti nel paese terzo o nell'organizzazione internazionale. L'atto di esecuzione specifica il proprio ambito di applicazione geografico e settoriale e, ove applicabile, identifica la o le autorità di controllo di cui al paragrafo 2, lettera b), del presente articolo. L'atto di esecuzione è adottato secondo la procedura d'esame di cui all'articolo 93, paragrafo 2. 4.   La Commissione controlla su base continuativa gli sviluppi nei paesi terzi e nelle organizzazioni internazionali che potrebbero incidere sul funzionamento delle decisioni adottate a norma del paragrafo 3 del presente articolo e delle decisioni adottate sulla base dell'articolo 25, paragrafo 6, della direttiva 95/46/CE. 5.   Se risulta dalle informazioni disponibili, in particolare in seguito al riesame di cui al paragrafo 3 del presente articolo, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale non garantiscono più un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, la Commissione revoca, modifica o sospende nella misura necessaria la decisione di cui al paragrafo 3 del presente articolo mediante atti di esecuzione senza effetto retroattivo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2, o, in casi di estrema urgenza, secondo la procedura di cui all'articolo 93, paragrafo 3. Per imperativi motivi di urgenza debitamente giustificati, la Commissione adotta atti di esecuzione immediatamente applicabili secondo la procedura di cui all'articolo 93, paragrafo 3. 6.   La Commissione avvia consultazioni con il paese terzo o l'organizzazione internazionale per porre rimedio alla situazione che ha motivato la decisione di cui al paragrafo 5. 7.   Una decisione ai sensi del paragrafo 5 del presente articolo lascia impregiudicato il trasferimento di dati personali verso il paese terzo, il territorio o uno o più settori specifici all'interno del paese terzo, o verso l'organizzazione internazionale in questione, a norma degli articoli da 46 a 49. 8.   La Commissione pubblica nella Gazzetta ufficiale dell'Unione europea e sul suo sito web l'elenco dei paesi terzi, dei territori e settori specifici all'interno di un paese terzo, e delle organizzazioni internazionali per i quali ha deciso che è o non è più garantito un livello di protezione adeguato. 9.   Le decisioni adottate dalla Commissione in base all'articolo 25, paragrafo 6, della direttiva 95/46/CE restano in vigore fino a quando non sono modificate, sostituite o abrogate da una decisione della Commissione adottata conformemente al paragrafo 3 o 5 del presente articolo. Considerando appropriati Considerando 103 - Livello Appropriato Di Protezione Dei Dati Basato Su Una Decisione Di AdeguatezzaConsiderando 104 - Criteri Per Una Decisione Di AdeguatezzaConsiderando 105 - Considerazione Degli Accordi Internazionali Per Una Decisione Di AdeguatezzaConsiderando 106 - Monitoraggio E Revisione Periodica Del Livello Di Protezione Dei DatiConsiderando 107 - Modifica, Revoca E Sospensione Delle Decisioni Di Adeguatezza Domande frequenti sull'articolo 45 +Cos'è una decisione di adeguatezza secondo il GDPR? Una decisione di adeguatezza è un accertamento della Commissione europea secondo cui un paese terzo offre un livello adeguato di protezione dei dati, consentendo il trasferimento senza garanzie aggiuntive. +Quali paesi hanno una decisione di adeguatezza dell'UE? Diversi paesi dispongono di decisioni di adeguatezza, tra cui il Regno Unito, la Svizzera, il Giappone e altri. L'elenco è tenuto e riesaminato dalla Commissione europea e può cambiare nel tempo. +Servono garanzie aggiuntive per trasferire verso un paese adeguato? No. Quando una decisione di adeguatezza copre la destinazione, i trasferimenti possono avvenire liberamente senza garanzie aggiuntive come le clausole contrattuali tipo. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Registri delle Attività di Trattamento

1.   In mancanza di una decisione ai sensi dell'articolo 45, paragrafo 3, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un'organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi. 2.   Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte di un'autorità di controllo: a) uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorità pubbliche o organismi pubblici; b) le norme vincolanti d'impresa in conformità dell'articolo 47; c) le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d'esame di cui all'articolo 93, paragrafo 2; d) le clausole tipo di protezione dei dati adottate da un'autorità di controllo e approvate dalla Commissione secondo la procedura d'esame di cui all'articolo 93, paragrafo 2; e) un codice di condotta approvato a norma dell'articolo 40,unitamente all'impegno vincolante ed esecutivo da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati; o f) un meccanismo di certificazione approvato a norma dell'articolo 42, unitamente all'impegno vincolante ed esigibile da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati. 3.   Fatta salva l'autorizzazione dell'autorità di controllo competente, possono altresì costituire in particolare garanzie adeguate di cui al paragrafo 1: a) le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il titolare del trattamento, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell'organizzazione internazionale; o b) le disposizioni da inserire in accordi amministrativi tra autorità pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati. 4.   L'autorità di controllo applica il meccanismo di coerenza di cui all'articolo 63 nei casi di cui al paragrafo 3 del presente articolo. 5.   Le autorizzazioni rilasciate da uno Stato membro o dall'autorità di controllo in base all'articolo 26, paragrafo 2, della direttiva 95/46/CE restano valide fino a quando non vengono modificate, sostituite o abrogate, se necessario, dalla medesima autorità di controllo. Le decisioni adottate dalla Commissione in base all'articolo 26, paragrafo 4, della direttiva 95/46/CE restano in vigore fino a quando non vengono modificate, sostituite o abrogate, se necessario, da una decisione della Commissione adottata conformemente al paragrafo 2 del presente articolo. Considerando appropriati Considerando 108 - Garanzie AppropriateConsiderando 109 - Clausole Standard Di Protezione Dei Dati Domande frequenti sull'articolo 46 +Quali sono le garanzie adeguate per i trasferimenti internazionali? L'articolo 46 consente trasferimenti con garanzie adeguate, come clausole contrattuali tipo, norme vincolanti d'impresa, codici di condotta approvati o meccanismi di certificazione. +Cosa sono le clausole contrattuali tipo (CCT)? Le CCT sono clausole tipo di protezione dei dati approvate dalla Commissione europea che titolari e responsabili possono usare per fornire garanzie adeguate ai trasferimenti fuori dall'UE. +Serve una valutazione d'impatto del trasferimento con le CCT? In pratica, le organizzazioni che usano le CCT devono valutare se le leggi della destinazione pregiudicano le garanzie e aggiungere misure supplementari ove necessario. Questioni chiave correlate GDPR Registri delle Attività di Trattamento GDPR Paesi terzi

1.   L'autorità di controllo competente approva le norme vincolanti d'impresa in conformità del meccanismo di coerenza di cui all'articolo 63, a condizione che queste: a) siano giuridicamente vincolanti e si applichino a tutti i membri interessati del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune, compresi i loro dipendenti; b) conferiscano espressamente agli interessati diritti azionabili in relazione al trattamento dei loro dati personali; e c) soddisfino i requisiti di cui al paragrafo 2. 2.   Le norme vincolanti d'impresa di cui al paragrafo 1 specificano almeno: a) la struttura e le coordinate di contatto del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune e di ciascuno dei suoi membri; b) i trasferimenti o il complesso di trasferimenti di dati, in particolare le categorie di dati personali, il tipo di trattamento e relative finalità, il tipo di interessati cui si riferiscono i dati e l'identificazione del paese terzo o dei paesi terzi in questione; c) la loro natura giuridicamente vincolante, a livello sia interno che esterno; d) l'applicazione dei principi generali di protezione dei dati, in particolare in relazione alla limitazione della finalità, alla minimizzazione dei dati, alla limitazione del periodo di conservazione, alla qualità dei dati, alla protezione fin dalla progettazione e alla protezione per impostazione predefinita, alla base giuridica del trattamento e al trattamento di categorie particolari di dati personali, le misure a garanzia della sicurezza dei dati e i requisiti per i trasferimenti successivi ad organismi che non sono vincolati dalle norme vincolanti d'impresa; e) i diritti dell'interessato in relazione al trattamento e i mezzi per esercitarli, compresi il diritto di non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione ai sensi dell'articolo 22, il diritto di proporre reclamo all'autorità di controllo competente e di ricorrere alle autorità giurisdizionali competenti degli Stati membri conformemente all'articolo 79, e il diritto di ottenere riparazione e, se del caso, il risarcimento per violazione delle norme vincolanti d'impresa; f) il fatto che il titolare del trattamento o il responsabile del trattamento stabilito nel territorio di uno Stato membro si assume la responsabilità per qualunque violazione delle norme vincolanti d'impresa commesse da un membro interessato non stabilito nell'Unione; il titolare del trattamento o il responsabile del trattamento può essere esonerato in tutto o in parte da tale responsabilità solo se dimostra che l'evento dannoso non è imputabile al membro in questione; g) le modalità in base alle quali sono fornite all'interessato le informazioni sulle norme vincolanti d'impresa, in particolare sulle disposizioni di cui alle lettere d), e) e f), in aggiunta alle informazioni di cui agli articoli 13 e 14; h) i compiti di qualunque responsabile della protezione dei dati designato ai sensi dell'articolo 35 o di ogni altra persona o entità incaricata del controllo del rispetto delle norme vincolanti d'impresa all'interno del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune e il controllo della formazione e della gestione dei reclami; i) le procedure di reclamo; j) i meccanismi all'interno del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune per garantire la verifica della conformità alle norme vincolanti d'impresa. Tali meccanismi comprendono verifiche sulla protezione dei dati e metodi per assicurare provvedimenti correttivi intesi a proteggere i diritti dell'interessato. I risultati di tale verifica dovrebbero essere comunicati alla persona o entità di cui alla lettera h) e all'organo amministrativo dell'impresa controllante del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune e dovrebbero essere disponibili su richiesta all'autorità di controllo competente; k) i meccanismi per riferire e registrare le modifiche delle norme e comunicarle all'autorità di controllo; l) il meccanismo di cooperazione con l'autorità di controllo per garantire la conformità da parte di ogni membro del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune, in particolare la messa a disposizione dell'autorità di controllo dei risultati delle verifiche delle misure di cui alla lettera j); m) i meccanismi per segnalare all'autorità di controllo competente ogni requisito di legge cui è soggetto un membro del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune in un paese terzo che potrebbe avere effetti negativi sostanziali sulle garanzie fornite dalle norme vincolanti d'impresa; e n) l'appropriata formazione in materia di protezione dei dati al personale che ha accesso permanente o regolare ai dati personali. 3.   La Commissione può specificare il formato e le procedure per lo scambio di informazioni tra titolari del trattamento, responsabili del trattamento e autorità di controllo in merito alle norme vincolanti d'impresa ai sensi del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2. Considerando appropriati Considerando 110 - Norme Vincolanti D'Impresa Domande frequenti sull'articolo 47 +Cosa sono le norme vincolanti d'impresa (BCR) secondo il GDPR? L'articolo 47 consente ai gruppi multinazionali di trasferire dati al loro interno mediante norme vincolanti d'impresa, ossia politiche interne di protezione dei dati approvate da un'autorità di controllo. +Chi può usare le norme vincolanti d'impresa? Le BCR sono usate da gruppi imprenditoriali o da gruppi di imprese che svolgono un'attività economica comune per consentire i trasferimenti di dati all'interno del gruppo oltre frontiera. +Come vengono approvate le norme vincolanti d'impresa? Le BCR devono essere approvate dall'autorità di controllo competente nell'ambito del meccanismo di coerenza con la partecipazione del Comitato europeo per la protezione dei dati. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Diritto di essere informati

Le sentenze di un'autorità giurisdizionale e le decisioni di un'autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l'Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo. Considerando appropriati Considerando 115 - Norme Nei Paesi Terzi In Contrasto Con Il Regolamento Domande frequenti sull'articolo 48 +Cosa dice l'articolo 48 del GDPR sulle decisioni giudiziarie straniere? L'articolo 48 prevede che una sentenza o decisione di un'autorità di un paese terzo che imponga un trasferimento è riconosciuta solo se basata su un accordo internazionale, come un trattato di assistenza giudiziaria reciproca. +Un'azienda può consegnare dati dell'UE ad autorità straniere? Non sulla sola base di una decisione giudiziaria straniera. La comunicazione deve basarsi su un accordo internazionale, altrimenti la richiesta va valutata secondo le regole sui trasferimenti del GDPR. +Perché l'articolo 48 è importante per le imprese globali? Limita il modo in cui le organizzazioni rispondono alle richieste di governi e tribunali stranieri su dati dell'UE, aiutando a prevenire conflitti tra legge locale e obblighi del GDPR. Questioni chiave correlate GDPR Sanzioni / Penalità GDPR Paesi terzi

1.   In mancanza di una decisione di adeguatezza ai sensi dell'articolo 45, paragrafo 3, o di garanzie adeguate ai sensi dell'articolo 46, comprese le norme vincolanti d'impresa, è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale soltanto se si verifica una delle seguenti condizioni: a) l'interessato abbia esplicitamente acconsentito al trasferimento proposto, dopo essere stato informato dei possibili rischi di siffatti trasferimenti per l'interessato, dovuti alla mancanza di una decisione di adeguatezza e di garanzie adeguate; b) il trasferimento sia necessario all'esecuzione di un contratto concluso tra l'interessato e il titolare del trattamento ovvero all'esecuzione di misure precontrattuali adottate su istanza dell'interessato; c) il trasferimento sia necessario per la conclusione o l'esecuzione di un contratto stipulato tra il titolare del trattamento e un'altra persona fisica o giuridica a favore dell'interessato; d) il trasferimento sia necessario per importanti motivi di interesse pubblico; e) il trasferimento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria; f) il trasferimento sia necessario per tutelare gli interessi vitali dell'interessato o di altre persone, qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso; g) il trasferimento sia effettuato a partire da un registro che, a norma del diritto dell'Unione o degli Stati membri, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, solo a condizione che sussistano i requisiti per la consultazione previsti dal diritto dell'Unione o degli Stati membri. Se non è possibile basare il trasferimento su una disposizione dell'articolo 45 o 46, comprese le disposizioni sulle norme vincolanti d'impresa, e nessuna delle deroghe in specifiche situazioni a norma del primo comma del presente paragrafo è applicabile, il trasferimento verso un paese terzo o un'organizzazione internazionale sia ammesso soltanto se non è ripetitivo, riguarda un numero limitato di interessati, è necessario per il perseguimento degli interessi legittimi cogenti del titolare del trattamento, su cui non prevalgano gli interessi o i diritti e le libertà dell'interessato, e qualora il titolare e del trattamento abbia valutato tutte le circostanze relative al trasferimento e sulla base di tale valutazione abbia fornito garanzie adeguate relativamente alla protezione dei dati personali. Il titolare del trattamento informa del trasferimento l'autorità di controllo. In aggiunta alla fornitura di informazioni di cui agli articoli 13 e 14, il titolare del trattamento informa l'interessato del trasferimento e degli interessi legittimi cogenti perseguiti. 2.   Il trasferimento di cui al paragrafo 1, primo comma, lettera g), non può riguardare la totalità dei dati personali o intere categorie di dati personali contenute nel registro. Se il registro è destinato a essere consultato da persone aventi un legittimo interesse, il trasferimento è ammesso soltanto su richiesta di tali persone o qualora tali persone ne siano i destinatari. 3.   Il primo comma, lettere a), b) e c), e il secondo comma del paragrafo 1 non si applicano alle attività svolte dalle autorità pubbliche nell'esercizio dei pubblici poteri. 4.   L'interesse pubblico di cui al paragrafo 1, primo comma, lettera d), è riconosciuto dal diritto dell'Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento. 5.   In mancanza di una decisione di adeguatezza, il diritto dell'Unione o degli Stati membri può, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un'organizzazione internazionale. Gli Stati membri notificano tali disposizioni alla Commissione. 6.   Il titolare del trattamento o il responsabile del trattamento attesta nel registro di cui all'articolo 30 la valutazione e le garanzie adeguate di cui al paragrafo 1, secondo comma, del presente articolo. Considerando appropriati Considerando 111 - Eccezioni Per Determinati Casi Di Trasferimenti InternazionaliConsiderando 112 - Trasferimenti Di Dati Per Importanti Motivi Di Interesse PubblicoConsiderando 113 - Trasferimenti Qualificati Come Non Ripetitivi Che Riguardano Solo Un Numero Limitato Di Soggetti InteressatiConsiderando 114 - Tutela Dell'Efficacia Dei Diritti E Degli Obblighi In Assenza Di Una Decisione Di AdeguatezzaConsiderando 115 - Norme Nei Paesi Terzi In Contrasto Con Il Regolamento Domande frequenti sull'articolo 49 +Quali sono le deroghe per i trasferimenti internazionali di dati? L'articolo 49 consente trasferimenti in situazioni specifiche senza adeguatezza né garanzie, come il consenso esplicito, l'esecuzione di un contratto, un rilevante interesse pubblico o pretese in giudizio. +Posso trasferire dati all'estero sulla base del consenso? Sì. Il consenso esplicito è una deroga dell'articolo 49, purché la persona sia informata dei possibili rischi del trasferimento dovuti all'assenza di adeguatezza o garanzie. +Le deroghe dell'articolo 49 sono pensate per trasferimenti regolari? No. Le deroghe sono pensate per trasferimenti occasionali e non ripetitivi, non come base abituale per flussi internazionali continui. Questioni chiave correlate Consenso GDPR GDPR Registri delle Attività di Trattamento

In relazione ai paesi terzi e alle organizzazioni internazionali, la Commissione e le autorità di controllo adottano misure appropriate per: a) sviluppare meccanismi di cooperazione internazionale per facilitare l'applicazione efficace della legislazione sulla protezione dei dati personali; b) prestare assistenza reciproca a livello internazionale nell'applicazione della legislazione sulla protezione dei dati personali, in particolare mediante notificazione, deferimento dei reclami, assistenza alle indagini e scambio di informazioni, fatte salve garanzie adeguate per la protezione dei dati personali e gli altri diritti e libertà fondamentali; c) coinvolgere le parti interessate pertinenti in discussioni e attività dirette a promuovere la cooperazione internazionale nell'applicazione della legislazione sulla protezione dei dati personali; d) promuovere lo scambio e la documentazione delle legislazioni e prassi in materia di protezione dei dati personali, compresi i conflitti di giurisdizione con paesi terzi. Considerando appropriati Considerando 116 - Cooperazione Tra Le Autorità Di Controllo Domande frequenti sull'articolo 50 +Cosa promuove l'articolo 50 del GDPR? L'articolo 50 incoraggia la Commissione e le autorità di controllo a sviluppare meccanismi di cooperazione internazionale per facilitare l'applicazione efficace delle normative sulla protezione dei dati. +Come sostiene il GDPR la cooperazione globale in materia di protezione dei dati? Promuove l'assistenza reciproca, la cooperazione internazionale nell'applicazione delle norme e lo scambio di buone prassi per proteggere i dati oltre frontiera. +L'articolo 50 crea obblighi vincolanti? L'articolo 50 è in gran parte programmatico: orienta le autorità a favorire la cooperazione senza imporre obblighi vincolanti specifici alle organizzazioni. Questioni chiave correlate GDPR Sanzioni / Penalità GDPR Registri delle Attività di Trattamento

1.   Ogni Stato membro dispone che una o più autorità pubbliche indipendenti siano incaricate di sorvegliare l'applicazione del presente regolamento al fine di tutelare i diritti e le libertà fondamentali delle persone fisiche con riguardo al trattamento e di agevolare la libera circolazione dei dati personali all'interno dell'Unione (l'«autorità di controllo»). 2.   Ogni autorità di controllo contribuisce alla coerente applicazione del presente regolamento in tutta l'Unione. A tale scopo, le autorità di controllo cooperano tra loro e con la Commissione, conformemente al capo VII. 3.   Qualora in uno Stato membro siano istituite più autorità di controllo, detto Stato membro designa l'autorità di controllo che rappresenta tali autorità nel comitato e stabilisce il meccanismo in base al quale le altre autorità si conformano alle norme relative al meccanismo di coerenza di cui all'articolo 63. 4.   Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del presente capo al più tardi entro 25 maggio 2018, e comunica senza ritardo ogni successiva modifica. Considerando appropriati Considerando 117 - Istituzione Delle Autorità Di ControlloConsiderando 118 - Monitoraggio Delle Autorità Di ControlloConsiderando 119 - Organizzazione Di Diverse Autorità Di Controllo Di Uno Stato MembroConsiderando 120 - Caratteristiche Delle Autorità Di Controllo Domande frequenti sull'articolo 51 +Cos'è un'autorità di controllo secondo il GDPR? L'articolo 51 impone a ciascuno Stato membro di istituire una o più autorità pubbliche indipendenti incaricate di sorvegliare e far applicare il GDPR nel proprio territorio. +Cosa fa un'autorità di protezione dei dati? Un'autorità di controllo sorveglia la conformità, gestisce i reclami, conduce indagini e può imporre misure correttive e sanzioni per le violazioni del GDPR. +Quante autorità di controllo può avere un paese? Uno Stato membro può istituire più di un'autorità di controllo; in tal caso deve designarne una a rappresentarlo nel Comitato europeo per la protezione dei dati. Questioni chiave correlate Valutazione d’Impatto sulla Privacy GDPR GDPR Registri delle Attività di Trattamento

1.   Ogni autorità di controllo agisce in piena indipendenza nell'adempimento dei propri compiti e nell'esercizio dei propri poteri conformemente al presente regolamento. 2.   Nell'adempimento dei rispettivi compiti e nell'esercizio dei rispettivi poteri previsti dal presente regolamento, il membro o i membri di ogni autorità di controllo non subiscono pressioni esterne, né dirette, né indirette, e non sollecitano né accettano istruzioni da alcuno. 3.   Il membro o i membri dell'autorità di controllo si astengono da qualunque azione incompatibile con le loro funzioni e per tutta la durata del mandato non possono esercitare alcuna altra attività incompatibile, remunerata o meno. 4.   Ogni Stato membro provvede affinché ogni autorità di controllo sia dotata delle risorse umane, tecniche e finanziarie, dei locali e delle infrastrutture necessari per l'effettivo adempimento dei suoi compiti e l'esercizio dei propri poteri, compresi quelli nell'ambito dell'assistenza reciproca, della cooperazione e della partecipazione al comitato. 5.   Ogni Stato membro provvede affinché ogni autorità di controllo selezioni e disponga di proprio personale, soggetto alla direzione esclusiva del membro o dei membri dell'autorità di controllo interessata. 6.   Ogni Stato membro provvede affinché ogni autorità di controllo sia soggetta a un controllo finanziario che non ne pregiudichi l'indipendenza e disponga di bilanci annuali, separati e pubblici, che possono far parte del bilancio generale statale o nazionale. Considerando appropriati Considerando 117 - Istituzione Delle Autorità Di ControlloConsiderando 118 - Monitoraggio Delle Autorità Di ControlloConsiderando 120 - Caratteristiche Delle Autorità Di ControlloConsiderando 121 - Indipendenza Delle Autorità Di Controllo Domande frequenti sull'articolo 52 +Perché le autorità di controllo devono essere indipendenti? L'articolo 52 richiede che le autorità di controllo agiscano in piena indipendenza, libere da influenze esterne, affinché la protezione dei dati sia applicata in modo imparziale ed efficace. +Chi finanzia le autorità di controllo per la protezione dei dati? Gli Stati membri devono dotare ciascuna autorità delle risorse umane, tecniche e finanziarie necessarie ai suoi compiti, preservandone l'indipendenza. +I governi possono dare istruzioni a un'autorità di controllo? No. I membri di un'autorità di controllo devono restare liberi da istruzioni esterne e svolgere i propri compiti in modo indipendente. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Diritto all’oblio

1.   Gli Stati membri dispongono che ciascun membro delle rispettive autorità di controllo sia nominato attraverso una procedura trasparente: — dal rispettivo parlamento; — dal rispettivo governo; — dal rispettivo capo di Stato; oppure — da un organismo indipendente incaricato della nomina a norma del diritto dello Stato membro. 2.   Ogni membro possiede le qualifiche, l'esperienza e le competenze, in particolare nel settore della protezione dei dati personali, richieste per l'esercizio delle sue funzioni e dei suoi poteri. 3.   Il mandato dei membri cessa alla scadenza del termine o in caso di dimissioni volontarie o di provvedimento d'ufficio, a norma del diritto dello Stato membro interessato. 4.   Un membro è rimosso solo in casi di colpa grave o se non soddisfa più le condizioni richieste per l'esercizio delle sue funzioni. Considerando appropriati Considerando 121 - Indipendenza Delle Autorità Di Controllo Domande frequenti sull'articolo 53 +Come vengono nominati i membri delle autorità di controllo? L'articolo 53 richiede che i membri siano nominati mediante una procedura trasparente dal parlamento, dal governo, dal capo dello Stato o da un organismo indipendente secondo il diritto dello Stato membro. +Quali qualifiche devono avere i membri di un'autorità di controllo? I membri devono possedere le qualifiche, l'esperienza e le competenze, in particolare in materia di protezione dei dati, necessarie a svolgere i compiti ed esercitare i poteri. +Un membro di un'autorità di controllo può essere rimosso? Un membro può essere rimosso solo in caso di colpa grave o se non soddisfa più le condizioni per l'esercizio delle funzioni, a tutela della sua indipendenza. Questioni chiave correlate GDPR Sanzioni / Penalità GDPR Privacy by Design

1.   Ogni Stato membro prevede con legge tutte le condizioni seguenti: a) l'istituzione di ogni autorità di controllo; b) le qualifiche e le condizioni di idoneità richieste per essere nominato membro di ogni autorità di controllo; c) le norme e le procedure per la nomina del membro o dei membri di ogni autorità di controllo; d) la durata del mandato del membro o dei membri di ogni autorità di controllo non inferiore a quattro anni, salvo per le prime nomine dopo 24 maggio 2016, alcune delle quali possono avere una durata inferiore qualora ciò sia necessario per tutelare l'indipendenza dell'autorità di controllo mediante una procedura di nomina scaglionata; e) l'eventuale rinnovabilità e, in caso positivo, il numero di rinnovi del mandato del membro o dei membri di ogni autorità di controllo; f) le condizioni che disciplinano gli obblighi del membro o dei membri e del personale di ogni autorità di controllo, i divieti relativi ad attività, professioni e benefici incompatibili con tali obblighi durante e dopo il mandato e le regole che disciplinano la cessazione del rapporto di lavoro. 2.   Il membro o i membri e il personale di ogni autorità di controllo sono tenuti, in virtù del diritto dell'Unione o degli Stati membri, al segreto professionale in merito alle informazioni riservate cui hanno avuto accesso nell'esecuzione dei loro compiti o nell'esercizio dei loro poteri, sia durante che dopo il mandato. Per tutta la durata del loro mandato, tale obbligo del segreto professionale si applica in particolare alle segnalazioni da parte di persone fisiche di violazioni del presente regolamento. Considerando appropriati Considerando 117 - Istituzione Delle Autorità Di ControlloConsiderando 121 - Indipendenza Delle Autorità Di Controllo Domande frequenti sull'articolo 54 +Quali norme regolano l'istituzione di un'autorità di controllo? L'articolo 54 impone agli Stati membri di stabilire per legge l'istituzione, le qualifiche dei membri, le regole di nomina, la durata del mandato e le condizioni di servizio di ciascuna autorità. +I membri dell'autorità di controllo sono vincolati alla riservatezza? Sì. I membri e il personale sono soggetti al segreto professionale riguardo alle informazioni riservate cui hanno accesso nell'esercizio delle funzioni. +Quanto dura il mandato dei membri dell'autorità di controllo? La durata del mandato è fissata dal diritto nazionale e deve essere di almeno quattro anni, con regole che assicurano stabilità e indipendenza. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Registri delle Attività di Trattamento

1.   Ogni autorità di controllo è competente a eseguire i compiti assegnati e a esercitare i poteri a essa conferiti a norma del presente regolamento nel territorio del rispettivo Stato membro. 2.   Se il trattamento è effettuato da autorità pubbliche o organismi privati che agiscono sulla base dell'articolo 6, paragrafo 1, lettera c) o e), è competente l'autorità di controllo dello Stato membro interessato. In tal caso, non si applica l'articolo 56. 3.   Le autorità di controllo non sono competenti per il controllo dei trattamenti effettuati dalle autorità giurisdizionali nell'esercizio delle loro funzioni giurisdizionali. Considerando appropriati Considerando 122 - Responsabilità Delle Autorità Di Controllo Domande frequenti sull'articolo 55 +Qual è la competenza di un'autorità di controllo? L'articolo 55 conferisce a ciascuna autorità di controllo la competenza a svolgere i compiti ed esercitare i poteri nel territorio del proprio Stato membro. +Quale autorità gestisce i trattamenti transfrontalieri? I casi transfrontalieri sono gestiti tramite il meccanismo dell'autorità capofila, pur restando ciascuna autorità competente, in molti casi, per i trattamenti nel proprio territorio. +Le autorità di protezione dei dati vigilano sui tribunali? Le autorità di controllo non sono competenti a vigilare sui trattamenti effettuati dalle autorità giurisdizionali nell'esercizio della funzione giudiziaria. Questioni chiave correlate GDPR Registri delle Attività di Trattamento GDPR Paesi terzi

1.   Fatto salvo l'articolo 55, l'autorità di controllo dello stabilimento principale o dello stabilimento unico del titolare e del trattamento o responsabile del trattamento è competente ad agire in qualità di autorità di controllo capofila per i trattamenti transfrontalieri effettuati dal suddetto titolare del trattamento o responsabile del trattamento, secondo la procedura di cui all'articolo 60. 2.   In deroga al paragrafo 1, ogni autorità di controllo è competente per la gestione dei reclami a essa proposti o di eventuali violazioni del presente regolamento se l'oggetto riguarda unicamente uno stabilimento nel suo Stato membro o incide in modo sostanziale sugli interessati unicamente nel suo Stato membro. 3.   Nei casi indicati al paragrafo 2 del presente articolo, l'autorità di controllo informa senza indugio l'autorità di controllo capofila in merito alla questione. Entro un termine di tre settimane da quando è stata informata, l'autorità di controllo capofila decide se intende o meno trattare il caso secondo la procedura di cui all'articolo 60, tenendo conto dell'esistenza o meno di uno stabilimento del titolare del trattamento o responsabile del trattamento nello Stato membro dell'autorità di controllo che l'ha informata. 4.   Qualora l'autorità di controllo capofila decida di trattare il caso, si applica la procedura di cui all'articolo 60. L'autorità di controllo che ha informato l'autorità di controllo capofila può presentare a quest'ultima un progetto di decisione. L'autorità di controllo capofila tiene nella massima considerazione tale progetto nella predisposizione del progetto di decisione di cui all'articolo 60, paragrafo 3. 5.   Nel caso in cui l'autorità di controllo capofila decida di non trattarlo, l'autorità di controllo che ha informato l'autorità di controllo capofila tratta il caso conformemente agli articoli 61 e 62. 6.   L'autorità di controllo capofila è l'unico interlocutore del titolare del trattamento o del responsabile del trattamento in merito al trattamento transfrontaliero effettuato da tale titolare del trattamento o responsabile del trattamento. Considerando appropriati Considerando 124 - Autorità Capofila Per Il Trattamento In Diversi Stati MembriConsiderando 127 - Informazioni Dell'Autorità Di Controllo Riguardanti Il Trattamento LocaleConsiderando 128 - Responsabilità Relativa Al Trattamento Nell'Interesse Pubblico Domande frequenti sull'articolo 56 +Cos'è l'autorità di controllo capofila secondo il GDPR? L'articolo 56 istituisce l'autorità capofila come regolatore principale dei trattamenti transfrontalieri, di norma l'autorità del paese in cui l'organizzazione ha lo stabilimento principale. +Come si determina l'autorità di controllo capofila? È in genere l'autorità dello Stato membro in cui il titolare o il responsabile ha lo stabilimento principale o l'unico stabilimento nell'UE. +Cos'è il meccanismo dello sportello unico? Lo sportello unico consente alle organizzazioni con trattamenti transfrontalieri di interloquire principalmente con un'unica autorità capofila, che si coordina con le altre autorità interessate. Questioni chiave correlate GDPR Crittografia GDPR Sanzioni / Penalità

1.   Fatti salvi gli altri compiti indicati nel presente regolamento, sul proprio territorio ogni autorità di controllo: a) sorveglia e assicura l'applicazione del presente regolamento; b) promuove la consapevolezza e favorisce la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento. Sono oggetto di particolare attenzione le attività destinate specificamente ai minori; c) fornisce consulenza, a norma del diritto degli Stati membri, al parlamento nazionale, al governo e ad altri organismi e istituzioni in merito alle misure legislative e amministrative relative alla protezione dei diritti e delle libertà delle persone fisiche con riguardo al trattamento; d) promuove la consapevolezza dei titolari del trattamento e dei responsabili del trattamento riguardo agli obblighi imposti loro dal presente regolamento; e) su richiesta, fornisce informazioni all'interessato in merito all'esercizio dei propri diritti derivanti dal presente regolamento e, se del caso, coopera a tal fine con le autorità di controllo di altri Stati membri; f) tratta i reclami proposti da un interessato, o da un organismo, un'organizzazione o un'associazione ai sensi dell'articolo 80, e svolge le indagini opportune sull'oggetto del reclamo e informa il reclamante dello stato e dell'esito delle indagini entro un termine ragionevole, in particolare ove siano necessarie ulteriori indagini o un coordinamento con un'altra autorità di controllo; g) collabora, anche tramite scambi di informazioni, con le altre autorità di controllo e presta assistenza reciproca al fine di garantire l'applicazione e l'attuazione coerente del presente regolamento; h) svolge indagini sull'applicazione del presente regolamento, anche sulla base di informazioni ricevute da un'altra autorità di controllo o da un'altra autorità pubblica; i) sorveglia gli sviluppi che presentano un interesse, se e in quanto incidenti sulla protezione dei dati personali, in particolare l'evoluzione delle tecnologie dell'informazione e della comunicazione e le prassi commerciali; j) adotta le clausole contrattuali tipo di cui all'articolo 28, paragrafo 8, e all'articolo 46, paragrafo 2, lettera d); k) redige e tiene un elenco in relazione al requisito di una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35, paragrafo 4; l) offre consulenza sui trattamenti di cui all'articolo 36, paragrafo 2; m) incoraggia l'elaborazione di codici di condotta ai sensi dell'articolo 40, paragrafo 1, e fornisce un parere su tali codici di condotta e approva quelli che forniscono garanzie sufficienti, a norma dell'articolo 40, paragrafo 5; n) incoraggia l'istituzione di meccanismi di certificazione della protezione dei dati nonché di sigilli e marchi di protezione dei dati a norma dell'articolo 42, paragrafo 1, e approva i criteri di certificazione a norma dell'articolo 42, paragrafo 5; o) ove applicabile, effettua un riesame periodico delle certificazioni rilasciate in conformità dell'articolo 42, paragrafo 7; p) definisce e pubblica i criteri per l'accreditamento di un organismo per il controllo dei codici di condotta ai sensi dell'articolo 41 e di un organismo di certificazione ai sensi dell'articolo 43; q) effettua l'accreditamento di un organismo per il controllo dei codici di condotta ai sensi dell'articolo 41 e di un organismo di certificazione ai sensi dell'articolo 43; r) autorizza le clausole contrattuali e le altre disposizioni di cui all'articolo 46, paragrafo 3; s) approva le norme vincolanti d'impresa ai sensi dell'articolo 47; t) contribuisce alle attività del comitato; u) tiene registri interni delle violazioni del presente regolamento e delle misure adottate in conformità dell'articolo 58, paragrafo 2; e v) svolge qualsiasi altro compito legato alla protezione dei dati personali. 2.   Ogni autorità di controllo agevola la proposizione di reclami di cui al paragrafo 1, lettera f), tramite misure quali un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione. 3.   Ogni autorità di controllo svolge i propri compiti senza spese né per l'interessato né, ove applicabile, per il responsabile della protezione dei dati. 4.   Qualora le richieste siano manifestamente infondate o eccessive, in particolare per il carattere ripetitivo, l'autorità di controllo può addebitare un contributo spese ragionevole basato sui costi amministrativi o rifiutarsi di soddisfare la richiesta. Incombe all'autorità di controllo dimostrare il carattere manifestamente infondato o eccessivo della richiesta. Considerando appropriati Considerando 122 - Responsabilità Delle Autorità Di ControlloConsiderando 123 - Cooperazione Delle Autorità Di Controllo Tra Loro E Con La CommissioneConsiderando 132 - Attività Di Sensibilizzazione E Misure SpecificheConsiderando 133 - Assistenza Reciproca E Misure ProvvisorieConsiderando 137 - Misure Provvisorie Domande frequenti sull'articolo 57 +Quali sono i compiti di un'autorità di controllo? L'articolo 57 elenca compiti come sorvegliare e far applicare il GDPR, promuovere la consapevolezza, gestire i reclami, condurre indagini e fornire consulenza sulle questioni di protezione dei dati. +Si può presentare reclamo gratuitamente a un'autorità di protezione dei dati? Sì. Le autorità di controllo devono gestire gratuitamente i reclami delle persone, salvo quando le richieste sono manifestamente infondate o eccessive. +Le autorità di controllo promuovono la consapevolezza pubblica? Sì. Tra i loro compiti vi è promuovere la consapevolezza pubblica su rischi, regole, garanzie e diritti relativi al trattamento, con particolare attenzione ai minori. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Diritto di essere informati

1.   Ogni autorità di controllo ha tutti i poteri di indagine seguenti: a) ingiungere al titolare del trattamento e al responsabile del trattamento e, ove applicabile, al rappresentante del titolare del trattamento o del responsabile del trattamento, di fornirle ogni informazione di cui necessiti per l'esecuzione dei suoi compiti; b) condurre indagini sotto forma di attività di revisione sulla protezione dei dati; c) effettuare un riesame delle certificazioni rilasciate in conformità dell'articolo 42, paragrafo 7; d) notificare al titolare del trattamento o al responsabile del trattamento le presunte violazioni del presente regolamento; e) ottenere, dal titolare del trattamento o dal responsabile del trattamento, l'accesso a tutti i dati personali e a tutte le informazioni necessarie per l'esecuzione dei suoi compiti; e f) ottenere accesso a tutti i locali del titolare del trattamento e del responsabile del trattamento, compresi tutti gli strumenti e mezzi di trattamento dei dati, in conformità con il diritto dell'Unione o il diritto processuale degli Stati membri. 2.   Ogni autorità di controllo ha tutti i poteri correttivi seguenti: a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento; b) rivolgere ammonimenti al titolare e del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento; c) ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell'interessato di esercitare i diritti loro derivanti dal presente regolamento; d) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine; e) ingiungere al titolare del trattamento di comunicare all'interessato una violazione dei dati personali; f) imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento; g) ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento a norma degli articoli 16, 17 e 18 e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali ai sensi dell'articolo 17, paragrafo 2, e dell'articolo 19; h) revocare la certificazione o ingiungere all'organismo di certificazione di ritirare la certificazione rilasciata a norma degli articoli 42 e 43, oppure ingiungere all'organismo di certificazione di non rilasciare la certificazione se i requisiti per la certificazione non sono o non sono più soddisfatti; i) infliggere una sanzione amministrativa pecuniaria ai sensi dell'articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; e j) ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un'organizzazione internazionale. 3.   Ogni autorità di controllo ha tutti i poteri autorizzativi e consultivi seguenti: a) fornire consulenza al titolare del trattamento, secondo la procedura di consultazione preventiva di cui all'articolo 36; b) rilasciare, di propria iniziativa o su richiesta, pareri destinati al parlamento nazionale, al governo dello Stato membro, oppure, conformemente al diritto degli Stati membri, ad altri organismi e istituzioni e al pubblico su questioni riguardanti la protezione dei dati personali; c) autorizzare il trattamento di cui all'articolo 36, paragrafo 5, se il diritto dello Stato membro richiede una siffatta autorizzazione preliminare; d) rilasciare un parere sui progetti di codici di condotta e approvarli, ai sensi dell'articolo 40, paragrafo 5; e) accreditare gli organismi di certificazione a norma dell'articolo 43; f) rilasciare certificazioni e approvare i criteri di certificazione conformemente all'articolo 42, paragrafo 5; g) adottare le clausole tipo di protezione dei dati di cui all'articolo 28, paragrafo 8, e all'articolo 46, paragrafo 2, lettera d); h) autorizzare le clausole contrattuali di cui all'articolo 46, paragrafo 3, lettera a); i) autorizzare gli accordi amministrativi di cui all'articolo 46, paragrafo 3, lettera b); j) approvare le norme vincolanti d'impresa ai sensi dell'articolo 47. 4.   L'esercizio da parte di un'autorità di controllo dei poteri attribuitile dal presente articolo è soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell'Unione e degli Stati membri conformemente alla Carta. 5.   Ogni Stato membro dispone per legge che la sua autorità di controllo abbia il potere di intentare un'azione o di agire in sede giudiziale o, ove del caso, stragiudiziale in caso di violazione del presente regolamento per far rispettare le disposizioni dello stesso. 6.   Ogni Stato membro può prevedere per legge che la sua autorità di controllo abbia ulteriori poteri rispetto a quelli di cui ai paragrafi 1, 2 e 3. L'esercizio di tali poteri non pregiudica l'operatività effettiva del capo VII. Considerando appropriati Considerando 122 - Responsabilità Delle Autorità Di ControlloConsiderando 129 - Compiti E Poteri Delle Autorità Di ControlloConsiderando 131 - Tentativo Di Risoluzione Amichevole Domande frequenti sull'articolo 58 +Quali poteri hanno le autorità di protezione dei dati secondo il GDPR? L'articolo 58 conferisce poteri di indagine, correttivi, autorizzativi e consultivi, compresi ordinare la conformità, emettere avvertimenti, imporre sanzioni e vietare il trattamento. +Un'autorità di controllo può ordinare a un'azienda di cessare un trattamento? Sì. Tra i poteri correttivi vi è la facoltà di imporre una limitazione temporanea o definitiva del trattamento, compreso il divieto. +Le autorità possono effettuare audit sulle organizzazioni secondo il GDPR? Sì. I poteri di indagine consentono alle autorità di svolgere audit sulla protezione dei dati e ottenere accesso a dati e locali nei limiti di legge. Questioni chiave correlate GDPR Diritto di Accesso GDPR Paesi terzi

Ogni autorità di controllo elabora una relazione annuale sulla propria attività, in cui può figurare un elenco delle tipologie di violazioni notificate e di misure adottate a norma dell'articolo 58, paragrafo 2. Tali relazioni sono trasmesse al parlamento nazionale, al governo e alle altre autorità designate dal diritto dello Stato membro. Esse sono messe a disposizione del pubblico, della Commissione e del comitato. Considerando appropriati Considerando 117 – Istituzione Delle Autorità Di Controllo Considerando 118 – Monitoraggio Delle Autorità Di Controllo Domande frequenti sull'articolo 59 +Cosa sono le relazioni di attività delle autorità di controllo? L'articolo 59 impone a ciascuna autorità di controllo di redigere una relazione annuale sulla propria attività, che può includere i tipi di violazioni e le misure correttive adottate. +Le relazioni sull'applicazione del GDPR sono pubbliche? Sì. Le relazioni di attività sono trasmesse agli organi nazionali e messe a disposizione del pubblico, della Commissione e del Comitato europeo per la protezione dei dati. +Perché le autorità di controllo pubblicano relazioni? Le relazioni aumentano la trasparenza e la responsabilità e aiutano il pubblico e le organizzazioni a comprendere le tendenze applicative e le priorità dell'autorità. Questioni chiave correlate GDPR Responsabile della protezione dei dati GDPR Registri delle Attività di Trattamento

1.   L'autorità di controllo capofila coopera con le altre autorità di controllo interessate conformemente al presente articolo nell'impegno per raggiungere un consenso. L'autorità di controllo capofila e le autorità di controllo interessate si scambiano tutte le informazioni utili. 2.   L'autorità di controllo capofila può chiedere in qualunque momento alle altre autorità di controllo interessate di fornire assistenza reciproca a norma dell'articolo 61 e può condurre operazioni congiunte a norma dell'articolo 62, in particolare per lo svolgimento di indagini o il controllo dell'attuazione di una misura riguardante un titolare del trattamento o responsabile del trattamento stabilito in un altro Stato membro. 3.   L'autorità di controllo capofila comunica senza indugio le informazioni utili sulla questione alle altre autorità di controllo interessate. Trasmette senza indugio alle altre autorità di controllo interessate un progetto di decisione per ottenere il loro parere e tiene debitamente conto delle loro opinioni. 4.   Se una delle altre autorità di controllo interessate solleva un'obiezione pertinente e motivata al progetto di decisione entro un termine di quattro settimane dopo essere stata consultata conformemente al paragrafo 3 del presente articolo, l'autorità di controllo capofila, ove non dia seguito all'obiezione pertinente e motivata o ritenga l'obiezione non pertinente o non motivata, sottopone la questione al meccanismo di coerenza di cui all'articolo 63. 5.   L'autorità di controllo capofila, qualora intenda dare seguito all'obiezione pertinente e motivata sollevata, trasmette un progetto di decisione riveduto alle altre autorità di controllo interessate per ottenere il loro parere. Tale progetto di decisione riveduto è soggetto alla procedura di cui al paragrafo 4 entro un termine di due settimane. 6.   Se nessuna delle altre autorità di controllo interessate ha sollevato obiezioni al progetto di decisione trasmesso dall'autorità di controllo capofila entro il termine di cui ai paragrafi 4 e 5, si deve considerare che l'autorità di controllo capofila e le autorità di controllo interessate concordano su tale progetto di decisione e sono da esso vincolate. 7.   L'autorità di controllo capofila adotta la decisione e la notifica allo stabilimento principale o allo stabilimento unico del titolare del trattamento o responsabile del trattamento, a seconda dei casi, e informa le altre autorità di controllo interessate e il comitato la decisione in questione, compresa una sintesi dei fatti e delle motivazioni pertinenti. L'autorità di controllo cui è stato proposto un reclamo informa il reclamante riguardo alla decisione. 8.   In deroga al paragrafo 7, in caso di archiviazione o di rigetto di un reclamo, l'autorità di controllo cui è stato proposto il reclamo adotta la decisione e la notifica al reclamante e ne informa il titolare del trattamento. 9.   Se l'autorità di controllo capofila e le autorità di controllo interessate convengono di archiviare o rigettare parti di un reclamo e di intervenire su altre parti di tale reclamo, è adottata una decisione separata per ciascuna di tali parti della questione. L'autorità di controllo capofila adotta la decisione per la parte riguardante azioni in relazione al titolare del trattamento e la notifica allo stabilimento principale o allo stabilimento unico del responsabile del trattamento o del responsabile del trattamento sul territorio del suo Stato membro e ne informa il reclamante, mentre l'autorità di controllo del reclamante adotta la decisione per la parte riguardante l'archiviazione o il rigetto di detto reclamo, la notifica a detto reclamante e ne informa il titolare del trattamento o il responsabile del trattamento. 10.   Dopo aver ricevuto la notifica della decisione dell'autorità di controllo capofila a norma dei paragrafi 7 e 9, il titolare del trattamento o responsabile del trattamento adotta le misure necessarie per garantire la conformità alla decisione per quanto riguarda le attività di trattamento nel contesto di tutti i suoi stabilimenti nell'Unione. Il titolare del trattamento o responsabile del trattamento notifica le misure adottate per conformarsi alla decisione all'autorità di controllo capofila, che ne informa le altre autorità di controllo interessate. 11.   Qualora, in circostanze eccezionali, un'autorità di controllo interessata abbia motivo di ritenere che urga intervenire per tutelare gli interessi degli interessati, si applica la procedura d'urgenza di cui all'articolo 66. 12.   L'autorità di controllo capofila e le altre autorità di controllo interessate si scambiano reciprocamente con mezzi elettronici, usando un modulo standard, le informazioni richieste a norma del presente articolo. Considerando appropriati Considerando 124 - Autorità Capofila Per Il Trattamento In Diversi Stati MembriConsiderando 125 - Competenze Dell'Autorità CapofilaConsiderando 130 - Considerazione Dell'Autorità Presso La Quale È Stato Presentato Il Reclamo Domande frequenti sull'articolo 60 +Come cooperano le autorità di controllo nei casi transfrontalieri? L'articolo 60 impone all'autorità capofila di cooperare con le altre autorità interessate, condividere informazioni e cercare un consenso prima di adottare decisioni nei casi transfrontalieri. +Cosa succede se le autorità non concordano su un caso transfrontaliero? Se un'autorità interessata solleva un'obiezione pertinente e motivata che l'autorità capofila non segue, la questione è sottoposta al meccanismo di coerenza. +Cos'è un progetto di decisione nella cooperazione del GDPR? L'autorità capofila prepara un progetto di decisione e lo sottopone alle altre autorità interessate per il parere prima dell'adozione di una decisione finale.

1.   Le autorità di controllo si scambiano le informazioni utili e si prestano assistenza reciproca al fine di attuare e applicare il presente regolamento in maniera coerente, e mettono in atto misure per cooperare efficacemente tra loro. L'assistenza reciproca comprende, in particolare, le richieste di informazioni e le misure di controllo, quali le richieste di autorizzazioni e consultazioni preventive e le richieste di effettuare ispezioni e indagini. 2.   Ogni autorità di controllo adotta tutte le misure opportune necessarie per dare seguito alle richieste delle altre autorità di controllo senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Tali misure possono consistere, in particolare, nella trasmissione di informazioni utili sullo svolgimento di un'indagine. 3.   La richiesta di assistenza contiene tutte le informazioni necessarie, compresi lo scopo e i motivi della richiesta. Le informazioni scambiate sono utilizzate ai soli fini per cui sono state richieste. 4.   L'autorità di controllo richiesta non deve rifiutare di dare seguito alla richiesta, salvo che: a) non sia competente per trattare l'oggetto della richiesta o per le misure cui deve dare esecuzione; o b) l'accoglimento della richiesta violi le disposizioni del presente regolamento o il diritto dell'Unione o dello Stato membro cui è soggetta l'autorità di controllo che riceve la richiesta. 5.   L'autorità di controllo richiesta informa l'autorità di controllo richiedente dell'esito o, a seconda dei casi, dei progressi delle misure adottate per rispondere alla richiesta. L'autorità di controllo richiesta deve fornire le motivazioni del rigetto della richiesta. 6.   Di norma, le autorità di controllo richieste forniscono con mezzi elettronici, usando un modulo standard, le informazioni richieste da altre autorità di controllo. 7.   Le autorità di controllo richieste non impongono alcuna spesa per le misure da loro adottate a seguito di una richiesta di assistenza reciproca. Le autorità di controllo possono concordare disposizioni di indennizzo reciproco per spese specifiche risultanti dalla prestazione di assistenza reciproca in circostanze eccezionali. 8.   Qualora l'autorità di controllo non fornisca le informazioni di cui al paragrafo 5 del presente articolo, entro un mese dal ricevimento della richiesta di un'altra autorità di controllo, l'autorità di controllo richiedente può adottare misure provvisorie nel territorio del suo Stato membro ai sensi dell'articolo 55, paragrafo 1. Si considera, in tal caso, che urga intervenire ai sensi dell'articolo 66, paragrafo 1, e che sia necessaria una decisione vincolante d'urgenza da parte del comitato a norma dell'articolo 66, paragrafo 2. 9.   La Commissione può, mediante atti di esecuzione, specificare il formato e le procedure per l'assistenza reciproca di cui al presente articolo e le modalità per lo scambio di informazioni con mezzi elettronici tra autorità di controllo e tra le autorità di controllo e il comitato, in particolare il modulo standard di cui al paragrafo 6 del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2. Considerando appropriati Considerando 123 - Cooperazione Delle Autorità Di Controllo Tra Loro E Con La CommissioneConsiderando 132 - Attività Di Sensibilizzazione E Misure SpecificheConsiderando 133 - Assistenza Reciproca E Misure Provvisorie Domande frequenti sull'articolo 61 +Cos'è l'assistenza reciproca secondo il GDPR? L'articolo 61 impone alle autorità di controllo di fornirsi reciprocamente informazioni e assistenza pertinenti per attuare e applicare il GDPR in modo coerente nell'UE. +Le autorità devono rispondere alle richieste delle altre? Sì. Le autorità devono rispondere alle richieste di assistenza reciproca senza ingiustificato ritardo ed entro un mese, e il rifiuto è ammesso solo in casi limitati. +Come sostiene l'assistenza reciproca l'applicazione del GDPR? Consente alle autorità di condividere i risultati delle indagini e coordinare le azioni, contribuendo a un'applicazione coerente tra gli Stati membri.

1.   Se del caso, le autorità di controllo conducono operazioni congiunte, incluse indagini congiunte e misure di contrasto congiunte, cui partecipano membri o personale di autorità di controllo di altri Stati membri. 2.   Qualora il titolare del trattamento o responsabile del trattamento abbia stabilimenti in vari Stati membri o qualora esista la probabilità che il trattamento abbia su un numero significativo di interessati in più di uno Stato membro un impatto negativo sostanziale, un'autorità di controllo di ogni Stato membro in questione ha il diritto di partecipare alle operazioni congiunte. L'autorità di controllo che è competente conformemente all'articolo 56, paragrafo 1, o all'articolo 56 paragrafo 4, invita l'autorità di controllo di ogni Stato membro interessato a partecipare all'operazione congiunta in questione e risponde senza ritardo alle richieste di partecipazione delle autorità di controllo. 3.   Un'autorità di controllo può, in conformità del diritto degli Stati membri e con l'autorizzazione dell'autorità di controllo ospitata, conferire poteri, anche d'indagine, ai membri o al personale dell'autorità di controllo ospitata che partecipano alle operazioni congiunte o consentire ai membri o al personale dell'autorità di controllo ospitata, nella misura in cui il diritto dello Stato membro dell'autorità di controllo ospite lo permette, di esercitare i loro poteri d'indagine in conformità del diritto dello Stato membro dell'autorità di controllo ospitata. Tali poteri d'indagine possono essere esercitati unicamente sotto il controllo e in presenza di membri o personale dell'autorità di controllo ospite. I membri o il personale dell'autorità di controllo ospitata sono soggetti al diritto dello Stato membro dell'autorità di controllo ospite. 4.   Qualora, in conformità del paragrafo 1, il personale di un'autorità di controllo ospitata operi in un altro Stato membro, lo Stato membro dell'autorità di controllo ospite si assume la responsabilità del suo operato, compreso l'obbligo di risarcimento, per i danni causati da detto personale nel corso delle operazioni, conformemente al diritto dello Stato membro nel cui territorio esso opera. 5.   Lo Stato membro nel cui territorio sono stati causati i danni risarcisce tali danni alle condizioni applicabili ai danni causati dal proprio personale. Lo Stato membro dell'autorità di controllo ospitata il cui personale ha causato danni a terzi nel territorio di un altro Stato membro rimborsa integralmente a tale altro Stato membro importi corrisposti agli aventi diritto per conto di detti terzi. 6.   Fatto salvo l'esercizio dei suoi diritti nei confronti di terzi e fatta eccezione per il paragrafo 5, ciascuno Stato membro rinuncia, nel caso previsto al paragrafo 1, a chiedere a un altro Stato membro il risarcimento dei danni di cui al paragrafo 4. 7.   Qualora sia prevista un'operazione congiunta e un'autorità di controllo non si conformi entro un mese all'obbligo di cui al paragrafo 2, seconda frase, del presente articolo, le altre autorità di controllo possono adottare misure provvisorie nel territorio del loro Stato membro ai sensi dell'articolo 55. Si considera, in tal caso, che urga intervenire ai sensi dell'articolo 66, paragrafo 1, e che siano necessari un parere o una decisione vincolante d'urgenza da parte del comitato a norma dell'articolo 66, paragrafo 2. Considerando appropriati Considerando 126 - Decisioni CongiunteConsiderando 134 - Partecipazione A Operazioni Congiunte Domande frequenti sull'articolo 62 +Cosa sono le operazioni congiunte secondo il GDPR? L'articolo 62 consente alle autorità di controllo di svolgere operazioni congiunte, comprese indagini e misure di applicazione congiunte, soprattutto quando un trattamento riguarda persone in più Stati membri. +Le autorità di protezione dei dati possono indagare insieme? Sì. Le autorità possono svolgere indagini congiunte e distaccare membri o personale presso le operazioni delle altre, secondo condizioni concordate. +Perché le operazioni congiunte sono utili? Consentono alle autorità di mettere in comune risorse e competenze per casi che interessano più Stati membri, migliorando l'efficacia dell'applicazione.

Al fine di contribuire all'applicazione coerente del presente regolamento in tutta l'Unione, le autorità di controllo cooperano tra loro e, se del caso, con la Commissione mediante il meccanismo di coerenza stabilito nella presente sezione. Considerando appropriati Considerando 135 - Meccanismo Di Coerenza Domande frequenti sull'articolo 63 +Cos'è il meccanismo di coerenza secondo il GDPR? L'articolo 63 istituisce il meccanismo di coerenza, in base al quale le autorità di controllo cooperano tramite il Comitato europeo per la protezione dei dati per assicurare un'applicazione coerente del GDPR nell'UE. +Perché il GDPR ha bisogno di un meccanismo di coerenza? Previene interpretazioni e decisioni divergenti tra autorità nazionali, garantendo che persone e organizzazioni siano soggette a regole coerenti in tutta l'UE. +Quando si applica il meccanismo di coerenza? Si applica in particolare ai casi transfrontalieri e alle questioni di portata generale, quando sono necessarie decisioni coordinate.

1.   Il comitato emette un parere ove un'autorità di controllo competente intenda adottare una delle misure in appresso. A tal fine, l'autorità di controllo competente comunica il progetto di decisione al comitato, quando la decisione: a) è finalizzata a stabilire un elenco di trattamenti soggetti al requisito di una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35, paragrafo 4; b) riguarda una questione di cui all'articolo 40, paragrafo 7, relativa alla conformità al presente regolamento di un progetto di codice di condotta o una modifica o proroga di un codice di condotta; c) è finalizzata ad approvare i criteri per l'accreditamento di un organismo ai sensi dell'articolo 41, paragrafo 3, o di un organismo di certificazione ai sensi dell'articolo 43, paragrafo 3; d) è finalizzata a determinare clausole tipo di protezione dei dati di cui all'articolo 46, paragrafo 2, lettera d), e all'articolo 28, paragrafo 8; e) è finalizzata ad autorizzare clausole contrattuali di cui all'articolo 46, paragrafo 3, lettera a); oppure f) è finalizzata ad approvare norme vincolanti d'impresa ai sensi dell'articolo 47. 2.   Qualsiasi autorità di controllo, il presidente del comitato o la Commissione può richiedere che le questioni di applicazione generale o che producono effetti in più di uno Stato membro siano esaminate dal comitato al fine di ottenere un parere, in particolare se un'autorità di controllo competente non si conforma agli obblighi relativi all'assistenza reciproca ai sensi dell'articolo 61 o alle operazioni congiunte ai sensi dell'articolo 62. 3.   Nei casi di cui ai paragrafi 1 e 2, il comitato emette un parere sulla questione che gli è stata presentata, purché non abbia già emesso un parere sulla medesima questione. Tale parere è adottato entro un termine di otto settimane a maggioranza semplice dei membri del comitato. Tale termine può essere prorogato di sei settimane, tenendo conto della complessità della questione. Per quanto riguarda il progetto di decisione di cui al paragrafo 1 trasmesso ai membri del comitato conformemente al paragrafo 5, il membro che non abbia sollevato obiezioni entro un termine ragionevole indicato dal presidente è considerato assentire al progetto di decisione. 4.   Senza ingiustificato ritardo, le autorità di controllo e la Commissione comunicano per via elettronica, usando un modulo standard, al comitato tutte le informazioni utili, in particolare, a seconda del caso, una sintesi dei fatti, il progetto di decisione, i motivi che rendono necessaria l'attuazione di tale misura e i pareri delle altre autorità di controllo interessate. 5.   Il presidente del comitato informa, senza ingiustificato ritardo, con mezzi elettronici: a) i membri del comitato e la Commissione di tutte le informazioni utili che sono state comunicate al comitato con modulo standard. Se necessario, il segretariato del comitato fornisce una traduzione delle informazioni utili; e b) l'autorità di controllo di cui, secondo i casi, ai paragrafi 1 e 2, e la Commissione in merito al parere, che rende pubblico. 6.   L'autorità di controllo competente si astiene dall'adottare il suo progetto di decisione di cui al paragrafo 1 entro il termine di cui al paragrafo 3. 7.   L'autorità di controllo di cui al paragrafo 1 tiene nella massima considerazione il parere del comitato e, entro due settimane dal ricevimento del parere, comunica per via elettronica, usando un modulo standard, al presidente del comitato se intende mantenere o modificare il progetto di decisione e, se del caso, il progetto di decisione modificato. 8.   Se entro il termine di cui al paragrafo 7 del presente articolo l'autorità di controllo interessata informa il presidente del comitato, fornendo le pertinenti motivazioni, che non intende conformarsi al parere del comitato, in tutto o in parte, si applica l'articolo 65, paragrafo 1. Considerando appropriati Considerando 136 - Decisioni Vincolanti E Pareri Del Comitato Domande frequenti sull'articolo 64 +Quando il Comitato europeo per la protezione dei dati emette un parere? L'articolo 64 impone al Comitato di emettere pareri su determinate questioni, come codici di condotta, norme vincolanti d'impresa e misure con effetto transfrontaliero. +I pareri del Comitato sono vincolanti per le autorità di controllo? I pareri sono consultivi, ma le autorità devono tenerne nella massima considerazione; non seguire un parere può attivare la procedura vincolante di composizione delle controversie. +Qual è il ruolo del parere dell'EDPB? Il parere favorisce la coerenza orientando le autorità su come applicare il GDPR in casi specifici o questioni generali.

1.   Al fine di assicurare l'applicazione corretta e coerente del presente regolamento nei singoli casi, il comitato adotta una decisione vincolante nei seguenti casi: a) se, in un caso di cui all'articolo 60, paragrafo 4, un'autorità di controllo interessata ha sollevato un'obiezione pertinente e motivata a un progetto di decisione dell'autorità capofila o l'autorità capofila ha rigettato tale obiezione in quanto non pertinente o non motivata. La decisione vincolante riguarda tutte le questioni oggetto dell'obiezione pertinente e motivata, in particolare se sussista una violazione del presente regolamento; b) se vi sono opinioni contrastanti in merito alla competenza delle autorità di controllo interessate per lo stabilimento principale; c) se un'autorità di controllo competente non richiede il parere del comitato nei casi di cui all'articolo 64, paragrafo 1, o non si conforma al parere del comitato emesso a norma dell'articolo 64. In tal caso qualsiasi autorità di controllo interessata o la Commissione può comunicare la questione al comitato. 2.   La decisione di cui al paragrafo 1 è adottata entro un mese dal deferimento della questione da parte di una maggioranza di due terzi dei membri del comitato. Tale termine può essere prorogato di un mese, in considerazione della complessità della questione. La decisione di cui al paragrafo 1 è motivata e trasmessa all'autorità di controllo capofila e a tutte le autorità di controllo interessate ed è per esse vincolante. 3.   Qualora non sia stato in grado di adottare una decisione entro i termini di cui al paragrafo 2, il comitato adotta la sua decisione entro due settimane dalla scadenza del secondo mese di cui al paragrafo 2, a maggioranza semplice dei membri del comitato. In caso di parità di voti dei membri del comitato, prevale il voto del presidente. 4.   Le autorità di controllo interessate non adottano una decisione sulla questione sottoposta al comitato a norma del paragrafo 1 entro i termini di cui ai paragrafi 2 e 3. 5.   Il presidente del comitato notifica senza ingiustificato ritardo alle autorità di controllo interessate la decisione di cui al paragrafo 1 e ne informa la Commissione. La decisione è pubblicata senza ritardo sul sito web del comitato dopo che l'autorità di controllo ha notificato la decisione definitiva di cui al paragrafo 6. 6.   L'autorità di controllo capofila o, se del caso, l'autorità di controllo a cui è stato proposto il reclamo adotta la sua decisione definitiva in base alla decisione di cui al paragrafo 1 del presente articolo senza ingiustificato ritardo e al più tardi entro un mese dalla notifica della decisione da parte del comitato. L'autorità di controllo capofila o, se del caso, l'autorità di controllo a cui è stato proposto il reclamo, informa il comitato circa la data in cui la decisione definitiva è notificata rispettivamente al titolare del trattamento o al responsabile del trattamento e all'interessato. La decisione definitiva delle autorità di controllo interessate è adottata ai sensi dell'articolo 60, paragrafi 7, 8 e 9. La decisione finale fa riferimento alla decisione di cui al paragrafo 1 del presente articolo e precisa che la decisione di cui a tale paragrafo sarà pubblicata sul sito web del comitato conformemente al paragrafo 5 del presente articolo. La decisione finale deve accludere la decisione di cui al paragrafo 1 del presente articolo. Considerando appropriati Considerando 136 - Decisioni Vincolanti E Pareri Del Comitato Domande frequenti sull'articolo 65 +Come si compongono le controversie tra autorità di controllo? L'articolo 65 conferisce al Comitato europeo per la protezione dei dati il potere di adottare decisioni vincolanti per comporre le controversie tra autorità, ad esempio su obiezioni in casi transfrontalieri. +Le decisioni di composizione delle controversie dell'EDPB sono vincolanti? Sì. Le decisioni dell'articolo 65 sono vincolanti per le autorità di controllo interessate, che devono adottare le decisioni finali di conseguenza. +Quando interviene il Comitato per comporre una controversia? Il Comitato interviene quando le autorità non riescono ad accordarsi, ad esempio quando un'autorità capofila non segue un'obiezione pertinente e motivata di un'altra autorità.

1.   In circostanze eccezionali, qualora ritenga che urga intervenire per proteggere i diritti e le libertà degli interessati, un'autorità di controllo interessata può, in deroga al meccanismo di coerenza di cui agli articoli 63, 64 e 65, o alla procedura di cui all'articolo 60, adottare immediatamente misure provvisorie intese a produrre effetti giuridici nel proprio territorio, con un periodo di validità determinato che non supera i tre mesi. L'autorità di controllo comunica senza ritardo tali misure e la motivazione della loro adozione alle altre autorità di controllo interessate, al comitato e alla Commissione. 2.   Qualora abbia adottato una misura ai sensi del paragrafo 1 e ritenga che urga adottare misure definitive, l'autorità di controllo può chiedere un parere d'urgenza o una decisione vincolante d'urgenza del comitato, motivando tale richiesta. 3.   Qualsiasi autorità di controllo può chiedere un parere d'urgenza o una decisione vincolante d'urgenza, a seconda dei casi, del comitato qualora un'autorità di controllo competente non abbia adottato misure adeguate in una situazione in cui urge intervenire per proteggere i diritti e le libertà degli interessati, motivando la richiesta di tale parere o decisione, in particolare l'urgenza dell'intervento. 4.   In deroga all'articolo 64, paragrafo 3, e all'articolo 65, paragrafo 2, il parere d'urgenza o la decisione vincolante d'urgenza di cui ai paragrafi 2 e 3 del presente articolo sono adottati entro due settimane a maggioranza semplice dei membri del comitato. Considerando appropriati Considerando 137 - Misure ProvvisorieConsiderando 138 - Procedura D'Urgenza Domande frequenti sull'articolo 66 +Cos'è la procedura d'urgenza secondo il GDPR? L'articolo 66 consente a un'autorità di controllo di adottare immediatamente misure provvisorie quando è urgente intervenire per tutelare le persone, eludendo il consueto meccanismo di coerenza. +Quanto durano le misure d'urgenza del GDPR? Le misure provvisorie adottate nella procedura d'urgenza hanno una validità limitata non superiore a tre mesi. +L'EDPB può agire in via d'urgenza? Sì. Il Comitato può adottare una decisione vincolante urgente quando un'autorità lo richiede per la necessità di intervenire con urgenza.

La Commissione può adottare atti di esecuzione di portata generale per specificare le modalità per lo scambio di informazioni per via elettronica tra autorità di controllo e tra le autorità di controllo e il comitato, in particolare il modulo standard di cui all'articolo 64. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2. Considerando appropriati Considerando 123 – Cooperazione Delle Autorità Di Controllo Tra Loro E Con La Commissione Considerando 124 – Autorità Capofila Per Il Trattamento In Diversi Stati Membri Considerando 125 – Competenze Dell’Autorità Capofila Domande frequenti sull'articolo 67 +Cosa copre l'articolo 67 del GDPR? L'articolo 67 consente alla Commissione di adottare misure che specificano come le autorità di controllo e il Comitato scambiano informazioni per via elettronica e in forma standardizzata. +Come condividono le informazioni le autorità secondo il GDPR? Le autorità usano formati standardizzati e mezzi elettronici sicuri per scambiare informazioni, sostenendo la cooperazione e il meccanismo di coerenza. +Perché standardizzare lo scambio di informazioni? La standardizzazione migliora efficienza e affidabilità quando le autorità cooperano su indagini, pareri e decisioni oltre frontiera.

1.   Il comitato europeo per la protezione dei dati («comitato») è istituito quale organismo dell'Unione ed è dotato di personalità giuridica. 2.   Il comitato è rappresentato dal suo presidente. 3.   Il comitato è composto dalla figura di vertice di un'autorità di controllo per ciascuno Stato membro e dal garante europeo della protezione dei dati, o dai rispettivi rappresentanti. 4.   Qualora, in uno Stato membro, più autorità di controllo siano incaricate di sorvegliare l'applicazione delle disposizioni del presente regolamento, è designato un rappresentante comune conformemente al diritto di tale Stato membro. 5.   La Commissione ha il diritto di partecipare alle attività e alle riunioni del comitato senza diritto di voto. La Commissione designa un rappresentante. Il presidente del comitato comunica alla Commissione le attività del comitato. 6.   Nei casi di cui all'articolo 65, il garante europeo della protezione dei dati ha diritto di voto solo per decisioni che riguardano principi e norme applicabili a istituzioni, organi, uffici e agenzie dell'Unione che corrispondono nella sostanza a quelli del presente regolamento. Considerando appropriati Considerando 139 - Comitato Europeo Per La Protezione Dei Dati Domande frequenti sull'articolo 68 +Cos'è il Comitato europeo per la protezione dei dati (EDPB)? L'articolo 68 istituisce l'EDPB come organismo indipendente dell'UE composto dai responsabili delle autorità di controllo nazionali e dal Garante europeo della protezione dei dati. +Cosa fa l'EDPB? L'EDPB assicura l'applicazione coerente del GDPR, pubblica linee guida e pareri e compone le controversie tra le autorità di controllo nazionali. +Chi siede nel Comitato europeo per la protezione dei dati? È composto dal responsabile di un'autorità di controllo per Stato membro e dal Garante europeo della protezione dei dati, con la Commissione che partecipa senza diritto di voto.

1.   Nell'esecuzione dei suoi compiti o nell'esercizio dei suoi poteri ai sensi degli articoli 70 e 71, il comitato opera con indipendenza. 2.   Fatte salve le richieste della Commissione di cui all'articolo 70, paragrafo 1, lettera b), e all'articolo 70, paragrafo 2, nell'esecuzione dei suoi compiti o nell'esercizio dei suoi poteri il comitato non sollecita né accetta istruzioni da alcuno. Considerando appropriati Considerando 139 - Comitato Europeo Per La Protezione Dei Dati Domande frequenti sull'articolo 69 +Il Comitato europeo per la protezione dei dati è indipendente? Sì. L'articolo 69 richiede che l'EDPB agisca in indipendenza nello svolgimento dei suoi compiti e poteri, libero da istruzioni esterne. +Qualcuno può dare istruzioni all'EDPB? No. Il Comitato non deve né sollecitare né accettare istruzioni da alcuno nell'esercizio delle proprie funzioni ai sensi del GDPR. +Perché l'indipendenza dell'EDPB è importante? L'indipendenza assicura che gli orientamenti e le decisioni del Comitato siano imparziali, rafforzando la fiducia in un'applicazione coerente a livello dell'UE.

1.   Il comitato garantisce l'applicazione coerente del presente regolamento. A tal fine, il comitato, di propria iniziativa o, se del caso, su richiesta della Commissione, in particolare: a) sorveglia il presente regolamento e ne assicura l'applicazione corretta nei casi previsti agli articoli 64 e 65 fatti salvi i compiti delle autorità nazionali di controllo; b) fornisce consulenza alla Commissione in merito a qualsiasi questione relativa alla protezione dei dati personali nell'Unione, comprese eventuali proposte di modifica del presente regolamento; c) fornisce consulenza alla Commissione sul formato e le procedure per lo scambio di informazioni tra titolari del trattamento, responsabili del trattamento e autorità di controllo in merito alle norme vincolanti d'impresa; d) pubblica linee guida, raccomandazioni e migliori prassi in materia di procedure per la cancellazione di link, copie o riproduzioni di dati personali dai servizi di comunicazione accessibili al pubblico di cui all'articolo 17, paragrafo 2; e) esamina, di propria iniziativa o su richiesta di uno dei suoi membri o della Commissione, qualsiasi questione relativa all'applicazione del presente regolamento e pubblica linee guida, raccomandazioni e migliori prassi al fine di promuovere l'applicazione coerente del presente regolamento; f) pubblica linee guida, raccomandazioni e migliori pratiche conformemente alla lettera e) del presente paragrafo, per specificare ulteriormente i criteri e le condizioni delle decisioni basate sulla profilazione ai sensi dell'articolo 22, paragrafo 2; g) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, per accertare la violazione di dati personali e determinare l'ingiustificato ritardo di cui all'articolo 33, paragrafi 1 e 2, e le circostanze particolari in cui il titolare del trattamento o il responsabile del trattamento è tenuto a notificare la violazione dei dati personali; h) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, relative alle circostanze in cui una violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche di cui all'articolo 34, paragrafo 1; i) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, al fine di specificare ulteriormente i criteri e i requisiti dei trasferimenti di dati personali basati sulle norme vincolanti d'impresa applicate, rispettivamente, dai titolari del trattamento e dai responsabili del trattamento, nonché gli ulteriori requisiti per assicurare la protezione dei dati personali degli interessati di cui all'articolo 47; j) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, al fine di specificare ulteriormente i criteri e i requisiti dei trasferimenti di dati personali sulla base dell'articolo 49, paragrafo 1; k) elabora per le autorità di controllo linee guida riguardanti l'applicazione delle misure di cui all'articolo 58, paragrafi 1, 2 e 3, e la previsione delle sanzioni amministrative pecuniarie ai sensi dell'articolo 83; l) valuta l'applicazione pratica delle linee guida, raccomandazioni e migliori prassi di cui alle lettere e) e f); m) pubblica linee guida, raccomandazioni e migliori prassi conformemente alla lettera e) del presente paragrafo, per stabilire procedure comuni per le segnalazioni da parte di persone fisiche di violazioni del presente regolamento ai sensi dell'articolo 54, paragrafo 2; n) incoraggia l'elaborazione di codici di condotta e l'istituzione di meccanismi di certificazione della protezione dei dati nonché di sigilli e marchi di protezione dei dati ai sensi degli articoli 40 e 42; o) effettua l'accreditamento di organismi di certificazione e il suo riesame periodico a norma dell'articolo 43 e tiene un registro pubblico di organismi accreditati a norma dell'articolo 43, paragrafo 6, e dei titolari o responsabili del trattamento accreditati, stabiliti in paesi terzi a norma dell'articolo 42, paragrafo 7; p) specifica i requisiti di cui all'articolo 43, paragrafo 3, ai fini dell'accreditamento degli organismi di certificazione ai sensi dell'articolo 42; q) fornisce alla Commissione un parere in merito ai requisiti di certificazione di cui all'articolo 43, paragrafo 8; r) fornisce alla Commissione un parere in merito alle icone di cui all'articolo 12, paragrafo 7; s) fornisce alla Commissione un parere per valutare l'adeguatezza del livello di protezione in un paese terzo o in un'organizzazione internazionale, così come per valutare se il paese terzo, il territorio o uno o più settori specifici all'interno di tale paese terzo, o l'organizzazione internazionale non assicurino più un livello adeguato di protezione. A tal fine, la Commissione fornisce al comitato tutta la documentazione necessaria, inclusa la corrispondenza con il governo del paese terzo, con riguardo a tale paese terzo, territorio o settore specifico, o con l'organizzazione internazionale; t) emette pareri sui progetti di decisione delle autorità di controllo conformemente al meccanismo di coerenza di cui all'articolo 64, paragrafo 1, e sulle questioni presentate conformemente all'articolo 64, paragrafo 2, ed emette decisioni vincolanti ai sensi dell'articolo 65, anche nei casi di cui all'articolo 66; u) promuove la cooperazione e l'effettivo scambio di informazioni e prassi tra le autorità di controllo a livello bilaterale e multilaterale; v) promuove programmi comuni di formazione e facilita lo scambio di personale tra le autorità di controllo e, se del caso, con le autorità di controllo di paesi terzi o di organizzazioni internazionali; w) promuove lo scambio di conoscenze e documentazione sulla legislazione e sulle prassi in materia di protezione dei dati tra autorità di controllo di tutto il mondo; x) emette pareri sui codici di condotta redatti a livello di Unione a norma dell'articolo 40, paragrafo 9; e y) tiene un registro elettronico, accessibile al pubblico, delle decisioni adottate dalle autorità di controllo e dalle autorità giurisdizionali su questioni trattate nell'ambito del meccanismo di coerenza. 2.   Qualora chieda consulenza al comitato, la Commissione può indicare un termine, tenuto conto dell'urgenza della questione. 3.   Il comitato trasmette pareri, linee guida, raccomandazioni e migliori prassi alla Commissione e al comitato di cui all'articolo 93, e li pubblica. 4.   Se del caso, il comitato consulta le parti interessate e offre loro la possibilità di esprimere commenti entro un termine ragionevole. Fatto salvo l'articolo 76, il comitato rende pubblici i risultati della procedura di consultazione. Considerando appropriati Considerando 136 - Decisioni Vincolanti E Pareri Del ComitatoConsiderando 139 - Comitato Europeo Per La Protezione Dei Dati Domande frequenti sull'articolo 70 +Quali sono i compiti del Comitato europeo per la protezione dei dati? L'articolo 70 affida all'EDPB il compito di assicurare l'applicazione coerente del GDPR, pubblicare linee guida e buone prassi, fornire consulenza alla Commissione e promuovere la cooperazione tra autorità. +L'EDPB pubblica linee guida sul GDPR? Sì. Il Comitato pubblica linee guida, raccomandazioni e buone prassi per chiarire come interpretare e applicare il GDPR. +L'EDPB fornisce consulenza alla Commissione europea? Sì. Tra i suoi compiti, il Comitato consiglia la Commissione sulle questioni di protezione dei dati e sulle proposte legislative dell'UE che riguardano i dati.

1.   Il comitato redige una relazione annuale sulla protezione delle persone fisiche con riguardo al trattamento nell'Unione e, se del caso, nei paesi terzi e nelle organizzazioni internazionali. La relazione è pubblicata ed è trasmessa al Parlamento europeo, al Consiglio e alla Commissione. 2.   La relazione annuale include la valutazione dell'applicazione pratica delle linee guida, raccomandazioni e migliori prassi di cui all'articolo 70, paragrafo 1, lettera l), nonché delle decisioni vincolanti di cui all'articolo 65. Considerando appropriati Considerando 135 – Meccanismo Di Coerenza Considerando 136 – Decisioni Vincolanti E Pareri Del Comitato Domande frequenti sull'articolo 71 +Il Comitato europeo per la protezione dei dati pubblica relazioni? Sì. L'articolo 71 impone all'EDPB di redigere una relazione annuale sulla protezione delle persone nel trattamento nell'UE e, se del caso, nei paesi terzi. +Le relazioni dell'EDPB sono pubbliche? Sì. La relazione annuale è resa pubblica e trasmessa al Parlamento europeo, al Consiglio e alla Commissione. +Cosa coprono le relazioni dell'EDPB? Le relazioni possono includere orientamenti sulle buone prassi e una panoramica dello stato della protezione dei dati nell'UE.

1.   Il comitato decide a maggioranza semplice dei suoi membri, salvo se diversamente previsto dal presente regolamento. 2.   Il comitato adotta il proprio regolamento interno deliberando a maggioranza di due terzi dei suoi membri e stabilisce le modalità del proprio funzionamento. Considerando appropriati Considerando 10 – Livello Armonizzato Di Protezione Dei Dati Nonostante L’Ambito Nazionale Considerando 11 – Armonizzazione Dei Poteri E Delle Sanzioni Considerando 117 – Istituzione Delle Autorità Di Controllo Domande frequenti sull'articolo 72 +Come prende le decisioni il Comitato europeo per la protezione dei dati? L'articolo 72 dispone che l'EDPB adotta le decisioni a maggioranza semplice dei suoi membri, salvo che il regolamento interno disponga diversamente. +L'EDPB ha un regolamento interno? Sì. Il Comitato adotta il proprio regolamento interno a maggioranza di due terzi e organizza le proprie modalità di funzionamento. +Come si contano i voti dell'EDPB? Le decisioni sono in genere prese a maggioranza semplice, con maggioranze specifiche richieste per alcune questioni come l'adozione del regolamento interno.

1.   Il comitato elegge un presidente e due vicepresidenti tra i suoi membri a maggioranza semplice. 2.   Il presidente e i vicepresidenti hanno un mandato di cinque anni, rinnovabile una volta. Considerando appropriati Considerando 117 – Istituzione Delle Autorità Di Controllo Considerando 123 – Cooperazione Delle Autorità Di Controllo Tra Loro E Con La Commissione Domande frequenti sull'articolo 73 +Chi presiede il Comitato europeo per la protezione dei dati? L'articolo 73 dispone che l'EDPB elegge tra i suoi membri, a maggioranza semplice, un presidente e due vicepresidenti. +Quanto dura il mandato del presidente dell'EDPB? Il presidente e i vicepresidenti hanno un mandato di cinque anni, rinnovabile una volta. +Qual è il ruolo del presidente dell'EDPB? Il presidente dirige i lavori del Comitato, convoca le riunioni e rappresenta il Comitato, con il supporto dei vicepresidenti.

1.   Il presidente ha il compito di: a) convocare le riunioni del comitato e stabilirne l'ordine del giorno; b) notificare le decisioni adottate dal comitato a norma dell'articolo 65 all'autorità di controllo capofila e alle autorità di controllo interessate; c) assicurare l'esecuzione tempestiva dei compiti del comitato, in particolare in relazione al meccanismo di coerenza di cui all'articolo 63. 2.   Il comitato europeo stabilisce nel proprio regolamento interno la ripartizione dei compiti tra presidente e vicepresidenti. Considerando appropriati Considerando 13 – Tenere Conto Delle Micro, Piccole E Medie Imprese Considerando 22 – Trattamento Da Parte Di Un’Unità Organizzativa Considerando 80 – Designazione Di Un Rappresentante Domande frequenti sull'articolo 74 +Quali sono i compiti del presidente dell'EDPB? L'articolo 74 affida al presidente la convocazione delle riunioni del Comitato, la preparazione dell'ordine del giorno e la notifica delle decisioni alle autorità di controllo, tra l'altro. +Il presidente dell'EDPB fissa l'ordine del giorno delle riunioni? Sì. Il presidente prepara e comunica l'ordine del giorno e assicura il tempestivo svolgimento dei compiti del Comitato. +Chi gestisce le comunicazioni dell'EDPB con le autorità? Il presidente è responsabile di notificare le decisioni del Comitato all'autorità capofila e alle autorità interessate.

1.   Il comitato dispone di una segreteria messa a disposizione dal garante europeo della protezione dei dati. 2.   La segreteria svolge i propri compiti seguendo esclusivamente le istruzioni del presidente del comitato. 3.   Il personale del garante europeo della protezione dei dati coinvolto nell'assolvimento dei compiti attribuiti al comitato dal presente regolamento è soggetto a linee gerarchiche separate rispetto al personale coinvolto nello svolgimento dei compiti attribuiti al garante europeo della protezione dei dati. 4.   Se del caso, il comitato e il garante europeo della protezione dei dati stabiliscono e pubblicano un protocollo d'intesa che attua il presente articolo, stabilisce i termini della loro cooperazione e si applica al personale del garante europeo della protezione dei dati coinvolto nell'assolvimento dei compiti attribuiti al comitato dal presente regolamento. 5.   La segreteria presta assistenza in materia di analisi, amministrativa e logistica al comitato. 6.   La segreteria è incaricata in particolare: a) della gestione ordinaria del comitato; b) della comunicazione tra i membri del comitato, il suo presidente e la Commissione; c) della comunicazione con le altre istituzioni e il pubblico; d) dell'uso di mezzi elettronici per la comunicazione interna ed esterna; e) della traduzione delle informazioni rilevanti; f) della preparazione delle riunioni del comitato e del relativo seguito; g) della preparazione, redazione e pubblicazione dei pareri, delle decisioni sulla composizione delle controversie tra le autorità di controllo e di altri testi adottati dal comitato. Considerando appropriati Considerando 140 - Segreteria E Personale Del Consiglio Domande frequenti sull'articolo 75 +Chi fornisce la segreteria del Comitato europeo per la protezione dei dati? L'articolo 75 dispone che il Garante europeo della protezione dei dati fornisce la segreteria dell'EDPB, agendo unicamente su istruzione del presidente. +Cosa fa la segreteria dell'EDPB? La segreteria fornisce supporto analitico, amministrativo e logistico, prepara i documenti e sostiene i compiti di comunicazione e cooperazione del Comitato. +La segreteria dell'EDPB è indipendente? La segreteria svolge i propri compiti esclusivamente su istruzione del presidente del Comitato, a sostegno del suo funzionamento indipendente.

1.   Se il comitato europeo lo ritiene necessario, le sue deliberazioni hanno carattere riservato, come previsto dal suo regolamento interno. 2.   L'accesso ai documenti trasmessi ai membri del comitato, agli esperti e ai rappresentanti di terzi è disciplinato dal regolamento (CE) n. 1049/2001 del Parlamento europeo e del Consiglio . Considerando appropriati Considerando 58 – Il Principio Di Trasparenza Considerando 63 – Diritto Di Accesso Considerando 74 – Responsabilità E Responsabilità Del Titolare Del Trattamento Considerando 83 – Sicurezza Del Trattamento Domande frequenti sull'articolo 76 +Le discussioni del Comitato europeo per la protezione dei dati sono riservate? L'articolo 76 dispone che le discussioni del Comitato sono riservate quando il Comitato lo ritiene necessario, secondo il proprio regolamento interno. +Il pubblico può accedere ai documenti dell'EDPB? L'accesso ai documenti è disciplinato dalle norme di trasparenza dell'UE, bilanciate con la riservatezza che il Comitato può applicare a determinate discussioni. +Perché l'EDPB applica la riservatezza? La riservatezza tutela le deliberazioni sensibili e le questioni in corso, mentre le norme di trasparenza continuano a consentire un adeguato accesso pubblico ai documenti.

1.   Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un'autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione. 2.   L'autorità di controllo a cui è stato proposto il reclamo informa il reclamante dello stato o dell'esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell'articolo 78. Considerando appropriati Considerando 141 - Diritto Di Proporre Un Reclamo Domande frequenti sull'articolo 77 +Come faccio reclamo per una violazione del GDPR? L'articolo 77 conferisce a ogni persona il diritto di proporre reclamo a un'autorità di controllo se ritiene che il trattamento dei suoi dati violi il GDPR. +Dove posso presentare un reclamo GDPR? Puoi rivolgerti all'autorità di controllo del tuo Stato membro di residenza, del luogo di lavoro o del luogo della presunta violazione. +Sarò informato dell'esito del mio reclamo GDPR? Sì. L'autorità di controllo deve informare il reclamante dello stato e dell'esito, compresa la possibilità di un ricorso giurisdizionale.

1.   Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell'autorità di controllo che la riguarda. 2.   Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l'autorità di controllo che sia competente ai sensi degli articoli 55 e 56 non tratti un reclamo o non lo informi entro tre mesi dello stato o dell'esito del reclamo proposto ai sensi dell'articolo 77. 3.   Le azioni nei confronti dell'autorità di controllo sono promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l'autorità di controllo è stabilita. 4.   Qualora siano promosse azioni avverso una decisione di un'autorità di controllo che era stata preceduta da un parere o da una decisione del comitato nell'ambito del meccanismo di coerenza, l'autorità di controllo trasmette tale parere o decisione all'autorità giurisdizionale. Considerando appropriati Considerando 141 - Diritto Di Proporre Un ReclamoConsiderando 143 - Rimedi Giudiziali Domande frequenti sull'articolo 78 +Posso fare causa a un'autorità di controllo secondo il GDPR? Sì. L'articolo 78 conferisce a persone e organizzazioni il diritto a un ricorso giurisdizionale effettivo contro una decisione giuridicamente vincolante di un'autorità di controllo che le riguarda. +Cosa faccio se un'autorità di controllo non tratta il mio reclamo? Se un'autorità non tratta un reclamo o non ti informa dello stato entro tre mesi, hai diritto a un ricorso giurisdizionale. +Quale giudice conosce delle azioni contro un'autorità di controllo? Le azioni sono proposte dinanzi ai giudici dello Stato membro in cui l'autorità di controllo è stabilita.

1.   Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un'autorità di controllo ai sensi dell'articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento. 2.   Le azioni nei confronti del titolare del trattamento o del responsabile del trattamento sono promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento. In alternativa, tali azioni possono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l'interessato risiede abitualmente, salvo che il titolare del trattamento o il responsabile del trattamento sia un'autorità pubblica di uno Stato membro nell'esercizio dei pubblici poteri. Considerando appropriati Considerando 141 - Diritto Di Proporre Un ReclamoConsiderando 145 - Scelta Del Foro Domande frequenti sull'articolo 79 +Posso fare causa a un'azienda per una violazione del GDPR? Sì. L'articolo 79 conferisce alle persone il diritto a un ricorso giurisdizionale effettivo contro un titolare o un responsabile quando ritengono che i loro diritti siano stati violati. +Dove posso proporre un'azione GDPR contro un'azienda? Le azioni possono essere proposte dinanzi ai giudici del luogo di stabilimento del titolare o del responsabile, o del luogo di residenza della persona, salvo che il convenuto sia un'autorità pubblica nell'esercizio dei poteri. +Il ricorso giurisdizionale è distinto dal reclamo all'autorità? Sì. Il ricorso giurisdizionale si aggiunge al diritto di proporre reclamo a un'autorità di controllo e agli altri ricorsi amministrativi.

1.   L'interessato ha il diritto di dare mandato a un organismo, un'organizzazione o un'associazione senza scopo di lucro, che siano debitamente costituiti secondo il diritto di uno Stato membro, i cui obiettivi statutari siano di pubblico interesse e che siano attivi nel settore della protezione dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali, di proporre il reclamo per suo conto e di esercitare per suo conto i diritti di cui agli articoli 77, 78 e 79 nonché, se previsto dal diritto degli Stati membri, il diritto di ottenere il risarcimento di cui all'articolo 82. 2.   Gli Stati membri possono prevedere che un organismo, organizzazione o associazione di cui al paragrafo 1 del presente articolo, indipendentemente dal mandato conferito dall'interessato, abbia il diritto di proporre, in tale Stato membro, un reclamo all'autorità di controllo competente, e di esercitare i diritti di cui agli articoli 78 e 79, qualora ritenga che i diritti di cui un interessato gode a norma del presente regolamento siano stati violati in seguito al trattamento. Considerando appropriati Considerando 142 - Il Diritto Degli Interessati Di Designare Un Organismo, Organizzazione O Associazione Senza Scopo Di Lucro Domande frequenti sull'articolo 80 +Un organismo può rappresentarmi in un reclamo GDPR? Sì. L'articolo 80 consente alle persone di conferire mandato a un organismo senza scopo di lucro attivo nella protezione dei dati per proporre reclami ed esercitare alcuni diritti per loro conto. +Le azioni collettive sono ammesse secondo il GDPR? Gli Stati membri possono consentire a organismi qualificati di proporre azioni rappresentative, in alcuni casi anche senza un mandato specifico delle persone, secondo il diritto nazionale. +Che tipo di organizzazione può rappresentare gli interessati? Deve trattarsi di un organismo senza scopo di lucro debitamente costituito, con finalità statutarie di interesse pubblico e attivo nella tutela dei diritti relativi ai dati.

1.   L'autorità giurisdizionale competente di uno Stato membro che venga a conoscenza di azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento pendenti presso un'autorità giurisdizionale in un altro Stato membro, prende contatto con tale autorità giurisdizionale nell'altro Stato membro per confermare l'esistenza delle azioni. 2.   Qualora azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento siano pendenti presso un'autorità giurisdizionale in un altro Stato membro, qualunque autorità giurisdizionale competente successivamente adita può sospendere le azioni. 3.   Se tali azioni sono pendenti in primo grado, qualunque autorità giurisdizionale successivamente adita può parimenti dichiarare la propria incompetenza su richiesta di una delle parti a condizione che l'autorità giurisdizionale adita per prima sia competente a conoscere delle domande proposte e la sua legge consenta la riunione dei procedimenti. Considerando appropriati Considerando 144 - Procedimenti Correlati Domande frequenti sull'articolo 81 +Cos'è la sospensione del procedimento secondo il GDPR? L'articolo 81 consente a un giudice di sospendere il procedimento quando procedimenti paralleli sullo stesso trattamento sono pendenti dinanzi a un giudice di un altro Stato membro. +Perché il GDPR consente la sospensione del procedimento? Evita sentenze contraddittorie e contenziosi duplicati quando lo stesso oggetto, con lo stesso titolare o responsabile, è in giudizio altrove nell'UE. +I giudici possono coordinare cause GDPR connesse? Sì. Quando azioni connesse sono pendenti in primo grado, un giudice competente può anche dichiarare la propria incompetenza per consentire la riunione, fatte salve le regole applicabili.

1.   Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento. 2.   Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento. 3.   Il titolare del trattamento o il responsabile del trattamento è esonerato dalla responsabilità, a norma del paragrafo 2 se dimostra che l'evento dannoso non gli è in alcun modo imputabile. 4.   Qualora più titolari del trattamento o responsabili del trattamento oppure entrambi il titolare del trattamento e il responsabile del trattamento siano coinvolti nello stesso trattamento e siano, ai sensi dei paragrafi 2 e 3, responsabili dell'eventuale danno causato dal trattamento, ogni titolare del trattamento o responsabile del trattamento è responsabile in solido per l'intero ammontare del danno, al fine di garantire il risarcimento effettivo dell'interessato. 5.   Qualora un titolare del trattamento o un responsabile del trattamento abbia pagato, conformemente al paragrafo 4, l'intero risarcimento del danno, tale titolare del trattamento o responsabile del trattamento ha il diritto di reclamare dagli altri titolari del trattamento o responsabili del trattamento coinvolti nello stesso trattamento la parte del risarcimento corrispondente alla loro parte di responsabilità per il danno conformemente alle condizioni di cui al paragrafo 2. 6.   Le azioni legali per l'esercizio del diritto di ottenere il risarcimento del danno sono promosse dinanzi alle autorità giurisdizionali competenti a norma del diritto dello Stato membro di cui all'articolo 79, paragrafo 2. Considerando appropriati Considerando 146 - IndennitàConsiderando 147 - Giurisdizione Domande frequenti sull'articolo 82 +Posso chiedere un risarcimento per una violazione del GDPR? Sì. L'articolo 82 conferisce a chiunque subisca un danno materiale o immateriale da una violazione del GDPR il diritto di ottenere il risarcimento dal titolare o dal responsabile. +Il risarcimento del GDPR copre il danno morale? Sì. Il risarcimento copre i danni immateriali, che possono includere la sofferenza, oltre alle perdite economiche materiali derivanti dalla violazione. +Chi è tenuto a pagare il risarcimento del GDPR? Il titolare risponde dei danni causati da un trattamento non conforme, e il responsabile risponde quando viola obblighi propri o agisce al di fuori delle istruzioni.

1.   Ogni autorità di controllo provvede affinché le sanzioni amministrative pecuniarie inflitte ai sensi del presente articolo in relazione alle violazioni del presente regolamento di cui ai paragrafi 4, 5 e 6 siano in ogni singolo caso effettive, proporzionate e dissuasive. 2.   Le sanzioni amministrative pecuniarie sono inflitte, in funzione delle circostanze di ogni singolo caso, in aggiunta alle misure di cui all'articolo 58, paragrafo 2, lettere da a) a h) e j), o in luogo di tali misure. Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l'ammontare della stessa in ogni singolo caso si tiene debito conto dei seguenti elementi: a) la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l'oggetto o a finalità del trattamento in questione nonché il numero di interessati lesi dal danno e il livello del danno da essi subito; b) il carattere doloso o colposo della violazione; c) le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati; d) il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32; e) eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento; f) il grado di cooperazione con l'autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possibili effetti negativi; g) le categorie di dati personali interessate dalla violazione; h) la maniera in cui l'autorità di controllo ha preso conoscenza della violazione, in particolare se e in che misura il titolare del trattamento o il responsabile del trattamento ha notificato la violazione; i) qualora siano stati precedentemente disposti provvedimenti di cui all'articolo 58, paragrafo 2, nei confronti del titolare del trattamento o del responsabile del trattamento in questione relativamente allo stesso oggetto, il rispetto di tali provvedimenti; j) l'adesione ai codici di condotta approvati ai sensi dell'articolo 40 o ai meccanismi di certificazione approvati ai sensi dell'articolo 42; e k) eventuali altri fattori aggravanti o attenuanti applicabili alle circostanze del caso, ad esempio i benefici finanziari conseguiti o le perdite evitate, direttamente o indirettamente, quale conseguenza della violazione. 3.   Se, in relazione allo stesso trattamento o a trattamenti collegati, un titolare del trattamento o un responsabile del trattamento viola, con dolo o colpa, varie disposizioni del presente regolamento, l'importo totale della sanzione amministrativa pecuniaria non supera l'importo specificato per la violazione più grave. 4.   In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR, o per le imprese, fino al 2 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore: a) gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43; b) gli obblighi dell'organismo di certificazione a norma degli articoli 42 e 43; c) gli obblighi dell'organismo di controllo a norma dell'articolo 41, paragrafo 4; 5.   In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore: a) i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9; b) i diritti degli interessati a norma degli articoli da 12 a 22; c) i trasferimenti di dati personali a un destinatario in un paese terzo o un'organizzazione internazionale a norma degli articoli da 44 a 49; d) qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX; e) l'inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell'autorità di controllo ai sensi dell'articolo 58, paragrafo 2, o il negato accesso in violazione dell'articolo 58, paragrafo 1. 6.   In conformità del paragrafo 2 del presente articolo, l'inosservanza di un ordine da parte dell'autorità di controllo di cui all'articolo 58, paragrafo 2, è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore. 7.   Fatti salvi i poteri correttivi delle autorità di controllo a norma dell'articolo 58, paragrafo 2, ogni Stato membro può prevedere norme che dispongano se e in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti in tale Stato membro. 8.   L'esercizio da parte dell'autorità di controllo dei poteri attribuitile dal presente articolo è soggetto a garanzie procedurali adeguate in conformità del diritto dell'Unione e degli Stati membri, inclusi il ricorso giurisdizionale effettivo e il giusto processo. 9.   Se l'ordinamento giuridico dello Stato membro non prevede sanzioni amministrative pecuniarie, il presente articolo può essere applicato in maniera tale che l'azione sanzionatoria sia avviata dall'autorità di controllo competente e la sanzione pecuniaria sia irrogata dalle competenti autorità giurisdizionali nazionali, garantendo nel contempo che i mezzi di ricorso siano effettivi e abbiano effetto equivalente alle sanzioni amministrative pecuniarie irrogate dalle autorità di controllo. In ogni caso, le sanzioni pecuniarie irrogate sono effettive, proporzionate e dissuasive. Tali Stati membri notificano alla Commissione le disposizioni di legge adottate a norma del presente paragrafo al più tardi entro 25 maggio 2018 e comunicano senza ritardo ogni successiva modifica. Considerando appropriati Considerando 148 - SanzioniConsiderando 149 - Sanzioni Per Le Violazioni Delle Norme NazionaliConsiderando 150 - Sanzioni AmministrativeConsiderando 151 - Sanzioni Amministrative In Danimarca Ed EstoniaConsiderando 152 - Potere Sanzionatorio Degli Stati Membri Domande frequenti sull'articolo 83 +Quali sono le sanzioni massime del GDPR? L'articolo 83 prevede due livelli: fino a 10 milioni di euro o il 2 % del fatturato annuo mondiale per alcune violazioni, e fino a 20 milioni di euro o il 4 % per quelle più gravi, applicandosi l'importo maggiore. +Come si calcolano le sanzioni del GDPR? Le sanzioni devono essere effettive, proporzionate e dissuasive. Le autorità considerano natura e gravità della violazione, l'intenzionalità, l'attenuazione e la cooperazione con l'autorità. +Qual è la differenza tra i due livelli di sanzioni del GDPR? Il livello inferiore si applica a obblighi come i registri e la sicurezza, mentre quello superiore si applica alle violazioni dei principi fondamentali, dei diritti delle persone e delle regole sui trasferimenti internazionali.

1.   Gli Stati membri stabiliscono le norme relative alle altre sanzioni per le violazioni del presente regolamento in particolare per le violazioni non soggette a sanzioni amministrative pecuniarie a norma dell'articolo 83, e adottano tutti i provvedimenti necessari per assicurarne l'applicazione. Tali sanzioni devono essere effettive, proporzionate e dissuasive. 2.   Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 1 al più tardi entro 25 maggio 2018, e comunica senza ritardo ogni successiva modifica. Considerando appropriati Considerando 149 - Sanzioni Per Le Violazioni Delle Norme NazionaliConsiderando 150 - Sanzioni AmministrativeConsiderando 151 - Sanzioni Amministrative In Danimarca Ed EstoniaConsiderando 152 - Potere Sanzionatorio Degli Stati Membri Domande frequenti sull'articolo 84 +Quali sanzioni esistono oltre alle sanzioni pecuniarie del GDPR? L'articolo 84 impone agli Stati membri di stabilire altre sanzioni per le violazioni non coperte dalle sanzioni amministrative pecuniarie, assicurando che siano effettive, proporzionate e dissuasive. +Le violazioni del GDPR possono comportare sanzioni penali? Gli Stati membri possono prevedere sanzioni penali o di altro tipo nel diritto nazionale per alcune violazioni, in aggiunta alle sanzioni amministrative del GDPR. +Le sanzioni variano tra i paesi dell'UE? Sì. Poiché l'articolo 84 lascia le sanzioni aggiuntive al diritto nazionale, le sanzioni concrete possono differire da uno Stato membro all'altro.

1.   Il diritto degli Stati membri concilia la protezione dei dati personali ai sensi del presente regolamento con il diritto alla libertà d'espressione e di informazione, incluso il trattamento a scopi giornalistici o di espressione accademica, artistica o letteraria. 2.   Ai fini del trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, gli Stati membri prevedono esenzioni o deroghe rispetto ai capi II (principi), III (diritti dell'interessato), IV (titolare del trattamento e responsabile del trattamento), V (trasferimento di dati personali verso paesi terzi o organizzazioni internazionali), VI (autorità di controllo indipendenti), VII (cooperazione e coerenza) e IX (specifiche situazioni di trattamento dei dati) qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libertà d'espressione e di informazione. 3.   Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 2 e comunica senza ritardo ogni successiva modifica. Considerando appropriati Considerando 153 - Trattamento Dei Dati Personali Esclusivamente A Fini Giornalistici O A Scopi Di Espressione Accademica, Artistica O Letteraria Domande frequenti sull'articolo 85 +Come concilia il GDPR la riservatezza e la libertà di espressione? L'articolo 85 impone agli Stati membri di conciliare il diritto alla protezione dei dati con la libertà di espressione e di informazione, compreso il trattamento a fini giornalistici, accademici, artistici o letterari. +I giornalisti sono esentati dal GDPR? Non del tutto. Gli Stati membri devono prevedere esenzioni o deroghe a fini giornalistici quando necessario per bilanciare protezione dei dati e libertà di espressione. +Il GDPR si applica all'informazione giornalistica? Sì, ma con deroghe. Le leggi nazionali adattano l'applicazione del GDPR al giornalismo per tutelare la libertà di stampa preservando al contempo i dati personali.

I dati personali contenuti in documenti ufficiali in possesso di un'autorità pubblica o di un organismo pubblico o privato per l'esecuzione di un compito svolto nell'interesse pubblico possono essere comunicati da tale autorità o organismo conformemente al diritto dell'Unione o degli Stati membri cui l'autorità pubblica o l'organismo pubblico sono soggetti, al fine di conciliare l'accesso del pubblico ai documenti ufficiali e il diritto alla protezione dei dati personali ai sensi del presente regolamento. Considerando appropriati Considerando 154 - Principio Di Accesso Pubblico Ai Documenti Ufficiali Domande frequenti sull'articolo 86 +Il GDPR incide sulle richieste di accesso agli atti? L'articolo 86 consente di divulgare i dati personali contenuti in documenti ufficiali detenuti da autorità pubbliche conformemente alle leggi sull'accesso del pubblico, bilanciando trasparenza e protezione dei dati. +Le autorità pubbliche possono diffondere documenti con dati personali? Sì, quando autorizzato dal diritto dell'UE o di uno Stato membro sull'accesso ai documenti ufficiali, conciliando la trasparenza con il diritto alla protezione dei dati. +Come incide l'articolo 86 sulle leggi di trasparenza? Conferma che il GDPR non prevale automaticamente sulle norme nazionali sull'accesso alle informazioni, che continuano a disciplinare l'accesso del pubblico accanto alla protezione dei dati.

Gli Stati membri possono precisare ulteriormente le condizioni specifiche per il trattamento di un numero di identificazione nazionale o di qualsiasi altro mezzo d'identificazione d'uso generale. In tal caso, il numero di identificazione nazionale o qualsiasi altro mezzo d'identificazione d'uso generale sono utilizzati soltanto in presenza di garanzie adeguate per i diritti e le libertà dell'interessato conformemente al presente regolamento. Considerando appropriati Considerando 41 – Base Giuridica O Misure Legislative Considerando 51 – Protezione Dei Dati Personali Sensibili Considerando 75 – Rischi Per I Diritti E Le Libertà Delle Persone Fisiche Considerando 78 – Misure Tecniche E Organizzative Appropriate Domande frequenti sull'articolo 87 +Il GDPR disciplina i numeri di identificazione nazionali? L'articolo 87 consente agli Stati membri di fissare condizioni specifiche per il trattamento dei numeri di identificazione nazionali, utilizzabili solo con garanzie adeguate per i diritti delle persone. +Le aziende possono usare liberamente i numeri di identificazione nazionali? No. L'uso dei numeri di identificazione nazionali è soggetto a norme e garanzie nazionali, per cui le organizzazioni devono verificare le condizioni di ciascuno Stato membro. +Perché i numeri di identificazione nazionali sono trattati in modo speciale? Poiché possono identificare univocamente le persone in molti sistemi, comportano rischi maggiori e giustificano garanzie aggiuntive nel diritto nazionale.

1.   Gli Stati membri possono prevedere, con legge o tramite contratti collettivi, norme più specifiche per assicurare la protezione dei diritti e delle libertà con riguardo al trattamento dei dati personali dei dipendenti nell'ambito dei rapporti di lavoro, in particolare per finalità di assunzione, esecuzione del contratto di lavoro, compreso l'adempimento degli obblighi stabiliti dalla legge o da contratti collettivi, di gestione, pianificazione e organizzazione del lavoro, parità e diversità sul posto di lavoro, salute e sicurezza sul lavoro, protezione della proprietà del datore di lavoro o del cliente e ai fini dell'esercizio e del godimento, individuale o collettivo, dei diritti e dei vantaggi connessi al lavoro, nonché per finalità di cessazione del rapporto di lavoro. 2.   Tali norme includono misure appropriate e specifiche a salvaguardia della dignità umana, degli interessi legittimi e dei diritti fondamentali degli interessati, in particolare per quanto riguarda la trasparenza del trattamento, il trasferimento di dati personali nell'ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un'attività economica comune e i sistemi di monitoraggio sul posto di lavoro. 3.   Ogni Stato membro notifica alla Commissione le disposizioni di legge adottate ai sensi del paragrafo 1 entro 25 maggio 2018 e comunica senza ritardo ogni successiva modifica. Considerando appropriati Considerando 155 - Elaborazione Nel Contesto Occupazionale Domande frequenti sull'articolo 88 +Il GDPR si applica ai dati dei dipendenti? Sì. L'articolo 88 consente agli Stati membri di stabilire regole più specifiche per il trattamento dei dati dei dipendenti, con garanzie per la dignità e gli interessi dei lavoratori. +I datori di lavoro possono monitorare i dipendenti secondo il GDPR? Il monitoraggio è soggetto alle norme nazionali sul lavoro e alle garanzie del GDPR, che richiedono trasparenza, necessità e proporzionalità a tutela dei diritti dei dipendenti. +Quali garanzie si applicano al trattamento dei dati sul luogo di lavoro? Le norme nazionali devono includere misure a tutela della dignità umana, degli interessi legittimi e dei diritti fondamentali, in particolare per trasparenza, monitoraggio e trasferimenti all'interno dei gruppi.

1.   Il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici è soggetto a garanzie adeguate per i diritti e le libertà dell'interessato, in conformità del presente regolamento. Tali garanzie assicurano che siano state predisposte misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure possono includere la pseudonimizzazione, purché le finalità in questione possano essere conseguite in tal modo. Qualora possano essere conseguite attraverso il trattamento ulteriore che non consenta o non consenta più di identificare l'interessato, tali finalità devono essere conseguite in tal modo. 2.   Se i dati personali sono trattati a fini di ricerca scientifica o storica o a fini statistici, il diritto dell'Unione o degli Stati membri può prevedere deroghe ai diritti di cui agli articoli 15, 16, 18 e 21, fatte salve le condizioni e le garanzie di cui al paragrafo 1 del presente articolo, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità specifiche e tali deroghe sono necessarie al conseguimento di dette finalità. 3.   Se i dati personali sono trattati per finalità di archiviazione nel pubblico interesse, il diritto dell'Unione o degli Stati membri può prevedere deroghe ai diritti di cui agli articoli 15, 16, 18, 19, 20 e 21, fatte salve le condizioni e le garanzie di cui al paragrafo 1 del presente articolo, nella misura in cui tali diritti rischiano di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità specifiche e tali deroghe sono necessarie al conseguimento di dette finalità. 4.   Qualora il trattamento di cui ai paragrafi 2 e 3 funga allo stesso tempo a un altro scopo, le deroghe si applicano solo al trattamento per le finalità di cui ai medesimi paragrafi. Considerando appropriati Considerando 156 - Trattamento Per Finalità Di Archiviazione, Ricerca Scientifica O Storica O Per Finalità StatisticheConsiderando 157 - Informazioni Dai Registri E Ricerca ScientificaConsiderando 158 - Elaborazione Per Scopi Di ArchiviazioneConsiderando 159 - Trattamento Per Finalità Di Ricerca ScientificaConsiderando 160 - Trattamento Per Finalità Di Ricerca StoricaConsiderando 161 - Consenso Alla Partecipazione Agli Studi CliniciConsiderando 162 - Trattamento A Fini StatisticiConsiderando 163 - Produzione Di Statistiche Europee E Nazionali Domande frequenti sull'articolo 89 +Quali garanzie si applicano ai dati di ricerca secondo il GDPR? L'articolo 89 richiede garanzie adeguate, come la minimizzazione dei dati e la pseudonimizzazione, per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica, o statistici. +Esistono deroghe del GDPR per la ricerca scientifica? Sì. Gli Stati membri possono prevedere deroghe a determinati diritti delle persone quando necessarie a fini di ricerca o statistici, purché sussistano garanzie. +Cos'è la pseudonimizzazione nella ricerca? La pseudonimizzazione sostituisce i dati identificativi con pseudonimi, così che le persone non possano essere identificate senza informazioni aggiuntive, tutelando i dati usati per la ricerca.

1.   Gli Stati membri possono adottare norme specifiche per stabilire i poteri delle autorità di controllo di cui all'articolo 58, paragrafo 1, lettere e) e f), in relazione ai titolari del trattamento o ai responsabili del trattamento che sono soggetti, ai sensi del diritto dell'Unione o degli Stati membri o di norme stabilite dagli organismi nazionali competenti, al segreto professionale o a un obbligo di segretezza equivalente, ove siano necessarie e proporzionate per conciliare il diritto alla protezione dei dati personali e l'obbligo di segretezza. Tali norme si applicano solo ai dati personali che il titolare del trattamento o il responsabile del trattamento ha ricevuto o ha ottenuto in seguito a un'attività protetta da tale segreto professionale. 2.   Ogni Stato membro notifica alla Commissione le norme adottate ai sensi del paragrafo 1 al più tardi entro 25 maggio 2018 e comunica senza ritardo ogni successiva modifica. Considerando appropriati Considerando 164 - Obblighi Di Segretezza Professionale O Equivalente Domande frequenti sull'articolo 90 +Cosa dice l'articolo 90 del GDPR sul segreto professionale? L'articolo 90 consente agli Stati membri di stabilire norme che disciplinano i poteri delle autorità di controllo nei confronti di titolari e responsabili soggetti a obblighi di segreto professionale. +Come tratta il GDPR le professioni riservate? Consente norme nazionali specifiche per conciliare la vigilanza sulla protezione dei dati con i doveri di segretezza in professioni come quella legale, medica o altri ambiti regolamentati. +Le autorità possono accedere a dati coperti dal segreto professionale? L'accesso può essere limitato da norme nazionali a tutela del segreto professionale, bilanciando la vigilanza con gli obblighi di riservatezza.

1.   Qualora in uno Stato membro chiese e associazioni o comunità religiose applichino, al momento dell'entrata in vigore del presente regolamento, corpus completi di norme a tutela delle persone fisiche con riguardo al trattamento, tali corpus possono continuare ad applicarsi purché siano resi conformi al presente regolamento. 2.   Le chiese e le associazioni religiose che applicano i corpus completi di norme di cui al paragrafo 1 del presente articolo sono soggette al controllo di un'autorità di controllo indipendente che può essere specifica, purché soddisfi le condizioni di cui al capo VI del presente regolamento. Considerando appropriati Considerando 165 - Nessun Pregiudizio Per Lo Status Delle Chiese E Delle Associazioni Religiose Domande frequenti sull'articolo 91 +Le chiese hanno proprie norme di protezione dei dati secondo il GDPR? L'articolo 91 consente alle chiese e alle associazioni religiose che applicavano norme complete di protezione dei dati prima del GDPR di mantenerle, purché le rendano conformi al GDPR. +Le organizzazioni religiose sono esentate dal GDPR? No. Non sono esentate, ma quelle con norme complete preesistenti possono mantenerle sotto la vigilanza di un organismo indipendente, se allineate al GDPR. +Chi vigila sulle norme di protezione dei dati delle chiese? Tali norme possono essere soggette alla vigilanza di un organismo di controllo indipendente, che può essere specifico dell'organizzazione religiosa, conformemente agli standard del GDPR.

1.   Il potere di adottare atti delegati è conferito alla Commissione alle condizioni stabilite nel presente articolo. 2.   La delega di potere di cui all'articolo 12, paragrafo 8, e all'articolo 43, paragrafo 8, è conferita alla Commissione per un periodo indeterminato a decorrere 24 maggio 2016. 3.   La delega di potere di cui all'articolo 12, paragrafo 8, e all'articolo 43, paragrafo 8, può essere revocata in qualsiasi momento dal Parlamento europeo o dal Consiglio. La decisione di revoca pone fine alla delega di potere ivi specificata. Gli effetti della decisione decorrono dal giorno successivo alla pubblicazione della decisione nella Gazzetta ufficiale dell'Unione europea o da una data successiva ivi specificata. Essa non pregiudica la validità degli atti delegati già in vigore. 4.   Non appena adotta un atto delegato, la Commissione ne dà contestualmente notifica al Parlamento europeo e al Consiglio. 5.   L'atto delegato adottato ai sensi dell'articolo 12, paragrafo 8, e all'articolo 43, paragrafo 8, entra in vigore solo se né il Parlamento europeo né il Consiglio hanno sollevato obiezioni entro il termine di tre mesi dalla data in cui esso è stato loro notificato o se, prima della scadenza di tale termine, sia il Parlamento europeo che il Consiglio hanno informato la Commissione che non intendono sollevare obiezioni. Tale termine è prorogato di tre mesi su iniziativa del Parlamento europeo o del Consiglio. Considerando appropriati Considerando 166 - Atti Delegati Della CommissioneConsiderando 167 - Poteri Di Attuazione Della CommissioneConsiderando 168 - Atti Di Esecuzione Sulle Clausole Contrattuali StandardConsiderando 169 - Atti Di Esecuzione Immediatamente ApplicabiliConsiderando 170 - Principio Di Sussidiarietà E Principio Di Proporzionalità Domande frequenti sull'articolo 92 +Cosa copre l'articolo 92 del GDPR? L'articolo 92 stabilisce come la Commissione europea può esercitare il potere di adottare atti delegati ai sensi del GDPR, compresi la durata e le condizioni di tale potere. +La Commissione europea può modificare le regole del GDPR? La Commissione può adottare atti delegati solo entro i limiti fissati dal GDPR, e il Parlamento e il Consiglio possono revocare la delega od opporsi a singoli atti. +Cos'è un atto delegato secondo il GDPR? Un atto delegato è una misura non legislativa che la Commissione può adottare per integrare o modificare elementi non essenziali del GDPR entro limiti definiti.

1.   La Commissione è assistita da un comitato. Esso è un comitato ai sensi del regolamento (UE) n. 182/2011. 2.   Nei casi in cui è fatto riferimento al presente paragrafo, si applica l'articolo 5 del regolamento (UE) n. 182/2011. 3.   Nei casi in cui è fatto riferimento al presente paragrafo, si applica l'articolo 8 del regolamento (UE) n. 182/2011 in combinato disposto con il suo articolo 5. Considerando appropriati Considerando 8 – Recepimento Nel Diritto Nazionale Considerando 10 – Livello Armonizzato Di Protezione Dei Dati Nonostante L’Ambito Nazionale Considerando 11 – Armonizzazione Dei Poteri E Delle Sanzioni Domande frequenti sull'articolo 93 +Cos'è la procedura di comitato secondo l'articolo 93 del GDPR? L'articolo 93 prevede che la Commissione sia assistita da un comitato quando adotta atti di esecuzione, secondo le consuete procedure di comitologia dell'UE. +Come si adottano gli atti di esecuzione del GDPR? Gli atti di esecuzione sono adottati con la partecipazione di un comitato di rappresentanti degli Stati membri, secondo la procedura d'esame prevista dalle norme dell'UE. +Qual è la differenza tra atti delegati e atti di esecuzione? Gli atti delegati integrano o modificano parti non essenziali della norma, mentre gli atti di esecuzione fissano condizioni uniformi di applicazione, con la partecipazione degli Stati membri in un comitato.

1.   La direttiva 95/46/CE è abrogata a decorrere da 25 maggio 2018. 2.   I riferimenti alla direttiva abrogata si intendono fatti al presente regolamento. I riferimenti al gruppo per la tutela delle persone con riguardo al trattamento dei dati personali istituito dall'articolo 29 della direttiva 95/46/CE si intendono fatti al comitato europeo per la protezione dei dati istituito dal presente regolamento. Considerando appropriati Considerando 171 - Abrogazione Della Direttiva 95/46/Ce E Disposizioni Transitorie Domande frequenti sull'articolo 94 +Il GDPR ha sostituito la direttiva sulla protezione dei dati? Sì. L'articolo 94 ha abrogato la direttiva 95/46/CE con effetto dal 25 maggio 2018, quando il GDPR è divenuto applicabile in tutta l'UE. +Cos'era la direttiva 95/46/CE? La direttiva 95/46/CE era il precedente quadro europeo sulla protezione dei dati, che il GDPR ha sostituito per creare un regolamento unico, direttamente applicabile in tutti gli Stati membri. +I riferimenti alla vecchia direttiva si applicano ancora? I riferimenti alla direttiva abrogata si intendono come riferimenti al GDPR, e i riferimenti al precedente gruppo di lavoro come riferimenti al Comitato europeo per la protezione dei dati.

Il presente regolamento non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell'Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva 2002/58/CE. Considerando appropriati Considerando 173 - Rapporto Con La Direttiva 2002/58/Ce Domande frequenti sull'articolo 95 +Come si rapporta il GDPR con la direttiva ePrivacy? L'articolo 95 prevede che il GDPR non imponga obblighi aggiuntivi laddove la direttiva 2002/58/CE già stabilisca obblighi specifici per lo stesso trattamento nelle comunicazioni elettroniche. +Per i cookie si applica il GDPR o la direttiva ePrivacy? Le norme ePrivacy disciplinano molti aspetti dei cookie e delle comunicazioni elettroniche, mentre il GDPR si applica ai dati personali coinvolti, operando le due insieme. +Cos'è la direttiva ePrivacy? La direttiva 2002/58/CE, nota come direttiva ePrivacy, stabilisce regole di riservatezza specifiche per le comunicazioni elettroniche, compresa la riservatezza e l'uso dei cookie.

Restano in vigore, fino alla loro modifica, sostituzione o revoca, gli accordi internazionali che comportano il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali conclusi dagli Stati membri prima di 24 maggio 2016 e conformi al diritto dell'Unione applicabile prima di tale data. Considerando appropriati Considerando 108 – Garanzie Appropriate Considerando 109 – Clausole Standard Di Protezione Dei Dati Domande frequenti sull'articolo 96 +I vecchi accordi internazionali sopravvivono al GDPR? L'articolo 96 prevede che gli accordi internazionali con trasferimenti conclusi prima del 24 maggio 2016 restino in vigore fino a modifica, sostituzione o revoca, se conformi al diritto allora applicabile. +Gli accordi di trasferimento anteriori al GDPR possono ancora essere usati? Sì, se conclusi prima della data limite e conformi al diritto in vigore allora, fino alla loro modifica o revoca. +Perché l'articolo 96 è importante per i trasferimenti internazionali? Garantisce continuità giuridica, assicurando che gli accordi esistenti non siano automaticamente invalidati dal GDPR e incoraggiando al contempo un successivo allineamento.

1.   Entro 25 maggio 2020 e, successivamente, ogni quattro anni, la Commissione trasmette al Parlamento europeo e al Consiglio relazioni di valutazione e sul riesame del presente regolamento. 2.   Nel contesto delle valutazioni e del riesame del presente regolamento di cui al paragrafo 1, la Commissione esamina, in particolare, l'applicazione e il funzionamento: a) del capo V sul trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, con particolare riguardo alle decisioni adottate ai sensi dell'articolo 45, paragrafo 3, del presente regolamento, e alle decisioni adottate sulla base dell'articolo 25, paragrafo 6, della direttiva 95/46/CE; b) del capo VII su cooperazione e coerenza. 3.   Ai fini del paragrafo 1, la Commissione può richiedere informazioni agli Stati membri e alle autorità di controllo. 4.   Nello svolgere le valutazioni e i riesami di cui ai paragrafi 1 e 2, la Commissione tiene conto delle posizioni e delle conclusioni del Parlamento europeo, del Consiglio, nonché di altri organismi o fonti pertinenti. 5.   Se del caso, la Commissione presenta opportune proposte di modifica del presente regolamento tenuto conto, in particolare, degli sviluppi delle tecnologie dell'informazione e dei progressi della società dell'informazione. Considerando appropriati Considerando 6 – Garantire Un Alto Livello Di Protezione Dei Dati Nonostante L’Aumento Dello Scambio Di Dati Considerando 7 – Il Quadro Si Basa Sul Controllo E La Certezza Considerando 9 – Differenti Standard Di Protezione Secondo La Direttiva 95/46/Ce Domande frequenti sull'articolo 97 +La Commissione europea riesamina il GDPR? Sì. L'articolo 97 impone alla Commissione di riferire periodicamente sulla valutazione e il riesame del GDPR, con la prima relazione attesa entro il 25 maggio 2020. +Con quale frequenza viene valutato il GDPR? La Commissione deve presentare relazioni almeno ogni quattro anni, esaminando aspetti come i trasferimenti internazionali e la cooperazione tra autorità di controllo. +Il GDPR può essere modificato dopo un riesame? Sì. Sulla base delle valutazioni, la Commissione può presentare, se opportuno, proposte di modifica del GDPR.

Se del caso, la Commissione presenta proposte legislative di modifica di altri atti legislativi dell'Unione in materia di protezione dei dati personali, allo scopo di garantire una protezione uniforme e coerente delle persone fisiche con riguardo al trattamento. Ciò riguarda in particolare le norme relative alla protezione delle persone fisiche con riguardo al trattamento da parte di istituzioni, organi, uffici e agenzie dell'Unione e le norme sulla libera circolazione di tali dati. Considerando appropriati Considerando 7 – Il Quadro Si Basa Sul Controllo E La Certezza Considerando 8 – Recepimento Nel Diritto Nazionale Considerando 9 – Differenti Standard Di Protezione Secondo La Direttiva 95/46/Ce Considerando 13 – Tenere Conto Delle Micro, Piccole E Medie Imprese Domande frequenti sull'articolo 98 +Cosa richiede l'articolo 98 del GDPR? L'articolo 98 incarica la Commissione di riesaminare altri atti giuridici dell'UE sulla protezione dei dati, come quelli applicabili alle istituzioni dell'UE, per allinearli al GDPR ove opportuno. +Il GDPR si applica alle istituzioni dell'UE? Le istituzioni dell'UE sono disciplinate da norme distinte ma allineate, e l'articolo 98 sostiene l'aggiornamento di tali atti per assicurare una protezione coerente nell'UE. +Perché riesaminare altre leggi dell'UE sulla protezione dei dati? Il riesame degli atti correlati assicura un approccio coerente e uniforme alla protezione dei dati in tutta la legislazione dell'UE, non solo nel GDPR.

1.   Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell'Unione europea. 2.   Esso si applica a decorrere da 25 maggio 2018. Considerando appropriati Considerando 4 – Protezione Dei Dati In Equilibrio Con Altri Diritti Fondamentali Considerando 6 – Garantire Un Alto Livello Di Protezione Dei Dati Nonostante L’Aumento Dello Scambio Di Dati Considerando 7 – Il Quadro Si Basa Sul Controllo E La Certezza Domande frequenti sull'articolo 99 +Quando è entrato in vigore il GDPR? L'articolo 99 prevede che il GDPR sia entrato in vigore il 24 maggio 2016 e sia divenuto applicabile dal 25 maggio 2018, concedendo alle organizzazioni un periodo transitorio di due anni. +Qual è la differenza tra entrata in vigore e applicazione? Il GDPR è entrato in vigore nel 2016, ma i suoi obblighi sono divenuti esigibili, cioè applicabili, solo dal 25 maggio 2018. +Il GDPR è direttamente applicabile in tutti i paesi dell'UE? Sì. In quanto regolamento, il GDPR è obbligatorio in tutti i suoi elementi e direttamente applicabile in tutti gli Stati membri, senza bisogno di recepimento nazionale.