Direttiva 1995/46

Tutela dei dati personali e libera circolazione dei dati

La direttiva 95/46/CE, adottata il 24 ottobre 1995, persegue un duplice obiettivo: assicurare un livello elevato ed equivalente di tutela dei diritti e delle libertà fondamentali delle persone fisiche, soprattutto del diritto alla vita privata, e impedire che le differenze tra legislazioni nazionali ostacolino la libera circolazione dei dati personali nel mercato interno. La disciplina si fonda sul ravvicinamento delle legislazioni nazionali, lasciando agli Stati membri un margine di discrezionalità nella definizione delle condizioni concrete di liceità, delle garanzie e delle procedure nazionali.

Ambito di applicazione e diritto nazionale applicabile

La direttiva si applica ai trattamenti interamente o parzialmente automatizzati e ai trattamenti manuali di dati contenuti o destinati a essere contenuti in archivi strutturati secondo criteri determinati. La nozione di trattamento è ampia e comprende raccolta, registrazione, organizzazione, conservazione, modifica, consultazione, comunicazione, interconnessione, congelamento, cancellazione e distruzione.

Sono esclusi:

• i trattamenti effettuati per attività estranee al campo di applicazione del diritto comunitario;
• i trattamenti relativi a pubblica sicurezza, difesa, sicurezza dello Stato, compreso il benessere economico dello Stato quando connesso alla sicurezza dello Stato, e attività statali in materia penale;
• i trattamenti effettuati da una persona fisica per attività esclusivamente personali o domestiche.

L'articolo 4 collega l'applicazione della legge nazionale al contesto delle attività di uno stabilimento del responsabile nel territorio dello Stato membro. Se il responsabile è stabilito in più Stati membri, ciascuno stabilimento deve rispettare il diritto nazionale applicabile alle proprie attività. Quando un responsabile non stabilito nella Comunità utilizza strumenti situati nel territorio di uno Stato membro, deve designare un rappresentante in tale Stato, salvo che gli strumenti siano utilizzati esclusivamente per il transito.

Definizioni rilevanti

La direttiva qualifica come dato personale qualsiasi informazione concernente una persona fisica identificata o identificabile, direttamente o indirettamente. L'identificabilità può derivare, tra l'altro, da un numero identificativo o da elementi fisici, fisiologici, psichici, economici, culturali o sociali.

Il responsabile del trattamento determina finalità e strumenti del trattamento, anche congiuntamente ad altri soggetti; l'incaricato tratta i dati per conto del responsabile. Il consenso deve essere libero, specifico e informato e deve esprimere l'accettazione del trattamento.

Obiettivi e obblighi di risultato per gli Stati membri

L'articolo 1 impone agli Stati membri di garantire la tutela dei diritti e delle libertà fondamentali delle persone fisiche con riguardo al trattamento dei dati personali. Al contempo, gli Stati membri non possono restringere o vietare la libera circolazione dei dati tra Stati membri per motivi attinenti alla protezione garantita dalla direttiva.

L'articolo 5 attribuisce agli Stati membri il compito di precisare, nei limiti della direttiva, le condizioni alle quali i trattamenti sono leciti. Tale rinvio lascia spazio a discipline nazionali generali o settoriali, purché rispettino gli standard minimi e il livello elevato di tutela perseguito dalla direttiva.

Principi di qualità dei dati

Ai sensi dell'articolo 6, gli Stati membri devono assicurare che i dati siano:

• trattati lealmente e lecitamente;
• raccolti per finalità determinate, esplicite e legittime;
• successivamente trattati in modo non incompatibile con le finalità originarie;
• adeguati, pertinenti e non eccedenti;
• esatti e, se necessario, aggiornati;
• cancellati o rettificati quando inesatti o incompleti;
• conservati in forma identificabile non oltre il periodo necessario alle finalità perseguite.

Il trattamento successivo per scopi storici, statistici o scientifici non è considerato incompatibile con le finalità originarie, purché siano previste garanzie appropriate. Gli Stati membri devono inoltre stabilire garanzie per i dati conservati oltre il periodo ordinario per tali finalità. Il responsabile deve garantire il rispetto di tutti questi principi.

Basi di liceità del trattamento

L'articolo 7 impone che il trattamento sia fondato su almeno una delle seguenti condizioni:

• consenso inequivocabile della persona interessata;
• necessità per l'esecuzione di un contratto o di misure precontrattuali richieste dalla persona;
• adempimento di un obbligo legale del responsabile;
• salvaguardia dell'interesse vitale della persona interessata;
• esecuzione di un compito di interesse pubblico o connesso a pubblici poteri;
• perseguimento dell'interesse legittimo del responsabile o dei destinatari, purché non prevalgano gli interessi, i diritti o le libertà fondamentali della persona.

Gli Stati membri possono precisare le condizioni di utilizzo e comunicazione dei dati in settori specifici, purché operino entro il quadro della direttiva e assicurino un bilanciamento coerente con i diritti fondamentali.

Categorie particolari di dati

L'articolo 8 stabilisce il divieto generale di trattamento dei dati idonei a rivelare origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati relativi alla salute e vita sessuale.

Sono previste deroghe, tra l'altro, quando:

• la persona ha prestato consenso esplicito, salvo limiti previsti dal diritto nazionale;
• il trattamento è necessario per obblighi e diritti in materia di lavoro e autorizzato da norme nazionali con garanzie adeguate;
• è necessario per un interesse vitale quando la persona non può prestare consenso;
• è svolto da organismi senza scopo di lucro nell'ambito delle loro finalità lecite e riguarda membri o contatti regolari;
• riguarda dati manifestamente resi pubblici dalla persona;
• è necessario per costituire, esercitare o difendere un diritto in sede giudiziaria;
• è necessario per prevenzione, diagnosi, cura o gestione sanitaria ed è svolto da soggetti vincolati al segreto professionale;
• ricorre un rilevante interesse pubblico e lo Stato membro prevede garanzie appropriate.

I dati relativi a infrazioni, condanne penali e misure di sicurezza possono essere trattati soltanto sotto il controllo dell'autorità pubblica o sulla base di garanzie specifiche previste dal diritto nazionale. Un registro completo delle condanne penali può essere tenuto soltanto sotto controllo pubblico. Gli Stati membri determinano inoltre le condizioni per il trattamento dei numeri nazionali di identificazione o di identificativi generali.

Libertà di espressione

Per i trattamenti effettuati esclusivamente a fini giornalistici o di espressione artistica o letteraria, l'articolo 9 impone agli Stati membri di prevedere esenzioni o deroghe alle disposizioni dei capi II, IV e VI solo quando necessarie per conciliare il diritto alla vita privata con la libertà di espressione. La direttiva non consente invece deroghe alle misure necessarie per la sicurezza del trattamento secondo quanto emerge dai considerando.

Informazione della persona interessata

Quando i dati sono raccolti direttamente presso la persona, l'articolo 10 richiede la comunicazione almeno di:

• identità del responsabile e dell'eventuale rappresentante;
• finalità del trattamento;
• destinatari o categorie di destinatari;
• natura obbligatoria o facoltativa delle risposte e conseguenze del mancato conferimento;
• esistenza dei diritti di accesso e rettifica.

Quando i dati non sono raccolti presso la persona, l'articolo 11 prevede che le informazioni siano fornite al momento della registrazione o, al più tardi, alla prima comunicazione a un terzo. Devono essere indicate anche le categorie di dati interessate. L'obbligo può non applicarsi quando l'informazione è impossibile, richiede sforzi sproporzionati o la registrazione o comunicazione è prevista dalla legge, purché siano previste garanzie appropriate.

Accesso, rettifica, cancellazione e opposizione

L'articolo 12 riconosce alla persona interessata il diritto di ottenere, senza costrizione e senza ritardi o spese eccessivi:

• conferma dell'esistenza del trattamento;
• informazioni sulle finalità, categorie di dati e destinatari;
• comunicazione intelligibile dei dati e delle informazioni disponibili sulla loro origine;
• conoscenza della logica applicata nei trattamenti automatizzati rilevanti;
• rettifica, cancellazione o congelamento dei dati trattati in violazione della direttiva;
• comunicazione ai terzi delle rettifiche, cancellazioni o del congelamento, salvo impossibilità o sforzo sproporzionato.

L'articolo 14 riconosce il diritto di opposizione, almeno nei casi di trattamento fondato sull'esecuzione di un compito pubblico o sull'interesse legittimo, per motivi preminenti e legittimi derivanti dalla situazione particolare della persona, salvo disposizioni nazionali contrarie. Per il marketing diretto l'opposizione deve essere possibile su richiesta e gratuitamente, e la persona deve essere informata espressamente di tale diritto.

Decisioni individuali automatizzate

L'articolo 15 tutela la persona contro decisioni fondate esclusivamente su trattamenti automatizzati destinati a valutare aspetti della personalità, come rendimento professionale, credito, affidabilità o comportamento, quando producano effetti giuridici o effetti significativi analoghi.

La decisione può essere ammessa quando:

• è necessaria per la conclusione o l'esecuzione di un contratto e la richiesta è stata accolta, oppure sono previste misure idonee, inclusa la possibilità di far valere il proprio punto di vista;
• è autorizzata da una legge che preveda misure per salvaguardare l'interesse legittimo della persona.

Riservatezza e sicurezza

L'articolo 16 impone agli incaricati e a chiunque operi sotto l'autorità del responsabile o dell'incaricato di trattare i dati soltanto su istruzione del responsabile o in forza di obblighi legali.

L'articolo 17 richiede misure tecniche e organizzative adeguate contro distruzione, perdita, alterazione, diffusione o accesso non autorizzati e contro ogni altra forma illecita di trattamento. Il livello di sicurezza deve essere proporzionato ai rischi, alla natura dei dati, alle conoscenze tecniche disponibili e ai costi di attuazione.

Quando il trattamento è affidato a un incaricato, il responsabile deve:

• scegliere un soggetto che offra garanzie sufficienti;
• assicurare il rispetto delle misure di sicurezza;
• stipulare un contratto o atto giuridico vincolante;
• imporre che l'incaricato agisca soltanto su istruzioni;
• documentare per iscritto, o in forma equivalente, gli elementi relativi alla protezione dei dati e alle misure di sicurezza.

Notificazione e controllo preliminare

L'articolo 18 prevede la notificazione all'autorità di controllo prima della realizzazione di trattamenti automatizzati o di insiemi di trattamenti con finalità correlate. Gli Stati membri possono introdurre esenzioni o semplificazioni per trattamenti non pregiudizievoli, registri pubblici, organismi dotati di incaricato della protezione dei dati e determinate attività di organismi senza scopo di lucro.

La notificazione deve contenere almeno:

• nome e indirizzo del responsabile e dell'eventuale rappresentante;
• finalità del trattamento;
• categorie di interessati e dati trattati;
• destinatari o categorie di destinatari;
• trasferimenti previsti verso paesi terzi;
• descrizione generale delle misure di sicurezza.

Gli Stati membri devono individuare i trattamenti che presentano rischi specifici e assoggettarli a esame prima dell'avvio, da parte dell'autorità di controllo o dell'incaricato della protezione dei dati nei casi previsti. L'autorità di controllo deve tenere un registro pubblico dei trattamenti notificati, contenente almeno le informazioni indicate dall'articolo 19, paragrafo 1, lettere da a) a e).

Deroghe e restrizioni

L'articolo 13 consente agli Stati membri di limitare gli obblighi e i diritti previsti dagli articoli 6, paragrafo 1, 10, 11, paragrafo 1, 12 e 21 quando la limitazione è necessaria per salvaguardare sicurezza dello Stato, difesa, pubblica sicurezza, prevenzione e repressione dei reati, rilevanti interessi economici o finanziari, controlli pubblici o diritti e libertà altrui.

Le limitazioni devono essere stabilite mediante disposizioni legislative e, quando riguardano ricerca scientifica o statistiche, devono essere accompagnate da garanzie legali appropriate, in particolare per impedire l'uso dei dati ai fini di misure o decisioni individuali.

Ricorsi, responsabilità e sanzioni

Gli Stati membri devono garantire ricorsi giurisdizionali in caso di violazione dei diritti riconosciuti dalle disposizioni nazionali applicabili. Sono fatti salvi eventuali ricorsi amministrativi, anche dinanzi all'autorità di controllo.

Chiunque subisca un danno derivante da un trattamento illecito o incompatibile con la normativa nazionale di attuazione ha diritto al risarcimento nei confronti del responsabile. Quest'ultimo può essere esonerato, in tutto o in parte, se dimostra che l'evento dannoso non gli è imputabile. Gli Stati membri devono inoltre stabilire sanzioni appropriate per le violazioni.

Trasferimenti verso paesi terzi

L'articolo 25 stabilisce che il trasferimento verso un paese terzo può avvenire soltanto se tale paese garantisce un livello di protezione adeguato. L'adeguatezza deve essere valutata considerando natura dei dati, finalità dei trattamenti, paesi d'origine e destinazione finale, norme giuridiche applicabili, regole professionali e misure di sicurezza.

La Commissione può constatare, secondo la procedura dell'articolo 31, paragrafo 2, che un paese terzo offre o non offre protezione adeguata. Nel secondo caso gli Stati membri devono adottare misure per impedire trasferimenti della stessa natura; nel primo devono conformarsi alla decisione della Commissione.

In deroga al requisito dell'adeguatezza, l'articolo 26 ammette trasferimenti quando:

• la persona ha prestato consenso inequivocabile;
• il trasferimento è necessario per un contratto o per misure precontrattuali;
• è necessario per un contratto concluso nell'interesse della persona con un terzo;
• è necessario o prescritto dalla legge per un rilevante interesse pubblico o per la tutela giudiziaria;
• è necessario per un interesse vitale;
• proviene da un registro pubblico consultabile secondo legge.

Uno Stato membro può inoltre autorizzare trasferimenti sulla base di garanzie sufficienti, anche mediante clausole contrattuali appropriate, informando Commissione e altri Stati membri.

Codici di condotta

Gli Stati membri e la Commissione devono incoraggiare codici di condotta settoriali. Le associazioni professionali possono sottoporre i progetti all'autorità nazionale, che ne verifica la conformità alla normativa di attuazione e può raccogliere osservazioni degli interessati. I codici comunitari possono essere sottoposti al gruppo previsto dall'articolo 29.

Autorità di controllo e gruppo consultivo

Ogni Stato membro deve designare una o più autorità pubbliche pienamente indipendenti. Esse devono disporre di:

• poteri investigativi, compreso l'accesso ai dati e alle informazioni necessarie;
• poteri di intervento, inclusi ordini di congelamento, cancellazione o distruzione, divieti di trattamento, avvertimenti e pareri preventivi;
• potere di promuovere azioni giudiziarie o adire le autorità giudiziarie.

Le persone e le associazioni rappresentative possono presentare reclami all'autorità. Le autorità devono collaborare, scambiarsi informazioni, mantenere il segreto professionale e pubblicare periodicamente una relazione sulle proprie attività.

L'articolo 29 istituisce un gruppo consultivo e indipendente composto dai rappresentanti delle autorità di controllo degli Stati membri, delle autorità relative alle istituzioni e agli organismi comunitari e della Commissione. Il gruppo contribuisce all'applicazione omogenea delle norme, formula pareri alla Commissione, esamina il livello di protezione nei paesi terzi e pubblica una relazione annuale.

Recepimento e disposizioni transitorie

Ai sensi dell'articolo 32, gli Stati membri dovevano adottare le disposizioni necessarie entro il terzo anno successivo all'adozione della direttiva, ossia entro il 24 ottobre 1998. Le disposizioni nazionali dovevano contenere un riferimento alla direttiva o esservi corredate al momento della pubblicazione ufficiale.

I trattamenti iniziati prima dell'entrata in vigore delle norme nazionali dovevano essere adeguati entro i tre anni successivi alla loro entrata in vigore. Per gli archivi manuali già esistenti, gli Stati membri potevano prevedere un adeguamento progressivo agli articoli 6, 7 e 8, da completare entro il dodicesimo anno dalla data di adozione, cioè entro il 24 ottobre 2007. In ogni caso, la persona interessata doveva poter ottenere, anche esercitando il diritto di accesso, la rettifica, cancellazione o il congelamento dei dati inesatti, incompleti o conservati in modo incompatibile con le finalità legittime.

Gli Stati membri potevano prevedere, con garanzie adeguate, che i dati conservati esclusivamente per ricerche storiche non fossero resi conformi agli articoli 6, 7 e 8. La Commissione doveva ricevere comunicazione delle disposizioni interne adottate e presentare periodicamente relazioni sull'applicazione della direttiva.