Regolamento (UE) 2016/679

Oggetto, finalità e principi generali

L’articolo 1 afferma che il regolamento stabilisce regole sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali e sulla libera circolazione di tali dati, tutelando diritti e libertà fondamentali. La libera circolazione dei dati personali nell’Unione non può essere limitata per motivi connessi alla protezione dei dati. Il testo è costruito attorno ai principi di liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza, con responsabilizzazione del titolare.

Ambito materiale e territoriale

L’articolo 2 delimita l’applicazione ai trattamenti automatizzati e ai trattamenti manuali inseriti in archivi; esclude attività fuori dal diritto UE, politica estera e di sicurezza comune, attività personali/domestiche e trattamenti penali/sicurezza pubblica. L’articolo 3 estende l’applicazione a stabilimenti nell’Unione, a soggetti extra-UE che offrono beni o servizi o monitorano il comportamento di interessati nell’Unione, e ai titolari situati in luoghi soggetti al diritto di uno Stato membro per diritto internazionale pubblico.

Definizioni chiave

L’articolo 4 definisce, tra gli altri, dato personale, trattamento, limitazione del trattamento, profilazione, pseudonimizzazione, archivio, titolare, responsabile, destinatario, terzo, consenso, violazione dei dati personali, dati genetici, dati biometrici, dati relativi alla salute, stabilimento principale, rappresentante, impresa, gruppo imprenditoriale, norme vincolanti d’impresa, autorità di controllo, autorità di controllo interessata, trattamento transfrontaliero, obiezione pertinente e motivata, servizio della società dell’informazione e organizzazione internazionale.

Liceità del trattamento e consenso

L’articolo 6 individua le basi di liceità: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico/pubblici poteri e legittimo interesse, salvo per autorità pubbliche nell’esercizio dei loro compiti. Gli articoli 7 e 8 disciplinano il consenso, che deve essere dimostrabile, specifico, informato, inequivocabile e revocabile con la stessa facilità con cui è prestato; per i minori, nei servizi della società dell’informazione, l’età minima è 16 anni, con facoltà degli Stati membri di abbassarla fino a 13 anni.

Categorie particolari di dati e dati relativi a condanne penali

L’articolo 9 vieta il trattamento di dati sensibili salvo eccezioni tassative, tra cui consenso esplicito, obblighi in materia di lavoro e sicurezza sociale, tutela di interessi vitali, attività di enti senza scopo di lucro, dati resi manifestamente pubblici, tutela giudiziaria, rilevante interesse pubblico, sanità, sanità pubblica e ricerca/archiviazione/statistica. L’articolo 10 prevede che i dati relativi a condanne penali e reati siano trattati solo sotto controllo dell’autorità pubblica o se autorizzati da diritto UE/nazionale con garanzie appropriate.

Informativa, accesso e trasparenza

Gli articoli 12, 13, 14 e 15 impongono informative concise, trasparenti e comprensibili, da fornire al momento della raccolta o entro termini stabiliti, distinguendo tra dati raccolti presso l’interessato e da altre fonti. L’interessato ha diritto di accesso ai propri dati, di conoscere finalità, categorie, destinatari, conservazione, origine dei dati, trasferimenti extra-UE e logica di eventuali trattamenti automatizzati; il titolare deve fornire una copia dei dati, con possibili limiti solo in presenza di diritti e libertà altrui.

Rettifica, cancellazione, limitazione e portabilità

L’articolo 16 riconosce il diritto alla rettifica dei dati inesatti e all’integrazione dei dati incompleti. L’articolo 17 disciplina il diritto alla cancellazione (‘oblio’), compresa la rimozione di link/copie/reproduzioni se i dati sono stati resi pubblici, salvo eccezioni per libertà di espressione, obblighi legali, interesse pubblico, sanità pubblica, archiviazione, ricerca e difesa in giudizio. L’articolo 18 prevede la limitazione del trattamento in casi di contestazione dell’esattezza, illiceità con opposizione alla cancellazione, necessità ai fini giudiziari e opposizione in attesa di verifica. L’articolo 20 introduce la portabilità dei dati, applicabile ai trattamenti automatizzati basati su consenso o contratto, con diritto alla trasmissione diretta se tecnicamente fattibile.

Opposizione e decisioni automatizzate

L’articolo 21 riconosce il diritto di opposizione, in particolare per trattamenti basati su interesse pubblico o legittimo interesse, nonché per marketing diretto, anche con profilazione connessa a tale marketing. L’articolo 22 vieta le decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici o analogamente significativi, salvo contratto, autorizzazione normativa o consenso esplicito; in tali casi sono richieste garanzie come intervento umano, possibilità di esprimere osservazioni e di contestare la decisione.

Limitazioni legislative dei diritti

L’articolo 23 consente limitazioni mediante misure legislative agli obblighi e diritti di cui agli articoli 12-22 e 34 e, in parte, all’articolo 5, per salvaguardare sicurezza nazionale, difesa, ordine pubblico, reati, altri importanti obiettivi di interesse pubblico, indipendenza della magistratura, deontologia professionale, controllo/regolazione, tutela dell’interessato e azioni civili. Le limitazioni devono rispettare l’essenza dei diritti e contenere specifiche garanzie su finalità, categorie di dati, portata, conservazione, rischi e informazione.

Responsabilità del titolare, privacy by design e by default

Gli articoli 24 e 25 impongono al titolare misure tecniche e organizzative adeguate e documentabili, aggiornate nel tempo, nonché l’attuazione di protezione dei dati fin dalla progettazione e per impostazione predefinita, con minimizzazione e pseudonimizzazione ove appropriato. I meccanismi di certificazione possono fungere da prova di conformità.

Contitolarità, rappresentante e responsabile del trattamento

L’articolo 26 richiede un accordo trasparente tra contitolari sulle rispettive responsabilità e sulla gestione delle informative. L’articolo 27 impone, per i trattamenti extra-UE rientranti nell’articolo 3, paragrafo 2, la designazione di un rappresentante nell’Unione, salvo eccezioni per trattamenti occasionali a basso rischio e per autorità pubbliche. L’articolo 28 disciplina il responsabile del trattamento, imponendo contratto o altro atto giuridico scritto con istruzioni documentate, obblighi di riservatezza, sicurezza, sub-responsabili, assistenza al titolare, restituzione/cancellazione dei dati e dimostrazione della conformità; l’articolo 29 vieta trattamenti non istruiti dal titolare.

Registri, cooperazione e sicurezza

L’articolo 30 impone registri delle attività di trattamento ai titolari e ai responsabili, con esenzione per imprese/organizzazioni con meno di 250 dipendenti salvo casi di rischio, non occasionalità o categorie particolari di dati/condanne. L’articolo 31 prevede la cooperazione con l’autorità di controllo. L’articolo 32 richiede misure di sicurezza adeguate al rischio, tra cui pseudonimizzazione, cifratura, resilienza dei sistemi, ripristino e test periodici.

Violazioni dei dati personali

Gli articoli 33 e 34 disciplinano la notifica delle data breach: al titolare all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo improbabile rischio; al responsabile al titolare senza ingiustificato ritardo; all’interessato senza indebito ritardo quando la violazione presenta un rischio elevato, salvo misure tecniche idonee, misure successive che eliminano il rischio o sforzo sproporzionato. Le notifiche devono descrivere natura, conseguenze, contatti e misure adottate.

Valutazione d’impatto e consultazione preventiva

L’articolo 35 richiede una valutazione d’impatto per trattamenti che possano presentare rischi elevati, specialmente con nuove tecnologie, profilazione, sorveglianza su larga scala, dati sensibili o condanne penali; l’autorità di controllo pubblica elenchi dei trattamenti soggetti o esenti. L’articolo 36 prevede consultazione preventiva dell’autorità di controllo quando la DPIA indichi un rischio elevato non mitigabile, con termine ordinario di 8 settimane prorogabile di 6.

Responsabile della protezione dei dati (DPO)

Gli articoli 37-39 impongono la designazione del DPO in casi di trattamento da parte di autorità/enti pubblici, monitoraggio regolare e sistematico su larga scala o trattamento su larga scala di dati sensibili o relativi a condanne. Il DPO deve essere coinvolto tempestivamente, operare in autonomia, ricevere risorse adeguate e svolgere compiti di informazione, sorveglianza, consulenza sulla DPIA, cooperazione con l’autorità e punto di contatto.

Codici di condotta e certificazione

Gli articoli 40-43 promuovono codici di condotta settoriali, anche con validità generale decisa dalla Commissione, e meccanismi di certificazione, sigilli e marchi di protezione dei dati. Sono previsti organismi di monitoraggio e certificazione accreditati, con criteri approvati dalle autorità di controllo o dal comitato europeo per la protezione dei dati, e durata massima della certificazione di tre anni.

Trasferimenti verso paesi terzi e organizzazioni internazionali

Gli articoli 44-49 stabiliscono che ogni trasferimento extra-UE è lecito solo se rispettate le condizioni del capo V. In presenza di decisione di adeguatezza della Commissione (art. 45) il trasferimento è libero; in mancanza, sono richieste garanzie adeguate (art. 46), tra cui clausole tipo, norme vincolanti d’impresa, codici di condotta o meccanismi di certificazione con impegni vincolanti. L’articolo 47 disciplina in dettaglio le BCR. L’articolo 48 limita il riconoscimento di sentenze/decisioni di paesi terzi in assenza di accordi internazionali. L’articolo 49 prevede deroghe per consenso esplicito, contratto, interesse pubblico, difesa di diritti, interessi vitali e registri pubblici, oltre alla deroga residuale per trasferimenti occasionali, limitati e fondati su interessi legittimi cogenti.

Autorità di controllo, cooperazione e meccanismo di coerenza

Gli articoli 51-59 disciplinano l’indipendenza, le risorse, la nomina e i compiti delle autorità di controllo nazionali, che devono essere indipendenti, adeguatamente dotate e competenti nel proprio territorio. Gli articoli 60-67 regolano il meccanismo dello sportello unico per i trattamenti transfrontalieri, l’assistenza reciproca, le operazioni congiunte, il meccanismo di coerenza e la procedura d’urgenza. Il comitato europeo per la protezione dei dati, istituito dagli articoli 68-76, ha personalità giuridica, opera in indipendenza e adotta pareri e decisioni vincolanti in casi specifici di conflitto tra autorità.

Rimedi, responsabilità e sanzioni

Gli articoli 77-82 riconoscono il reclamo all’autorità di controllo, il ricorso giurisdizionale effettivo contro le autorità di controllo e contro titolari/responsabili, la rappresentanza degli interessati da parte di organismi senza scopo di lucro e il diritto al risarcimento dei danni materiali e immateriali. L’articolo 83 prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per talune violazioni, e fino a 20 milioni di euro o al 4% per violazioni più gravi, con criteri di graduazione dettagliati; l’articolo 84 lascia agli Stati membri la disciplina di altre sanzioni, purché effettive, proporzionate e dissuasive.

Disposizioni nazionali specifiche e settoriali

Il capo IX consente agli Stati membri di introdurre regole di bilanciamento per libertà di espressione e informazione, accesso pubblico ai documenti, numeri di identificazione nazionale, rapporti di lavoro, ricerca/archiviazione/statistica, segretezza professionale e norme speciali per chiese e associazioni religiose. Sono previste deroghe/condizioni particolari per l’uso a fini giornalistici, accademici, artistici o letterari e per trattamenti nel contesto lavorativo.

Atti delegati, esecuzione, abrogazione e applicazione

Il capo X attribuisce alla Commissione poteri delegati e di esecuzione per specifiche materie, mentre il capo XI abroga la direttiva 95/46/CE dal 25 maggio 2018. Il regolamento si applica dal 25 maggio 2018, è direttamente applicabile in tutti gli Stati membri e prevede riesami periodici da parte della Commissione, compreso il riesame di altri atti UE in materia di protezione dei dati.