text:
Il regolamento generale sulla protezione dei dati in sigla RGPD (o GDPR in inglese General Data Protection Regulation), ufficialmente regolamento (UE) n. 2016/679 , è un regolamento dell'Unione europea in materia di trattamento dei dati personali e di privacy, adottato il 27 aprile 2016, pubblicato sulla Gazzetta ufficiale dell'Unione europea il 4 maggio 2016 ed entrato in vigore il 24 maggio dello stesso anno ed operativo a partire dal 25 maggio 2018.
 Con questo regolamento, la Commissione europea si propone come obiettivo quello di rafforzare la protezione dei dati personali di cittadini dell'Unione europea (UE) e dei residenti nell'UE, sia all'interno che all'esterno dei confini dell'UE, restituendo ai cittadini il controllo dei propri dati personali, semplificando il contesto normativo che riguarda gli affari internazionali, unificando e rendendo omogenea la normativa privacy dentro l'UE.
 Il testo affronta anche il tema dell'esportazione di dati personali al di fuori dell'UE e obbliga tutti i titolari del trattamento dei dati (anche con sede legale fuori dall'UE) che trattano dati di residenti nell'UE ad osservare e adempiere agli obblighi previsti. Dalla sua entrata in vigore, il GDPR ha sostituito i contenuti della direttiva sulla protezione dei dati (Direttiva 95/46/CE) e, in Italia, ha abrogato gli articoli del codice per la protezione dei dati personali (d.lgs. n. 196/2003) con esso incompatibili.
 Obiettivi
 "Il regime di protezione dei dati proposto per l'UE estende gli obiettivi della legge europea sulla protezione dei dati a tutte le imprese estere che trattano dati di residenti europei a prescindere dal luogo nel quale le trattano e dalla loro sede legale. Permette di armonizzare le diverse normative sulla protezione dei dati in tutta l'UE, facilitando così l'osservanza delle norme da parte delle imprese non europee; tuttavia, questo è stato ottenuto a costo di un regime che prevede una severa disciplina di protezione dei dati, con rigide sanzioni che possono raggiungere il 4% del volume globale di affari." A seguito di negoziazioni nel dialogo a tre tra Parlamento Europeo, Commissione europea e Consiglio dei Ministri, si è raggiunto un consenso generale sulla formulazione del GDPR e sulle sanzioni finanziarie per la mancata osservanza.
 Storia
 Pubblicato per la prima volta sulla Harvard Law Review nel dicembre del 1890, The Right to Privacy rappresenta la pietra angolare su cui poggia il GDPR, considerato al giorno d’oggi come il diritto fondamentale su cui si fonda la libertà individuale.
 Furono Samuel Warren e Louis Brandies, i due giovani avvocati americani autori del saggio, a definire per la prima volta la privacy come “the right to be let alone”: ovvero, il diritto a essere lasciati soli, a godere del proprio privato.
 In Italia non esiste nella Costituzione un articolo che riconosca il diritto alla privacy ma con la sentenza del 38/73 la Corte Costituzionale ha riconosciuto diverse norme tutelano il diritto alla riservatezza. La tutela della riservatezza possiamo dunque considerarla come discendente per via interpretativa della Costituzione, in particolare dagli articoli 2,3,14,15.
 Con l'arrivo del digitale si percepisce l'importanza in Europa di norme che tutelino i dati personali, in particolare la legge 675/96, Codice Privacy successivamente sostituita dalla legge 196/2003 tuttora in vigore.
 La rivoluzione arriva con il regolamento GPDR 2016/679.
 Contenuto
 La proposta per il regolamento generale sulla protezione dei dati presentava alcuni passaggi poi non confermati nella versione definitiva. Considerava, invece, favorevolmente l'introduzione della privacy by design (i requisti privacy devono essere compresi nella progettazione del sistema), la privacy by default (le misure privacy devono essere attuate per impostazione predefinita) e quella del principio del carattere personale dell'indirizzo IP. Ambo i principi sono stati poi recepiti nel regolamento.
 Come premessa all'esposizione degli articoli di legge il regolamento contiene un lungo elenco di considerando, anch'essi numerati in sequenza, e citati con "C" seguito dal numero del considerando.
 Il regolamento focalizza (GDPR art. 24) il concetto di accountability traducibile in "responsabilizzazione (proattiva)" o, meglio, "(responsabilità di dover) dar conto" da parte del titolare (e dei suoi responsabili/sub-responsabili) all'interessato.
 Ambito
 Al cuore del GDPR sta la tutela delle persone fisiche e ciò è riconosciuto come diritto fondamentale. Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche in particolare il diritto alla protezione dei dati personali.
 Il regolamento si applica al trattamento dei dati personali, ed al trattamento non automatizzato dei dati conservati in un "archivio", definito (artt. 2 e 4) in modo simile all'espressione "banca di dati", presente nel codice della privacy italiano (l'Italia si è adeguata alla normativa europea tramite il decreto legislativo n. 101 del 10 agosto 2018). Inoltre, a differenza dell'attuale direttiva, il regolamento si applica anche a imprese ed enti, organizzazioni in generale, con sede legale fuori dall'UE che trattano dati personali di residenti nell'Unione Europea. Ciò anche a prescindere dal luogo o dai luoghi ove sono collocati i sistemi di archiviazione (storage) e di elaborazione (server). Il regolamento non riguarda la gestione di dati personali per attività di sicurezza nazionale o di ordine pubblico ("le autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali"). Secondo la Commissione Europea "i dati personali sono qualunque informazione relativa a un individuo, collegata alla sua vita sia privata, sia professionale o pubblica. Può riguardare qualunque dato personale: nomi, foto, indirizzi email, dettagli bancari, interventi su siti web di social network, informazioni mediche o indirizzi IP di computer."
 Questa normativa non è specifica per tipologia di supporto, ciò significa che le informazioni e i relativi dati possono essere: orali/verbali, cartacee/materiali, digitali/immateriali e loro combinazioni.
 Il regolamento disciplina il trattamento dei soli dati personali unicamente delle persone fisiche (ivi compresi quelli di persone fisiche trattati in ambito professionale o associativo o situazioni similari ovvero nei rapporti tra imprese, enti e associazioni), e pertanto sono esclusi dall'applicazione del codice i dati di identificazione e simili di soggetti aventi personalità giuridica: società di capitali, aziende ed enti pubblici, associazioni e fondazioni, o comunque organizzazioni in genere anche senza personalità giuridica come definita in Italia (imprese non in forma societaria, società di persone, studi professionali e altre situazioni simili). Questo non vale per le ditte individuali, perché in tal caso identità personale e professionale coincidono. In pratica, il campo di applicazione riguarda i dati personali di persone fisiche trattati in qualsiasi attività (professionale, economica, di interesse pubblico, associativa, ecc.) a esclusione della vita domestica/non professionale (eccezion fatta per la pubblicazione on line di dati personali di persone fisiche, anche se nell'ambito personale o domestico, in quanto si tratta di divulgazione indistinta).
 I dati personali forniti o comunicati possono essere relativi a persone fisiche terze (rispetto all'interessato) oppure trattati da soggetti terzi (rispetto al titolare). Il GDPR definisce terzo "la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che non sia l'interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile". Per il trattamento di dati relativi a terzi o forniti a terzi (comunicazione a destinatari) occorre che l'informativa lo precisi e siano definite le responsabilità nonché attestata la conformità del trattamento da parte dei titolari coinvolti. Anche un particolare trattamento quale è la "diffusione" deve essere previsto o escluso nell'informativa.
 In base al principio di stabilimento le sue norme si applicano ai trattamenti di dati personali posti in essere da titolari e responsabili stabiliti nell'Unione Europea, senza alcun rilievo per il luogo in cui si effettua il trattamento stesso o per il luogo in cui si trova il data subject.
 Il regolamento, invece, non si applica nei seguenti casi:
 trattamenti effettuati per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione;
 trattamenti effettuati dagli Stati membri nell’esercizio di attività che rientrano nell’ambito di applicazione del titolo V, capo 2, del Trattato dell’UE (politica estera e sicurezza);
 trattamenti effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse (vedi direttiva 2016/680);
 trattamenti effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico (vedi esenzione per uso personale).
 Dati
 Vengono ampliate e caratterizzate le definizioni sui dati presenti nella corrente direttiva e aggiunte di nuove. Quindi, oltre al dato personale, troviamo dati genetici, biometrici e relativi alla salute, comunque tutte informazioni che consentono l'identificazione univoca di una persona fisica.
 Dato personale (art. 4 paragrafo 1): informazioni relative a persona fisica identificata o identificabile. La novità risiede proprio nel criterio di identificazione, la persona può essere identificata direttamente o indirettamente, con particolare riferimento a un identificativo come il nome e cognone o l'immagine del volto, un numero di matricola, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale; in un quesito la Commissione Europea risponde che "anche varie informazioni che, raccolte insieme, possono portare all'identificazione di una determinata persona costituiscono dati personali": si tratta del concetto di profilo (di comportamento, di abitudini, di storia) che diventa dato personale pur non contenendo, di per sé, uno specifico dato identificativo di un determinato soggetto; in particolare, parlando di dato personale, occorre distinguere tra identificatori diretti (ad esempio: codice fiscale per non parlare di impronta digitale o scansione genetica) e identificatori indiretti (ad esempio: indirizzo IP, data nascita e/o luogo di nascita); tra gli indentificatori indiretti che però possono portare alla profilazione precisa e quindi all'identificazione di un soggetto fisico ci sono i metadati; la definizione di dato personale è relativa cioè dipende dal contesto dunque un dato cessa di essere personale nel momento in cui diventa informazione aggregata: in un gruppo di 10 persone la data di nascita di un soggetto è molto probabile che sia un identificatore diretto mentre in un gruppo di 1 milione di persone quasi sicuramente non lo è. Questi dati personali vengono spesso denominati dati comuni per distinguerli dalle altre tipologie (vedi sotto);
 Dati personali particolari (o sensibili secondo il codice privacy italiano) (art. 9 paragrafo 1): si considerano i dati personali come l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, dati relativi alla vita sessuale o all'orientamento sessuale della persona, nonché:
 Dati genetici: ereditati o acquisiti, ottenuti tramite analisi di DNA ed RNA da un campione biologico della persona fisica in questione;
 Dati biometrici: come l’immagine facciale, grazie ai quali è possibile identificare una ed una sola persona fisica;
 Dati sulla salute: sia fisica che mentale, passata, presente o futura, ma anche informazioni su servizi di assistenza sanitaria, laddove presenti, indipendentemente dalla fonte, quale, ad esempio, un medico.
 Dati personali relativi a condanne penali o reati (art.10): il trattamento dei dati personali relativi a reati o condanne deve avvenire sotto il controllo dell'autorità pubblica o se è autorizzato dal diritto dell'Unione o degli stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati.
 I dati personali devo inoltre essere:
 -trattati in modo lecito, corretto e trasparente nei confronti dell'interessato senza rischiare di essere fraintendibile;
 -raccolti per un determinato fine e in maniera esplicita. Non possono dunque essere usati per scopi diversi da quello iniziale, ad eccezione di ricerca scientifica, storica o fini statistici;
 -adeguati, pertinenti e minimizzati al necessario;
 -esatti aggiornati costantemente e rettificati o cancellati se inesatti;
 -conservati limitatamente al tempo necessario al conseguimento delle finalità per le quali sono trattati e non più, ad eccezione di archiviazione nel pubblico interesse, di ricerca scientifica, storica o fini statistici;
 -trattati in maniera adeguata garantendo sicurezza e protezione da trattamenti non autorizzati o illeciti, da perdita, distruzione o danno accidentale attraverso misure tecniche e organizzative adeguate.
 Nota bene.
 Non qualsiasi informazione riservata (presa singolarmente) relativa ad una persona fisica è "dato personale", sebbene a volte sia superficialmente creduto. Solo informazioni che potrebbero rilevare l'identità o le proprietà (profilo, comportamento, storia, localizzazione, ecc.) di una persona sono dati personali; in pratica, dipendentemente dal contesto, in un caso un solo elemento potrebbe essere un dato personale (ad esempio il codice fiscale o l'indirizzo IP), in altri occorre l'unione (aggregata o meno) di due o più dati per costituire un dato personale (ad esempio le informazioni relative alle abitudini di una persona): in questo caso, per la definizione di dato personale, queste informazioni potrebbero rivelare l'identità della persona senza contenere esplicitamente alcun dato diretto di identificazione (nome e cognome, fotografia del volto, impronte digitali, ecc.);
 Le informazioni di identificazione personale (o PII - Personally Identifiable Information, secondo la dottrina internazionale) sono una sotto categoria dei dati personali: sono gli elementi che identificano direttamente e univocamente un individuo (nome e cognome associati a data si nascita, informazione generica o biometrica, codice fiscale, matricola professionale o equivalente, numero telefono, indirizzo email, indirizzo domicilio/residenza, numero carta di credito/debito, ID di dispositivo mobile e simili). L'indirizzo IP è certamente un'informazione di identificazione personale relativo ad un dispositivo. Diventa anche un dato personale qualora si possa dimostrare la correlazione certa con un individio (anche con il concorso di altri dati a supporto). L'IP statico ha maggiori connotazioni di informazione di identificazione personale di rispetto all'IP dinamico; la targa di un veicolo è un'informazione di identificazione personale (anche quando il proprietario non coincide con il conducente e/o il proprietario è un'organizzazione dato che la targa è riconducibile-tramite un pubblico registro ed eventualmente una visura camerale - ad una persona fisica anche fosse il rappresentante legale);
 Come sopra riportato, il GDPR e in generale la privacy si applicano solo ai dati personali di persone fisiche: i dati personali delle organizzazioni non sono protette dal regolamento;
 Le norme della privacy non sono attuate solo da imprese, enti della PA, lavoratori autonomi: il vastissimo e articolato mondo delle associazioni, fondazioni, comitati, organizzazioni ed enti vari che facciano parte o meno del terzo settore devono conformarsi al GDPR e alla regolamentazione relativa;
 Spesso si confonde "privacy" con "riservatezza" (o "confidenzialità") che sono due concetti nettamente distinti e inquadrati da dottrine e leggi diverse; invocare norme privacy per la protezione di informazioni segrete o dati riservati di tipo aziendale e professionale è totalmente infondato.
 Insieme unico di regole e sportello unico
 A tutti gli stati membri UE si applicherà un insieme unico di regole. Ciascuno stato membro istituirà un'autorità sovrintendente indipendente per dare udienza ai reclami, effettuare indagini, sanzionare le infrazioni amministrative, ecc. Le autorità sovrintendenti in ciascuno stato membro collaboreranno con le altre, fornendo assistenza reciproca e organizzando operazioni congiunte. Qualora una ditta abbia più stabilimenti nell'UE, avrà un'unica autorità sovrintendente come propria "autorità principale", sulla base dell'ubicazione del proprio "stabilimento principale" (ossia il posto dove hanno luogo le principali attività di gestione). L'autorità principale agirà quale "sportello unico" per supervisionare tutte le attività di gestione dati di quella ditta nell'UE (Articoli 46 - 55 del GDPR). Il Comitato europeo della protezione dati (EDPB, European Data Protection Board) coordinerà le autorità sovrintendenti. L'EDPB andrà a sostituire il gruppo di lavoro dell'Articolo 29.
 Vi sono eccezioni nel caso di dati elaborati in un contesto di impiego e di dati elaborati a scopo di sicurezza nazionale, che potrebbero ancora essere soggetti ai regolamenti delle singole nazioni (Articoli 2(2)(a) e 82 del GDPR).
 Figure competenti
 Si distinguono diverse figure competenti a cui, ai sensi dell'art. 4 del 'Codice della Privacy', è consentito trattare i dati personali:
 Titolare del trattamento: è la persona fisica, la persona giuridica, la Pubblica Amministrazione o qualsiasi altro ente a cui è consentito, singolarmente o insieme ad altri soggetti, determinare le finalità e le modalità del trattamento dei dati personali. (art. 4 comma f) Qualora due o più soggetti si trovino ad agire contemporaneamente come titolare del trattamento, sono definiti con titolari.
 Responsabile del trattamento: è la persona fisica, la persona giuridica, la Pubblica Amministrazione e qualsiasi altro ente preposto dal titolare al trattamento di dati personali. (art. 4 comma g) Ha il compito di mettere in atto misure tecniche e organizzative adeguate a soddisfare i requisiti richiesti dal GDPR e a garantire la tutela dei diritti dell'interessato.
 Destinatario del trattamento: è la persona fisica, la persona giuridica, la Pubblica Amministrazione o qualsiasi altro ente che riceve i dati personali dal titolare, necessari per eseguire i trattamenti per conto del titolare stesso o per conseguire proprie specifiche finalità.
 Terzi: sono tutti coloro che non sono identificati come titolari, responsabili o destinatari del trattamento.
 Incaricato: è la persona fisica autorizzata dal titolare o dal responsabile a compiere operazioni di gestione e trattamento dei dati. (art. 4 comma h)
 Interessato: è la persona fisica a cui si riferiscono i dati personali. (art. 4 comma i) Può esercitare i propri diritti, attribuiti dalla normativa, rivolgendosi direttamente al titolare del trattamento.
 Rappresentante: è la persona fisica designata come responsabile del trattamento in Europa. Questa figura si manifesta solo nel momento in cui i responsabili del trattamento non appartengano all'Unione Europea. È l'interlocutore tra le autorità di controllo e gli interessati, per le questioni che riguardano il trattamento dei dati.
 Designato: è il soggetto, persona fisica, al quale si affidano tutte le funzioni di controllo ad alto livello del trattamento dei dati personali.
 Amministratore di sistema e custode delle chiavi: sono due figure, non più presenti nel nuovo ordinamento, il cui compito è sovraintendere alle risorse del sistema informativo dell'Ente e consentirne l'utilizzazione.
 Responsabilità
 Il principio di responsabilità legato al trattamento dei dati personali resta ancorato (come nel Codice per la protezione dei dati personali) ad un concetto di responsabilità per esercizio di attività pericolosa con una valutazione ex ante in concreto ed una sostanziale inversione dell'onere della prova. Per non rispondere del danno commesso derivante dal trattamento dei dati personali occorre sostanzialmente provare di aver fatto tutto il possibile per evitarlo. Il Regolamento aggancia e sviluppa questo tipo di responsabilità verso il concetto di Responsabilizzazione (art. 5 co. 2). Occorre osservare i principi applicabili al trattamento dei dati personali di cui all'articolo 5 adempiendo alle relative obbligazioni ed essere in grado di comprovarlo.
 In particolare, secondo l'articolo 5, il trattamento dei dati deve essere lecito (5.a), con finalità determinate (come archiviazione, ricerca scientifica, statistica, 5.b), limitato all'uso ("minimizzazione dei dati", 5.c) ed esatto, aggiornato (5.d).
 Similmente al precedente Codice 196/03 (seppur con termini o definizioni più sfumati) il regolamento UE prevede la possibilità per il titolare di condividere le responsabilità o le funzioni di trattamento tra:
 autorizzato (nel GDPR si legge "persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile"), che nella previgente legge italiana corrispondeva all'incaricato;
 responsabile (solo esterno) ed eventualmente sub-responsabile (ovvero un soggetto nominato responsabile da parte del responsabile);
 con-titolare;
 (altro) titolare autonomo.
 La scelta tra i casi di responsabile, contitolare o titolare autonomo talvolta non è agevole (alcune situazioni sono oggettivamente complesse, al di là delle semplici definizioni di legge e vi sono linee interpretative diverse tra gli esperti) e determinano situazioni di disaccordo tra organizzazioni.
 La definizione di responsabilità tra due o più titolari (contitolari) o tra titolare e responsabile/sub-responsabile è importante per tutelare i dati personali di terzi (cioè persone fisiche terze rispetto al rapporto tra i due soggetti, tipicamente organizzazioni) che si scambiano dati (o qualsiasi altra operazione di trattamento) di persone fisiche (cioè gli interessati).
 Accordo per il trattamento dei dati
 L'art. 28 del regolamento prescrive che tra titolare e responsabile (e tra responsabile e sub-responsabile) sia costruito (attraverso un contratto scritto o atto giuridicamente equivalente) l'accordo sulle reciproche responsabilità (DPA-Data Processing Agreement), in italiano "Accordo per il Trattamento dei Dati". Questo documento (che può essere preparato autonomamente sia dal titolare che dal responsabile) descrive le condizioni e le modalità di trattamento dei dati personali eseguiti dalla catena titolare-responsabile-eventuale sub responsabile. Il DPA, essendo una sorta di capitolato, deve comunque riferirsi al contratto principale tra le parti ovvero la base giuridica che comporta il trattamento di dati personali eseguito dalla catena.
 Anche affermazioni unilaterali di posizionarsi come titolare autonomo o con-titolare dovrebbero essere sempre oggetto di negoziazione, poiché, in caso di evento negativo, il giudice potrebbe rivedere la posizione sulla scorta dei fatti e del contesto.
 Obblighi
 I requisiti per le informative agli interessati rimangono e in parte sono ampliati. Essi devono includere il tempo di mantenimento dei dati personali e occorre fornire i contatti di chi controlla i dati e del funzionario preposto alla protezione dei dati. Di primaria importanza rimane il principio di responsabilità (Art.24) (countability). Tale principio tratta della responsabilità del titolare del trattamento :
 1. Tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
 2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l'attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.
 3. L'adesione ai codici di condotta di cui all'articolo 40 o a un meccanismo di certificazione di cui all'articolo 42 può essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento.
 l'articolo sopra citato suggerisce di adottare misure adeguate in relazione allo specifico caso. Per fare un esempio calzante è possibile considerare una grande azienda come Google, come tale deve essere estremamente più accurata nell'organizzare misure e prevedere modalità di controllo nel trattamento dei dati personali, sicuramente più dei provvedimenti di cui necessita un freelance. Esiste quindi un principio di responsabilità, ma anche di ragionevolezza nell'adottare misure adeguate in relazione alle circostanze, o quantomeno essere in grado di esibire una relativa documentazione che indichi i provvedimenti presi.
 L'articolo 22, riguardante il processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione, (Art. 22), introduce il diritto dei cittadini di non essere sottoposti a decisioni basate solamente sul trattamento automatizzato dei dati personale, se tale decisione:
 produca effetti giuridici;
 influisca significativamente sulla persona.
 Ciò non si applica però, nel caso in cui tale decisione:
 sia basata sull'approvazione esplicita dell'interessato;
 sia autorizzata dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;
 sia necessaria nella conclusione o l'esecuzione di un contratto tra un titolare del trattamento e l'interessato.
 Inoltre l'articolo prevede che, in qualsiasi caso, anche se il titolare del trattamento abbia messo in atto le opportune misure volte alla tutela dei diritti dell'interessato, l'interessato possiede sempre il diritto di contestare tali decisioni o richiedere l'intervento umano nel processo decisionale (la supervisione umana della conclusione raggiunta dall'algoritmo deve essere rilevante e opportunamente dimostrata e documentata).
 L'articolo è stato introdotto per far fronte al problema riguardante le decisioni automatizzate per cui non è possibile verificare la logica in base alla quale viene presa tale decisione, spesso infatti l'uso di tali sistemi per poter prendere decisioni non seguono una logica stringente e quindi non danno la possibilità di verificare il motivo o la causa di tale decisione. Il diritto a conoscere le logiche sopracitate è previsto anche negli articoli Art.13 - 14 - 15.
 Gli articoli dal 15 al 20 non si applicano se il titolare non può identificare l'interessato proprio perché non esiste un obbligo del genere.
 I principi di Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita (Art. 25) richiedono che la protezione dei dati faccia parte del progetto di sviluppo dei processi aziendali per prodotti e servizi. Le impostazioni di privacy sono configurate su un livello alto in modo predefinito. Quindi i dati devono essere protetti rispettando le norme sulla Privacy dal momento in cui viene deciso di voler effettuare un certo trattamento di dati e si stanno decidendo i mezzi con cui farlo. La verifica e il rispetto di tale principio va fatto nel momento in cui si progetta e si attua il trattamento : quando si disegna bisogna verificare il trattamento e quando lo si applica bisogna verificare la conformità al disegno (Principio di Privacy by design) .
 Allo stesso tempo è necessario tutelare i dati personali a meno che non ci sia un intervento attivo da parte dell'utente (Principio di Privacy by default). È possibile esprimere un esempio adatto per specificare tale concetto : spesso usando i social network come WhatsApp, è possibile condividere i dati come nome e cognome presenti nell'agenda personale acconsentendo direttamente alla richiesta dell'applicazione. Se però non viene eseguita tale operazione, risulta particolarmente difficoltoso l'utilizzo dell'applicazione stessa; inoltre è semplice notare come non è possibile rintracciare persone che non fanno uso di tale social e che, quindi, non hanno condiviso i loro dati, ecco perché non viene visualizzato il nome dell'utente all'interno dell'app. Tale esempio manifesta entrambi i principi sopra citati mostrando come il design stesso dell'applicazione debba rispettare la normativa della privacy fin dall'inizio, contemporaneamente seguendo il principio della Privacy di default (riguardante il dato personale stesso dell'utente).
 Le valutazioni dell'impatto della protezione dei dati (Arti. 35)
 devono essere effettuate nei casi in cui si verifichino rischi specifici per i diritti e le libertà dei soggetti dei dati. La valutazione e la riduzione del rischio sono richieste insieme ad un'approvazione preventiva da parte delle autorità per la protezione dei dati (DPA, Data Protection Authority) per rischi elevati. I Responsabili per la protezione dei dati (Art. 37), quindi, sono scelti per la conoscenza specialistica della normativa in materia di dati personali e sono tenuti a verificare l'osservanza delle norme del Regolamento da parte dei titolari e nel caso di valutazioni di impatto, se richiesto dal titolare, sono tenuti a consultarsi con esso.
 Altro obbligo per il responsabile (Art. 29) è provvedere all'addestramento di "... chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento..." (in pratica gli incaricati). Ovviamente, il titolare deve dimostrare di aver provveduto alla formazione la quale dovrà essere calibrata (secondo l'analisi di rischio) in funzione delle responsabilità delle varie figure appartenenti all'organizzazione.
 Nel caso in cui imprese con addetti effettuano un trattamento, e questo non è occasionale, si applica l’obbligo di tenere un registro delle attività di trattamento (Art. 30).
 Il registro è un documento, in forma scritta o in formato elettronico, nel quale sono contenute informazioni riguardo ai trattamenti svolti dal titolare (Art. 30 comma 1), o dal responsabile (Art. 30 comma 2). Inoltre, se richiesto dalle autorità di controllo, il registro deve essere messo a disposizione.
 Un ulteriore obbligo previsto a carico del titolare del trattamento riguarda il trasferimento all’estero dei dati, consentito solo se ricorrono certe condizioni:
 Il trasferimento nello specifico paese verso il quale vengono trasferiti i dati, deve essere ritenuto adeguato dalla commissione (come, per esempio Canada e Svizzera).
 Art. 45 del GDPR ()”
 Se il paese non è tra quelli riconosciuti adeguati dalla commissione, si può far ricorso a garanzie adeguate che rendono lecito il trasferimento verso quel paese.
 Il modo più semplice è quello di utilizzare clausole adottate dalla commissione europea (art.46 comma c e d). Esistono però anche clausole tipo adottate da un’autorità di controllo e successivamente approvate dalla commissione.
 Se le clausole tipo non sono presenti, possono essere scritte ad hoc, chiedendo però l’autorizzazione all’autorità di controllo competente.
 Esiste un ulteriore modo, ovvero le norme vincolanti d’impresa (art.47), secondo le quali i garanti possono stabilire delle clausole per consentire il trasferimento all’interno di gruppi di imprese.
 Se il trasferimento non si vuole sottoporre a garanzie adeguate ci sono dei casi che possono consentire il trasferimento verso paesi esteri, delle eccezioni:
 • Gli interessati abbiano dato il loro consenso esplicito;
 • Il trasferimento ha a che fare con la conclusione di un contratto che ha stipulato l’interessato (art.49);
 • Il trasferimento è necessario per importanti motivi di interesse pubblico;
 • Il trasferimento è necessario per tutelare la vita di una persona;
 Contitolarità
 l' Art. 26 Stabilisce alcuni obblighi particolari per i contitolari del trattamento, cioè quando ci sono più titolari. In sostanza i contitolari devono fare un accordo che disciplina il modo in cui fanno specifiche operazioni riguardo il trattamento dei dati e in particolare :
 il comma 1 stabilisce a chi si deve rivolgere l'interessato tra tutti i titolari presenti e come. I due contitolari devono fare un controllo, per esempio possono stabilire che gli interessati si rivolgano ad uno qualunque di loro e, non appena quest'ultimo riceva la richiesta di esercizio del diritto, la comunichi agli altri dando inizio ad una collaborazione collettiva per dar corso alla richiesta. Nel caso di contitolarità, quindi due o più contitolari del trattamento questi soggetti devono fare un accordo interno.
 il comma 2 stabilisce che "il contenuto essenziale dell'accordo è messo a disposizione dell'interessato" : l'interessato ha il diritto di conoscere il contenuto essenziale di questo accordo, cioè a chi si deve rivolgere e come deve esercitare i propri diritti.
 Consenso
 Un valido consenso deve essere esplicitamente dato per la raccolta dei dati e per i propositi per i quali sono usati (Art. 7; definito in Articolo 4). Pertanto se la richiesta viene inserita nell'ambito di altre dichiarazioni essa va distinta e formulata con linguaggio semplice e chiaro (Art. 7). Condizione di validità del consenso è che le finalità per cui viene richiesto siano esplicite, legittime, adeguate e pertinenti (Art. 5). Nel caso in cui il consenso al trattamento dei propri dati personali sia stato espresso da minori esso è valido solo se il minore ha almeno 16 anni, riducibili al più fino a 13 anni qualora lo stato membro abbia legiferato esplicitamente al riguardo. Qualora il minore abbia un'età inferiore alla soglia predetta, il consenso al trattamento deve essere dato da un genitore o da chi eserciti la potestà, e deve essere verificabile (Art. 8). I controllori dei dati devono essere in grado di provare il consenso ("opt-in") e il consenso può essere ritirato o modificato con l’introduzione di limitazioni nel trattamento (Art. 18).
 Articolo 6 - Liceità del trattamento
 Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
 l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;
 il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso;
 il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
 il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica;
 il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento;
 il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore.
 Articolo 7 - Condizioni per il consenso
 qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali;
 se il consenso dell'interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Nessuna parte di una tale dichiarazione che costituisca una violazione del presente regolamento è vincolante;
 l'interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di esprimere il proprio consenso, l'interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato;
 nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l'eventualità, tra le altre, che l'esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto.
 Nota bene
 Il regolamento non prescrive la forma né dell'informativa né del consenso che, quindi, possono anche essere orali (come succede per i contratti conclusi verbalmente, ad esempio con gli operatori telefonici, oppure quando si prenota telefonicamente un esame medico). Dovendo però essere verificabile, sta al titolare dimostrare (con la modalità ritenuta più opportuna) di aver proceduto correttamente. Per i dati particolari, invece, il consenso deve essere esplicito il che indica una modalità espressiva manifesta, un'azione positiva (dichiarazione scritta, dichiarazione verbale acquisita da un assistente vocale, procedura telematica con doppio passaggio di verifica, firma digitale, invio di firma autografa scansionata, compilazione modulo digitale, digitazione tasto richiesto, sessione registrata di teleconferenza, ecc.). Ovviamente, i grandi operatori utilizzano quasi esclusivamente modalità digitalizzate per attuare le disposizioni privacy.
 I dati personali devo inoltre essere:
 -trattati in modo lecito, corretto e trasparente nei confronti dell'interessato senza rischiare di essere fraintendibile;
 -raccolti per un determinato fine e in maniera esplicita. Non possono dunque essere usati per scopi diversi da quello iniziale, ad eccezione di ricerca scientifica, storica o fini statistici;
 -adeguati e minimizzati al necessario;
 -aggiornati costantemente e rettificati se inesatti;
 -conservati limitatamente al tempo necessario e non più, ad eccezione di ricerca scientifica, storica o fini statistici;
 -trattati in maniera adeguata garantendo sicurezza e protezione attraverso misure tecniche e organizzative adeguate.
 Informativa
 Il regolamento Europeo prevede che il titolare debba fornire agli interessati, prima del trattamento, le informazioni sulle finalità e le modalità dei trattamenti operati dal titolare del trattamento. L'informativa ai sensi dell'Art.13 e dell'Art.14 del regolamento disciplina due diversi casi: dati raccolti presso l'interessato (Art.13) e dati raccolti presso altri soggetti (Art.14). I due articoli si differenziano per il periodo entro cui le informazioni vengono fornite, le categorie dei dati e la fonte da cui hanno origine i dati.
 Articolo 13 - Dati raccolti presso l'interessato
 Il punto 1 dispone che, nel caso di dati raccolti presso l'interessato, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
 l'identità e i dati di contatto del titolare del trattamento e, se società estera, anche del rappresentante;
 i dati di contatto del responsabile della protezione dei dati (indirizzo e-mail, indirizzo fisico);
 le finalità del trattamento cui sono destinati i dati personali, nonché la base giuridica del trattamento;
 qualora il trattamento si basa sull'Art.6 paragrafo 1 lettera f, i legittimi interessati perseguiti dal titolare del trattamento o da terzi;
 gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
 ove applicabile, l'intenzione del titolare di trasferire dati personali a un paese terzo o a un'organizzazione Internazionale e l'esistenza o l'assenza di una decisione di adeguatezza della commissione.
 Il punto 2 dispone che in aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare fornisce le seguenti ulteriori informazioni:
 il periodo di conservazione oppure i criteri utilizzati per determinare tale periodo;
 l'esistenza del diritto dell'interessato di chiedere l'accesso ai dati personali, la rettifica, la cancellazione, la limitazione del trattamento;
 se la base giuridica del trattamento è il consenso, lo si può revocare;
 diritto di proporre reclamo al garante della privacy;
 se la comunicazione dei dati è un obbligo legale o contrattuale o un requisito per la conclusione di un contratto, e se l'interessato ha l'obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;
 l'esistenza di un processo decisionale automatizzato, compresa la profilazione.
 Articolo 14 - Dati raccolti presso altri soggetti
 Nel caso in cui i dati non siano raccolti direttamente presso l'interessato, il comma 3 dispone che le informazioni vanno fornite entro un termine ragionevole dall'ottenimento dei dati personali, ma al più tardi entro un mese;
 Nel caso in cui i dati personali siano destinati alla comunicazione con l'interessato, al più gradi al momento della prima comunicazione all'interessato;
 Nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali.
 Diritto di accesso dell'interessato
 L'Art.15 GDPR riguarda il diritto ad avere conferme dell'esistenza di dati, il diritto a conoscere tutte le informazioni che riguardano i dati e il diritto ad avere copia dei dati. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni: le finalità del trattamento; le categorie di dati personali; i destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi Terzi; il periodo di conservazione dei dati previsto o i criteri utilizzati per determinare tale periodo; il diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali; il diritto di proporre reclamo ad un'autorità di controllo. In particolare :
 Il punto 1 dispone che l'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:
 le finalità del trattamento;
 le categorie di dati personali in questione;
 i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;
 quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
 l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;
 il diritto di proporre reclamo a un'autorità di controllo;
 qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;
 l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4,(GDPR art.22) e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.
 Il punto 2 dispone che qualora i dati personali siano trasferiti a un paese terzo o a un'organizzazione internazionale, l'interessato ha il diritto di essere informato dell'esistenza di garanzie adeguate ai sensi dell'articolo 46 (GDPR art.46)relative al trasferimento.
 Il punto 3 dispone che il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune.
 Il punto 4 dispone il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui.
 Sicurezza dei dati
 L'articolo 32 riguarda la sicurezza dei dati raccolti. In particolare quest'ultima è garantita dal titolare del trattamento e dal responsabile del trattamento chiamati a mettere in atto misure tecniche e organizzative idonee per garantire un livello di sicurezza adeguato al rischio. A tal fine il titolare e il responsabile del trattamento garantiscono che chiunque acceda ai dati raccolti lo faccia nel rispetto dei poteri da loro conferiti e dopo essere stato appositamente istruito, salvo che lo richieda il diritto dell'Unione o degli Stati membri (GDPR art 32). A garanzia dell’interessato il Regolamento UE 2016/679 regolamenta anche il caso di trasferimento dei dati personali verso un paese terzo o un'organizzazione internazionale (Articolo 44 e ss) e prevede che l’interessato venga prontamente informato in presenza di una violazione che metta a rischio i suoi diritti e le sue libertà (GDPR art 33).
 Responsabile per la protezione dei dati ("DPO", Data Protection Officer)
 Qualora l'elaborazione sia effettuata da un'autorità pubblica, fatto salvo per le corti o le autorità giudiziarie indipendenti agenti nella loro competenza giudiziaria, o qualora, nel settore privato, l'elaborazione sia effettuata da un controllore le cui attività principali consistono di operazioni di elaborazione che richiedono un monitoraggio regolare e sistematico dei soggetti dei dati, una persona esperta di legislazione e pratiche relative alla protezione dei dati deve assistere colui che li controlla o li gestisce al fine di verificare l'osservanza interna al regolamento.
 Il Responsabile per la Protezione dei Dati (Data Protection Officer, talora indicato anche con l'acronimo italiano RPD, per "responsabile protezione dati") è una figura che deve possedere una buona padronanza dei processi informatici, della sicurezza dei dati (inclusa la gestione dei cyber-attacchi) e di altre questioni di coerenza aziendale riguardanti il mantenimento e l'elaborazione di dati personali e sensibili. Ricorda molto l'ODV (Organismo Di Vigilanza) della legge n. 231 del 2001 sulla responsabilità penale delle persone giuridiche e il responsabile anticorruzioni per la sua autonomia, indipendenza e assenza di conflitti di interesse.
 L'insieme di competenze richieste si estende al di là della comprensione dell'osservanza di leggi e regolamenti sulla protezione dei dati. Il monitoraggio dei Data Protection Officer è onere del regolatore e non del Consiglio di amministrazione dell'organizzazione. La nomina di un Responsabile per la Protezione dei Dati all'interno di una grande organizzazione pone in gioco una moltitudine di questioni legate alla governance e a fattori umani. Inoltre, chi detiene l'incarico dovrà creare un proprio team di supporto e sarà anche responsabile del proprio sviluppo professionale continuativo, dal momento che, come "mini-regolatore" ad ogni effetto, dovrà essere indipendente.
 Misure tecniche di sicurezza suggerite
 Le misure per garantire la sicurezza dei dati personali sono presentate nell'art. 32 il quale cita:
 1. Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:
 a) la pseudonimizzazione e la cifratura dei dati personali (che in generale sono realizzabili anche con il data masking);
 b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
 c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico;
 d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
 2. Nel valutare l'adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.
 3. L'adesione a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo.
 4. Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri.
 Riassumendo il responsabile e il titolare del trattamento hanno l'onere di dimostrare la conformità dei sistemi al regolamento europeo. Possono aderire a codici di condotta, oppure della certificazione di conformità. La certificazione non riduce la responsabilità del titolare del trattamento o del responsabile, né i poteri e compiti delle authority (art. 42, par. 4), ed ha durata massima di cinque anni (art. 43, par.4).
 Codici di condotta e certificazione
 Associazioni o altri organismi di categoria, possono elaborare un codice di condotta cui i membri aderiscono su base volontaria. Il codice di condotta deve preventivamente essere approvato dall'authority, ed è specificamente previsto che sia registrato e pubblicamente accessibile (art. 40, par. 6). Se il trattamento interessa più di uno Stato membro, il codice è sottoposto all'approvazione di un comitato di coordinamento delle authority dei Paesi coinvolti.
 L'authority accredita e revoca gli organismi che possono verificare la conformità dei sistemi di trattamento dei dati personali ai codici di condotta. La valutazione rileva grado di competenza, grado di indipendenza, e assenza di conflitti di interessi, fatti salvi i compiti e i poteri dell'autorità di controllo competente di intervento diretto (art. 41, parr. 1 e 4). L'authority e un organismo nazionale di accreditamento hanno il compito di accreditare o revocare gli organismi di certificazione che verificano la conformità del trattamento dei dati personali al regolamento europeo. I requisiti sono i medesimi previsti per gli organismi che esercitano la valutazione di conformità del codice di condotta al regolamento.
 Sanzioni
 Ai sensi dell’articolo 58 del GDPR ogni autorità di controllo ha i seguenti poteri correttivi:
 rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento in ordine alle presunte violazioni delle disposizioni del regolamento;
 rivolgere ammonimenti quando i trattamenti abbiano violato le relative disposizioni;
 ingiungere al titolare o al responsabile del trattamento di soddisfare le richieste dell’interessato ad esercitare i propri diritti
 ingiungere al titolare o al responsabile del trattamento di rendere conformi i trattamenti alle disposizioni del regolamento;
 ordinare la rettifica, la cancellazione dei dati personali o la limitazione del trattamento.
 In aggiunta, o in luogo, alle suddette misure, ogni autorità di controllo provvede affinché le sanzioni amministrative pecuniarie inflitte ai sensi dell’articolo 83 siano in ogni singolo caso effettive, proporzionate e dissuasive.
 Nel decidere se infliggere una sanzione amministrativa pecuniaria e di fissarne l’ammontare, è necessario tener conto di alcuni elementi, tra i quali i seguenti:
 la natura, la gravità e la durata della violazione;
 il carattere doloso o colposo della violazione;
 il grado di responsabilità del titolare del trattamento o del responsabile del trattamento;
 le categorie dei dati personali interessate alla violazione;
 eventuali altri fattori aggravanti o attenuanti.
 La violazione delle disposizioni è soggetta alle seguenti sanzioni:
 la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 di euro, o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore (articolo 83, paragrafo 4):
 gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43;
 gli obblighi dell'organismo di certificazione a norma degli articoli 42 e 43;
 gli obblighi dell'organismo di controllo a norma dell'articolo 41, paragrafo 4;
 la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 di euro, o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore (articolo 83, paragrafo 5 e 6):
 i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
 i diritti degli interessati a norma degli articoli da 12 a 22;
 i trasferimenti di dati personali a un destinatario in un paese terzo o un'organizzazione internazionale a norma degli articoli da 44 a 49;
 qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX;
 l'inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell'autorità di controllo ai sensi dell'articolo 58, paragrafo 2, o il negato accesso in violazione dell'articolo 58, paragrafo 1.
 Ai sensi dell’articolo 84 gli Stati membri dell’Unione europea stabiliscono le norme relative alle altre sanzioni per le violazioni del regolamento e adottano tutti i provvedimenti necessari per assicurarne l’applicazione; tali sanzioni devono essere effettive, proporzionate e dissuasive.
 Trattamento di categorie particolari (sensibili) di dati personali
 È vietato trattare i dati personali particolari precedentemente elencati, eccetto in specifiche condizioni (art. 9):
 l'interessato ha prestato il proprio consenso esplicito
 il trattamento è necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell'interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale
 il trattamento è necessario per tutelare un interesse vitale dell'interessato o di un'altra persona fisica
 l trattamento è effettuato, nell'ambito delle sue legittime attività e con adeguate garanzie, da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali
 il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato
 il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria
 il trattamento è necessario per motivi di interesse pubblico rilevante sulla base del diritto dell'Unione o degli Stati membri
 il trattamento è necessario per finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale
 il trattamento è necessario per motivi di interesse pubblico nel settore della sanità pubblica
 il trattamento è necessario a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici sulla base del diritto dell'Unione o nazionale
 Dati sanitari, genetici, biometrici
 Nel regolamento GDPR i dati idonei a rivelare lo stato di salute o la vita sessuale rientrano nelle "categorie particolari di dati personali" (art. 9).
 Il codice della privacy italiano, fra i compiti di "rilevante interesse pubblico" del Servizio sanitario nazionale, identifica (art. 85) le attività di:
 programmazione, gestione, controllo e valutazione dell'assistenza sanitaria,
 vigilanza sulle sperimentazioni, farmacovigilanza, autorizzazione all'immissione in commercio e all'importazione di medicinali e di altri prodotti rilevanti di rilevanza sanitaria.
 Se necessario ai sensi del codice o di altra disposizione di legge, il consenso dell'interessato al trattamento dei dati personali può essere manifestato anche a voce in un'unica dichiarazione (art. 81). Per finalità di ricerca medica, biomedica ed epidemiologica previsti dalla legge e approvati dall'autorità Garante non è necessario il consenso dell'interessato, che ha diritto a far aggiungere correzioni e rettifiche se ciò non produce effetti significativi sul risultato della ricerca (art. 110). I dati possono essere resi noti all'interessato solo per il tramite di un medico designato dall'interessato o dal titolare (art. 84).
 Violazione dei dati ("Data Breach") art. 33 e art. 34
 La violazione dei dati personali, Data Breach, è definita come la violazione di sicurezza che comporta accidentalmente o in modo illecito la distribuzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati. Può essere un evento doloso come un attacco informatico ma anche accidentale come una calamità naturale o la semplice perdita di chiavetta USB. Il titolare del trattamento dei dati avrà l'obbligo legale di rendere note le fughe di dati all'autorità nazionale e di comunicarle entro 72 ore da quando ne è venuto a conoscenza. I resoconti delle fughe di dati devono come minimo (Art. 33):
 descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
 comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni;
 descrivere le probabili conseguenze della violazione dei dati personali;
 descrivere le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.
 Inoltre tale resoconto deve essere fornito all'autorità sovrintendente non appena se ne viene a conoscenza e comunque entro 72 ore. Se, dopo una valutazione, emerge che la violazione dei dati abbia delle conseguenze gravi, il titolare ha l'obbligo di avvertire tempestivamente l'interessato.
 Valutazione dell'impatto sulla protezione dei dati
 La valutazione d’impatto sulla protezione dei dati (DPIA, acronimo di “Data Protection Impact Assessment”) è un processo che il titolare del trattamento deve effettuare (preventivamente) quando un tipo di trattamento, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche (art. 35 GDPR).
 In pratica, la DPIA è la valutazione (identificazione, analisi, ponderazione) del rischio integrata dalle misure di contenimento relative.
 In particolare la DPIA va eseguita nei seguenti casi:
 Trattamenti valutativi e di scoring, incluse la profilazione ed attività predittive.
 Decisioni automatizzate con effetti giuridici o similmente significativi.
 Monitoraggio sistematico: trattamenti utilizzati per osservare, monitorare o controllare gli interessati, compresa la raccolta di dati attraverso reti o “la sorveglianza sistematica di un’area accessibile al pubblico” (articolo 35, paragrafo 3, lettera c) ).
 Trattamento di Dati Sensibili o strettamente personali.
 Trattamenti di dati su larga scala
 I dati relativi ad interessati vulnerabili quali, per esempio, i minori
 L’uso innovativo o l’applicazione di soluzioni tecnologiche o organizzative
 La valutazione consiste nell'analisi più accurata condotta in via anticipata, ovvero prima di procedere al trattamento dei dati, del trattamento in questione e dei possibili rischi connessi ad esso.
 Diritto alla cancellazione, limitazione e rettifica
 Articolo 16- Diritto di rettifica
 L'interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l'interessato ha il diritto di ottenere l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.
 Articolo 17- Diritto alla cancellazione
 1. L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
 a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
 b) l'interessato revoca il consenso su cui si basa il trattamento;
 c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;
 d) i dati personali sono stati trattati illecitamente;
 e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;
 f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.
 2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.
 3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:
 a) per l'esercizio del diritto alla libertà di espressione e di informazione;
 b) per l'adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento; (1)
 c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'articolo 9, paragrafo 2, lettere h) e i), e dell'articolo 9, paragrafo 3;
 d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o
 e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.
 Articolo 18-Diritto di limitazione di trattamento
 1. L'interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:
 a) l'interessato contesta l'esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l'esattezza di tali dati personali;
 b) il trattamento è illecito e l'interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l'utilizzo;
 c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all'interessato per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;
 d) l'interessato si è opposto al trattamento ai sensi dell'articolo 21, paragrafo 1, in attesa della verifica in merito all'eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell'interessato.
 2. Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell'interessato o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un'altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell'Unione o di uno Stato membro.
 3. L'interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 è informato dal titolare del trattamento prima che detta limitazione sia revocata.
 Portabilità dei dati
 Il diritto alla portabilità è sancito dall'articolo 20: "L'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti".
 Una persona deve essere in grado quindi di trasferire i propri dati personali da un sistema di elaborazione elettronico ad un altro senza impedimenti. Inoltre, i dati devono essere forniti dal controllore in un formato leggibile da un elaboratore di dati e in nessun modo di tipo cartaceo. Non ci sono indicazioni sul formato ma un documento come un PDF non è sufficiente non essendo elaborabile. Quando una persona decide di esercitare il diritto alla portabilità, il titolare interpellato deve adempiere a quanto richiesto in tempi ragionevoli in base al contesto e alla specifica situazione (in generale entro un mese dalla richiesta). Gli esperti legali vedono nella versione finale di questa misura la creazione di un "nuovo diritto" che "si estende oltre l'ambito della portabilità dei dati tra due controllori, così come stipulato dall'Articolo 18".
 L'obiettivo di questo diritto è di agevolare il passaggio e lo scambio di dati evitando fenomeni di lock-in tecnologici e promuovendo la libera circolazione dei dati stimolando la concorrenza tra i titolari del trattamento. Questi dati devono rispettare delle condizioni affinché il diritto possa essere esercitato: devono essere "dati personali" e non anonimi. Questi dati devono essere stati forniti consapevolmente e in modo attivo dall'interessato. Il diritto si estende anche ai dati generati dalle attività dell'interessato come i dati di localizzazione, storia delle ricerche, ecc.). Non sono compresi invece i dati generati dal titolare sulla base dei dati raccolti o ottenuti da terze parti. Può capitare che, come nel caso dei gestori di telefonia, i dati personali dell'interessato siano collegati a dati di terzi (come i numeri dei contatti telefonici), in questo caso l'interessato ha il diritto di riceverli, ma se dovesse trasferirli ad altro fornitore, quest'ultimo avrebbe l'obbligo di non processare tali dati di terzi.
 Trasferimento di dati all'estero
 Mentre la circolazione dei dati all’interno dell’SEE è libera, i trasferimenti al di fuori di esso non sono generalmente autorizzati, a meno che non intervengano specifiche garanzie:
 il paese destinatario deve garantire, infatti, un adeguato livello di sicurezza (GDPR Art. 45) definito dalla Commissione Europea. Le decisioni di adeguatezza sono strumenti vincolanti per i paesi dell'Unione, e in base ad esse è ammesso il trasferimento di dati verso il paese indicato. Le decisioni di adeguatezza possono essere modificate, sospese o revocate, se risulta che il paese terzo non soddisfi più i criteri necessari. L'EDPD ha il compito di fornire un parere in materia alla commissione.
 In mancanza di una decisione di adeguatezza , è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale soltanto se si verifica una delle seguenti condizioni (GDPR Art. 49): consenso dell’interessato, trasferimento necessario all’esecuzione, conclusione di un contratto, importanti motivi di interesse pubblico, accertamento, esercitazione o difesa di un diritto in sede giudiziaria, tutela di interessi vitali dell’interessato.
 Norme vincolanti d'impresa
 Le norme vincolanti d'impresa sono da considerarsi all'interno delle garanzie che possono permettere il trasferimento di dati all'esterno dell'SEE. Il meccanismo di funzionamento e le condizioni necessarie per il trasferimento dei dati in forza di queste norme viene espresso in maniera approfondita nell'articolo 47 del GDPR.
 Queste norme sono state create per rendere più semplice la gestione amministrativa di società che fanno capo ad uno stesso gruppo con sedi dislocate in diversi Paesi, in particolare paesi esterni allo spazio economico europeo. Viene così data la possibilità, alle società facenti parte di uno stesso gruppo, di trasferire dati personali senza l'obbligo di rispettare tutti gli adempimenti altrimenti richiesti(Art.45,Art.49). Le norme vincolanti d’impresa vengono concretizzate attraverso un documento in cui sono inclusi principi, clausole, garanzie e regole di condotta che è necessario rispettare nel caso di trasferimenti di dati personali all'interno di una o più società dello stesso gruppo aziendale.
 All'interno del primo paragrafo dell'art. 47 del GDPR viene esplicitato il ruolo dell'autorità competente, ovvero quello di approvare o no le Binding Corporate Rules, con la condizione che siano conformi al principio di coerenza dell'art.63. Per quanto concerne i diritti dei soggetti interessati al trattamento dei dati, le norme vincolanti d’impresa garantiscono all’interessato:
 Di non venire sottoposto a decisioni basate esclusivamente su di un trattamento automatizzato (paragrafo 2 lett.e dell'art.47 GDPR).
 Il diritto di fare un reclamo presso l’autorità di controllo competente e di venire tutelato presso le autorità giurisdizionali competenti degli Stati Europei (paragrafo 2 lett.i dell'art.47 GDPR).
 Il diritto di ricevere una riparazione ed un risarcimento nel caso di una violazione delle Binding Corporate Rules (paragrafo 2 lett.e dell'art.47 GDPR).
 In merito alla responsabilità del titolare e/o del responsabile del trattamento dei dati, le norme in questione definiscono al paragrafo 2 lett.f dell'art.47 GDPR che:
 Il titolare o il responsabile del trattamento si faccia carico di qualunque violazione delle norme vincolanti d'impresa commesse da un membro interessato non stabilito in uno dei Paesi dell'Unione Europea.
 La mancata responsabilità, totale o parziale, del titolare e/o del responsabile è presente solo se quest'ultimo è capace di dimostrare che l'evento dannoso non è stato causato dal soggetto in questione.
 Il gruppo di imprese che svolge il trattamento deve garantire una verifica di conformità alle norme vincolanti d'impresa; per fare ciò deve svolgere delle verifiche sui metodi utilizzati per la protezione dei dati e deve assicurare dei provvedimenti correttivi in caso il trattamento non sia conforme alle norme. Inoltre i risultati ottenuti dalle verifiche effettuate dovrebbero essere comunicati agli interessati del trattamento dei dati ed all'organo amministrativo dell'impresa; e dovrebbero essere forniti all'autorità di controllo competente se quest'ultima li richiedesse.
 Per quanto riguarda la Commissione, essa in merito al trattamento dei dati ha la possibilità di specificare il formato e le procedure con cui titolari del trattamento, responsabili del trattamento e autorità di controllo possano scambiarsi informazioni in maniera adeguata circa le norme vincolanti d'impresa.
 Cronologia
 La sequenza temporale che ha condotto all'adozione del Regolamento GDPR è la seguente:
 21 ottobre 2013: il Comitato del Parlamento Europeo su Libertà Civili, Giustizia e Affari Interni (LIBE) dà il proprio voto di orientamento.
 15 dicembre 2015: le trattative tra il Parlamento Europeo, il Consiglio e la Commissione risultano in una proposta congiunta.
 17 dicembre 2015: il LIBE dà il proprio voto positivo al risultato delle trattative nel dialogo a tre.
 8 aprile 2016: adozione da parte del Consiglio dell'Unione Europea.
 14 aprile 2016: adozione da parte del Parlamento Europeo.
 4 maggio 2016: il regolamento entra in vigore, 20 giorni dopo la sua pubblicazione sulla rivista ufficiale dell'UE.
 25 maggio 2018: le disposizioni del GDPR sono direttamente applicabili in tutti gli stati membri.
 Dispute e tensioni
 La proposta di un nuovo regolamento ha dato vita a molte discussioni e controversie. Sono stati proposti migliaia di emendamenti. Si supponeva che l'insieme unico di regole e la rimozione di requisiti amministrativi risultassero in un risparmio economico, ma i critici hanno sollevato queste obiezioni:
 La richiesta di avere un funzionario per la protezione dei dati è nuova per molte nazioni europee ed è stata criticata da alcune per il carico amministrativo.
 Nel testo si parla di imprese (indipendentemente dalla forma giuridica, ivi comprese le ditte individuali) o di enti pubblici ma non (esplicitamente) di associazioni non a carattere economico; tuttavia la giurisprudenza è orientata a considere anche queste come soggetti che devono implementare il regolamento.
 Il GDPR è stato sviluppato con un'attenzione particolare per i social network e i provider di servizi cloud, ma non ha preso in sufficiente considerazione i requisiti per il trattamento dei dati dei lavoratori.
 La portabilità dei dati non è vista come un aspetto fondamentale per la protezione dei dati, ma più come un requisito funzionale per i social network e i provider di servizi cloud.
 Sfide linguistiche e di personale per le autorità di protezione dei dati:
 Le imprese extraeuropee potrebbero preferire le DPA britanniche o irlandesi in virtù della lingua inglese. Questo implicherà l'uso di ampie risorse in quei paesi.
 I cittadini europei non avranno più una singola DPA da contattare per i propri problemi, ma dovranno rivolgersi alla DPA scelta dall'azienda coinvolta. Ci si possono aspettare problemi di comunicazione a causa delle lingue straniere.
 Il nuovo regolamento è in conflitto con altre leggi, regolamentazioni e prassi non europee (ad esempio la sorveglianza da parte dei governi). Le imprese in tali paesi non andrebbero più considerate accettabili per la gestione dei dati personali nell'UE.
 Le problematiche maggiori potrebbero riguardare la messa in pratica del GDPR:
 L'implementazione del GDPR europeo richiederà un sostanziale cambiamento nelle pratiche commerciali per quelle imprese che non avevano implementato un livello confrontabile di privacy prima che il regolamento entrasse in vigore (soprattutto le imprese extraeuropee che trattano dati personali europei).
 Vi è già a tutt'oggi una carenza di esperti sulla privacy e i nuovi requisiti potrebbero peggiorare la situazione. Pertanto, la formazione nella protezione dei dati sarà un fattore cruciale per il successo del GDPR.
 La Commissione Europea e le DPA devono fornire risorse e poteri sufficienti per mettere in atto l'implementazione ed è necessario raggiungere un accordo su un livello uniforme di protezione dei dati da parte di tutte le DPA europee, poiché una interpretazione diversa del regolamento può comunque portare a livelli di privacy differenti.
 Il GDPR rappresenta una contromisura alle preoccupazioni sulla privacy, ma allo stesso tempo può incentivare l'uso, la raccolta e il commercio dei dati comportamentali degli utenti. Il GDPR quindi non impedisce le pratiche non etiche delle aziende che sfruttano lo status di res nullius dei dati degli utenti e utilizzano i dati degli utenti negli algoritmi predittivi per manipolare il comportamento, le preferenze di voto e le scelte di consumo degli individui.
 Altre norme correlate
 Il GDPR è integrato da altre norme UE che ne ampliano o limitano la portata. In pratica norme specifiche correlate allo schema base. Di seguito alcuni esempi.
 Direttiva UE 2016/680. In aggiunta al GDPR, è applicata una disciplina speciale e in parte derogatrice per i trattamenti dei dati da parte dell'Autorità Giudiziaria e di tutte le forze di polizia; in ragione della caratteristica dell'istituto della direttiva europea tali trattamenti dei dati (Autorità Giudiziaria e forze di polizia) continueranno ad essere differenti da Stato a Stato ed oggetto di una legislazione separata nazionale.
 Direttiva UE 2016/681. La norma regolamenta l'uso delle informazioni relative al codice di prenotazione (PNR) rilasciato dalle compagnie aeree.
 Direttiva 2002/58/CE. Conosciuta anche come direttiva ePrivacy. Questa norma disciplina il trattamento dei dati personali e la tutela della vita privata nel settore delle comunicazioni elettroniche. La norma è in fase di revisione e dovrebbe diventare un regolamento (regolamento UE ePrivacy).
 Impatto
 L'impatto del GDPR è tuttavia abbastanza limitato nei primi anni dell'adozione per poi iniziare a migliorare la tutela della privacy dei soggetti. Uno studio pubblicato nel novembre 2019 dimostra che il numero dei reclami inviati all'APD (Autorità Protezione Dati) nel 2018 era di appena 3 per 10.000 abitanti. I casi di 24 Paesi sono stati analizzati e le statistiche rivelano grandi differenze: da 0,17 reclami per 10.000 abitanti a 8,6 in Irlanda. In alcuni stati (Grecia, Islanda) il numero dei reclami è persino diminuito nel 2018, evocando dubbi a proposito dell'impatto del regolamento .
 Tra le aziende ed enti oggetti di provvedimento da parte del garante nei primi mesi del 2021 si ricordano l'INPS, TikTok e diversi enti sanitari.
 Note
 Voci correlate
 Privacy
 Big Data
 Internet delle cose
 Codice in materia di protezione dei dati personali
 Altri progetti
 Collegamenti esterni
 Regolamento generale sulla protezione dei dati del 27 aprile 2016
 Conferenza italiana dedicata al Regolamento generale sulla protezione dei dati
 Data breach: che fare? Le novità introdotte dal nuovo GDPR
 EU Data Protection page
 Procedure 2012/0011/COD, EUR-Lex
 Sanzioni per l'inosservanza delle disposizioni del GDPR, CyberLaws.it
 2012/0011(COD) - Personal data protection: processing and free movement of data (General Data Protection Regulation), European Parliament
 How to prepare for proposed EU data protection regulation (Computerweekly)
 Binding Corporate Rules
 Protezione dei dati
 Privacy
 Diritto informatico
 Diritto dell'informazione
 Etica


type: contracts

jurisdiction: EU

text:
19.10.2017
 LT
 Europos Sąjungos oficialusis leidinys
 L 270/27
 EEE JUNGTINIO KOMITETO SPRENDIMAS
 Nr. 57/2016
 2016 m. kovo 18 d.
 kuriuo iš dalies keičiamas EEE susitarimo XX priedas (Aplinka) [2017/1887]
 EEE JUNGTINIS KOMITETAS,
 atsižvelgdamas į Europos ekonominės erdvės susitarimą (toliau – EEE susitarimas), ypač į jo 98 straipsnį,
 kadangi:
 (1)
 į EEE susitarimą turi būti įtrauktas 2015 m. lapkričio 13 d. Komisijos sprendimas (ES) 2015/2056, kuriuo iš dalies keičiami sprendimai 2009/300/EB, 2009/563/EB, 2009/894/EB, 2011/330/ES ir 2011/337/ES, kad būtų pratęstas ekologinių kriterijų, taikomų tam tikriems produktams suteikiant ES ekologinį ženklą, galiojimas (1);
 (2)
 todėl EEE susitarimo XX priedas turėtų būti atitinkamai iš dalies pakeistas,
 PRIĖMĖ ŠĮ SPRENDIMĄ:
 1 straipsnis
 EEE susitarimo XX priedo 2g punktas (Komisijos sprendimas 2009/563/EB), 2j punktas (Komisijos sprendimas 2009/300/EB), 2q punktas (Komisijos sprendimas 2011/337/ES), 2s punktas (Komisijos sprendimas 2011/330/ES), 2zd punktas (Komisijos sprendimas 2009/894/EB) papildomi šia įtrauka:
 „—
 32015 D 2056: 2015 m. lapkričio 13 d. Komisijos sprendimas (ES) 2015/2056 (OL L 300, 2015 11 17, p. 41).“
 2 straipsnis
 Europos Sąjungos oficialiojo leidinio EEE priede skelbtinas Sprendimo (ES) 2015/2056 tekstas islandų ir norvegų kalbomis yra autentiškas.
 3 straipsnis
 Šis sprendimas įsigalioja 2016 m. kovo 19 d., jei buvo pateikti visi pranešimai pagal EEE susitarimo 103 straipsnio 1 dalį (*1).
 4 straipsnis
 Šis sprendimas skelbiamas Europos Sąjungos oficialiojo leidinio EEE skyriuje ir EEE priede.
 Priimta Briuselyje 2016 m. kovo 18 d.
 EEE jungtinio komiteto vardu
 Pirmininkas
 Claude MAERTEN
 (1) OL L 300, , p. 41.
 (*1) Konstitucinių reikalavimų nenurodyta.


type: legislation

text:
N ? C 199/8 Jornal Oficial das Comunidades Europeias 4. 8. 89
 II
 (Actos preparatórios)
 COMISSÃO
 Proposta de regulamento (CEE) do Conselho que altera o Regulamento (CEE) n? 234/79, rela-
 tivo ao procedimento de adaptação da nomenclatura da Pauta Aduaneira Comum utilizada para
 os produtos agrícolas
 COM(89) 320 final
 (Apresentada pela Comissão ao Conselho em 30 de Junho de 1989)
 (89/C 199/16)
 O CONSELHO DAS COMUNIDADES EUROPEIAS, anualmente actualizada pela Comissão; que deve pre-
 ver-se que, nomeadamente na sequência de tais actuali-
 Tendo em conta o Tratado que institui a Comunidade zações, possa ser efectuada pela Comissão a correspon-
 Económica Europeia e, nomeadamente, o seu artigo 43?, dente adaptação das designações e códigos constantes de
 regulamentos do Conselho e que devem ser adaptadas
 Tendo em conta o Regulamento (CEE) n? 827/68 do em conformidade as actuais disposições do n? 2 do ar-
 Conselho, de 28 de Junho de 1968, que estabelece a or- tigo 2? do Regulamento (CEE) n? 234/79,
 ganização comum de mercado para certos produtos enu-
 merados no anexo II do Tratado CEE ('), com a última ADOPTOU O PRESENTE REGULAMENTO:
 redacção que lhe foi dada pelo Regulamento (CEE) n? Artigo Io.
 3911/87 (2), e, nomeadamente, o seu artigo 6?,
 O artigo 2? do Regulamento (CEE) n? 234/79 passa a
 Tendo em conta a proposta da Comissão, ter a seguinte redacção:
 «Artigo 2o.
 Tendo em conta o parecer do Parlamento Europeu,
 1. A designação dos produtos e as referências às posi-
 ções ou subposições da Nomenclatura Combinada nos
 Considerando que a Nomenclatura Combinada das mer-
 regulamentos do Conselho podem ser adaptadas de
 cadorias instituída pelo Regulamento (CEE) n? 2658/87
 acordo com o processo fixado no artigo 38? do Regula-
 do Conselho (3), com a última redacção que lhe foi dada
 mento n? 136/66/CEE e nos artigos correspondentes
 pelo Regulamento (CEE) n? . . . (*), satisfaz as exigências
 dos outros regulamentos que estabelecem organizações
 da Pauta Aduaneira Comum e das estatísticas do comér-
 comuns de mercado, se tais adaptações forem conse-
 cio externo;
 quência de alterações da Nomenclatura Combinada.
 Considerando que as disposições do artigo 9? do Regu- 2. Para efeitos do disposto no presente regulamento, o
 lamento (CEE) n? 2658/87 tornam supérfluas as do n? 1 comité criado pelo artigo 37? do Regulamento n?
 do artigo 2? do Regulamento (CEE) n? 234/79 do Con- 136/66/CEE é declarado competente no que se refere
 selho O ; aos produtos regidos pelo Regulamento (CEE) n?
 827/68.»
 Considerando que o artigo 12? do Regulamento (CEE) Artigo 2o.
 n? 2658/87 prevê que a Nomenclatura Combinada seja
 O presente regulamento entra em vigor no terceiro dia
 seguinte ao da sua publicação no Jornal Oficial das Co-
 O JO n? L 151 de 30. 6. 1968, p. 16.
 munidades Europeias.
 O JO n? L 370 de 30. 12. 1987, p. 36.
 O JO n? L 256 de 7. 9. 1987, p. 1. O presente regulamento é obrigatório em todos os seus
 (4) JO n? L elementos e directamente aplicável em todos os Estados-
 (s) JO n? L 34 de 9. 2. 1979, p. 2. -membros.


type: wikipedia

text:
It-Teatru tal-Opri Margravjali (bil-Ġermaniż: Markgräfliches Opernhaus) huwa teatru tal-opri Barokk fir-raħal ta' Bayreuth, il-Ġermanja. Huwa nbena bejn l-1745 u l-1750. Huwa wieħed mill-ftit teatri eżistenti ta' dak il-perjodu fl-Ewropa u ġie rrestawrat b'mod estensiv. Fit-30 ta' Ġunju 2012, it-teatru tal-opri tniżżel fil-lista tas-Siti ta' Wirt Dinji tal-UNESCO.
 Storja
 It-teatru tal-opri nbena skont il-pjanta ddisinjata mill-arkitett Franċiż Joseph Saint-Pierre (għall-ħabta tal-1709-1754), il-bennej tal-qorti tal-Margravju (titlu ereditarju ta' prinċep) ta' Hohenzollern Federiku ta' Brandenburg-Bayreuth u martu l-Prinċipessa Wilhelmina tal-Prussja. It-teatru tal-opri ġie inawgurat fl-okkażjoni taż-żwieġ ta' binthom Elisabeth Fredericka Sophie mad-Duka Charles Eugene ta' Württemberg.
 Id-disinn ta' kif inhu mgħammar minn ġewwa sar minn Giuseppe Galli Bibiena (1696-1757) u ibnu Carlo minn Bologna bi stil tal-Barokk Aħħari. It-teatru tal-opri ġie ppreservat fil-kundizzjoni oriġinali tiegħu, għajr il-purtiera li ttieħdet mit-truppi ta' Napuljun fi triqithom lejn il-kampanja militari tar-Russja tal-1812. Il-gallarija rjali qajla ntużat mill-koppja Margravjali li kellhom għal qalbhom l-arti, għaliex kienu jippreferu post fir-ringiela ta' quddiem nett.
 Il-Prinċipessa Wilhelmina, l-oħt il-kbira tar-Re tal-Prussja Federiku l-Kbir, kienet stabbiliet il-kumpanija teatrali Margravjali fl-1737. Fit-teatru tal-opri l-ġdid hija pparteċipat bħala kompożitriċi tal-opri u ta' Singspiele, kif ukoll bħala attriċi u direttriċi. Illum tidher f'preżentazzjoni bid-dwal u bl-awdjo għat-turisti. Wara mewtha fl-1758, l-ispettakli waqfu ħesrem u l-binja ma baqgħetx tintuża, li hija waħda mir-raġunijiet ewlenin li baqgħet fi stat tajjeb ta' konservazzjoni.
 Iktar minn mitt sena wara, it-tul kbir tal-palk ta' 27 metru attira lill-kompożitur Richard Wagner, li fl-1872 għażel lil Bayreuth bħala ċentru għal festival u ordna li tinbena l-binja tal-Festspielhaus fit-Tramuntana tar-raħal. Iċ-ċerimonja tat-tqegħid tal-ewwel ġebla saret fit-22 ta' Mejju, għeluq snin Wagner, u kienet tinkludi spettaklu fejn indaqqet is-Sinfonija Nru 9 ta' Beethoven, taħt id-direzzjoni ta' Wagner.
 Partijiet mill-film tal-1994 Farinelli nġibdu fit-Teatru tal-Opri Margravjali. It-teatru kien is-sit fejn kull sena kien isir il-Bayreuther Osterfestival sal-2009. Kull Settembru mis-sena 2000 sal-2009, it-teatru kien jospita il-Festival Barokk ta' Bayreuth, bi spettakli ta' opri rari bikrin. Il-festival tal-2009 kien jinkludi spettakli tal-festa teatrali ta' Andrea Bernasconi, L'Huomo, b'librett tal-Margravja Wilhelmina.
 It-teatru tal-opri ngħalaq f'Ottubru 2012 għal restawr u żvilupp mill-ġdid estensivi u reġa' nfetaħ fit-12 ta' April 2018.
 Sit ta' Wirt Dinji
 It-Teatru tal-Opri Margravjali ta' Bayreuth ġie ddeżinjat bħala Sit ta' Wirt Dinji tal-UNESCO fl-2012.
 Il-valur universali straordinarju tas-sit ġie rrikonoxxut abbażi ta' żewġ kriterji tal-għażla tal-UNESCO: il-kriterju (iv) "Rappreżentazzjoni ta' kapulavur frott il-kreattività tal-bniedem"; u l-kriterju (iv) "Eżempju straordinarju ta' tip ta' bini, ta' grupp ta' siti jew ta' pajsaġġ arkitettoniku jew teknoloġiku li joħroġ fid-dieher stadju/i sinifikanti fl-istorja tal-bniedem".
 Referenzi
 Siti ta' Wirt Dinji
 Teatri
 Ġermanja