32001R0045
L 008/1
ОФИЦИАЛЕН ВЕСТНИК НА ЕВРОПЕЙСКИЯ СЪЮЗ
РЕГЛАМЕНТ (ЕО) № 45/2001 НА ЕВРОПЕЙСКИЯ ПАРЛАМЕНТ И НА СЪВЕТА
от 18 декември 2000 година
относно защитата на лицата по отношение на обработката на лични данни от институции и органи на Общността и за свободното движение на такива данни
ЕВРОПЕЙСКИЯТ ПАРЛАМЕНТ И СЪВЕТЪТ НА ЕВРОПЕЙСКИЯ СЪЮЗ,
като взеха предвид Договора за създаване на Европейската общност, и по-специално член 286 от него,
като взеха предвид предложението на Комисията (1),
като взеха предвид становището на Икономическия и социален комитет (2),
в съответствие с процедурата, предвидена в член 251 от Договора (3),
като имат предвид, че:
(1)
Член 286 от Договора изисква актовете на Общността относно защитата на лицата по отношение на обработката на лични данни и свободното движение на такива данни да се прилагат спрямо институциите и органите на Общността.
(2)
Една напълно функционална система за защита на личните данни изисква да се определят не само права за субектите на данни и задължения за онези, които обработват лични данни, но и подходящи санкции за нарушителите и за наблюдение и контрол от страна на независим надзорен орган.
(3)
Член 286, параграф 2 от Договора изисква създаването на независим надзорен орган, който да отговаря за наблюдението и контрола върху прилагането на тези актове на Общността спрямо институциите и органите на Общността.
(4)
Член 286, параграф 2 от Договора изисква приемането по целесъобразност на всякакви други свързани с това разпоредби.
(5)
Необходим е регламент, който да осигурява на физическите лица законно приложими права, да определя свързаните с обработката на данни задължения на контролните органи в рамките на институциите и органите на Общността и да създаде независим надзорен орган, който да отговаря за наблюдението и контрола на обработката на лични данни от институциите и органите на Общността.
(6)
Проведени са консултации с работната група за защита на лицата по отношение на обработката на лични данни, която е сформирана съгласно член 29 от Директива 95/46/ЕО на Европейския парламент и на Съвета от 24 октомври 1995 г. за защита на физическите лица по отношение на обработката на лични данни и за свободното движение на такива данни (4).
(7)
Лицата, които ще бъдат обект на защита са онези, чиито лични данни при каквито и да е обстоятелства се обработват от институции или органи на Общността, например поради това, че са служители на тези институции или органи.
(8)
Принципите за защита на данните следва да се прилагат по отношение на всяка информация, която се отнася за идентифицирано или идентифицируемо лице. За да се определи, дали може да се установи самоличността на дадено лице, следва да се вземат предвид всички приемливи средства, с които може да си послужи контролиращия орган или което и да е друго лице с оглед идентифицирането на посоченото лице. Принципите за защита не следва да се прилагат по отношение на данни с анонимен характер по такъв начин, че субектът на данните не е повече идентифицируем.
(9)
Директива 95/46/ЕО изисква от държавите-членки да защитават основните права и свободи на физическите лица, и по-специално правото им на личен живот по отношение на обработката на лични данни, за да се гарантира свободно движение на лични данни в Общността.
(10)
Директива 97/66/ЕО на Европейския парламент и на Съвета от 15 декември 1997 г. относно обработката на лични данни и защитата на личния живот в телекомуникационния сектор (5) уточнява и допълва Директива 95/46/ЕО по отношение на обработката на лични данни в телекомуникационния сектор.
(11)
Различни други мерки на Общността, в т.ч. мерки за взаимопомощ между националните органи и Комисията, също са предназначени да уточняват и допълват Директива 95/46/ЕО в секторите, за които се отнасят.
(12)
Необходимо е да се гарантира последователно и еднакво прилагане на територията на цялата Общност на правилата за защита на основните права и свободи на физическите лица по отношение на обработката на лични данни.
(13)
Целта е едновременно да се гарантира ефективно спазване на правилата, които уреждат защитата на основните права и свободи на отделните лица и свободното движение на лични данни между държавите-членки и институциите и органите на Общността или между институциите и органите на Общността във връзка с упражняването на съответните им компетенции.
(14)
За целта следва да се приемат мерки, които да са задължителни за институциите и органите на Общността. Тези мерки следва да се прилагат за всички обработки на лични данни от страна на всички институции и органи на Общността дотолкова, доколкото се извършват при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
(15)
Когато тази обработка се извършва от институции или органи на Общността при упражняване на дейности, попадащи извън обхвата на настоящия регламент, по-специално посочените в дялове V и VI от Договора за Европейския съюз, защитата на основните права и свободи на отделните лица се гарантира при надлежно съблюдаване на разпоредбите на член 6 от Договора за Европейския съюз. Достъпът до документи, включително и условията за достъп до документи, съдържащи лични данни, се урежда от правилата, които са приети въз основа на член 255 от Договора за създаване на Европейската общност, чийто обхват включва дялове V и VI от Договора за Европейския съюз.
(16)
Мерките не следва да се прилагат спрямо органи, които са установени извън рамките на Общността, а Европейският надзорен орган по защита на данните не следва да е компетентен да наблюдава и контролира обработката на лични данни от такива органи.
(17)
Ефективността на защитата на лицата по отношение на обработката на лични данни в Съюза предполага последователност на съответните правила и процедури, които са приложими за дейности, принадлежащи към различен правен контекст. Разработването на основни принципи за защита на личните данни в областта на правното сътрудничество по наказателни въпроси и полицейското и митническо сътрудничество, както и създаването на секретариат за съвместните надзорни органи, учредени от конвенцията за Европол, Конвенцията за използване на информационни технологии за митнически цели и Шенгенската конвенция представляват първа стъпка в тази посока.
(18)
Настоящият регламент не следва да засяга правата и задълженията на държавите-членки съгласно Директиви 95/46/ЕО и 97/66/ЕО. В съответствие с Протокола за привилегиите и имунитетите на Европейските общности и международното право той няма за цел да променя законно прилагани от държавите-членки действащи процедури и практики в областта на националната сигурност, предотвратяването на безредици или предотвратяването, разкриването, разследването и съдебното преследване на престъпни деяния.
(19)
Институциите и органите на Общността следва да информират компетентните власти на държавите-членки, когато считат, че трябва да се извърши подслушване на съобщения по техните телекомуникационни мрежи при съблюдаване на приложимите национални разпоредби.
(20)
Приложимите разпоредби спрямо институциите и органите на Общността следва да съответстват на разпоредбите, които са предвидени във връзка с хармонизирането на националните законодателства или осъществяването на други политика на Общността, предимно в сферата на взаимната помощ. Все пак, когато става въпрос за гарантиране на защита в случая на обработката на лични данни от институции и органи на Общността, може да се наложи уточняване и допълване на тези разпоредби.
(21)
Същото важи и за правата на лицата, чиито данни се обработват, за задълженията на извършващите обработката институции и органи на Общността и за правомощията, които следва да се предоставят на независимия надзорен орган, който ще отговаря за правилното прилагане на настоящия регламент.
(22)
Предоставените на субекта на данни права и тяхното упражняване не трябва да влияят на наложените на контролиращия орган задължения.
(23)
Независимият надзорен орган следва да упражнява надзорните си функции в съответствие с Договора и при съблюдаване на правата на човека и основните свободи. Той следва да провежда своите разследвания в съответствие с Протокола за привилегиите и имунитетите, Правилника за служителите на Европейските общности и с приложимите условия за наемане на работа на други служители на Общностите.
(24)
Следва да се приемат необходимите технически мерки, които да позволяват достъп чрез независимия надзорен орган до водените от длъжностните лица за защита на данните регистри за извършените операции по обработка на лични данни.
(25)
Решенията на независимия надзорен орган относно отмяната на разпоредби, гаранциите, разрешенията и условията във връзка с операциите по обработка на данни, както са определени в настоящия регламент, следва да се публикуват в отчет за дейността. Независимо от публикуването на годишен отчет за дейността, независимият надзорен орган може да публикува отчети по конкретни теми.
(26)
Някои свързани с обработката на данни операции, които биха могли да крият конкретни опасности по отношение на правата и свободите на субектите на данни, се подлагат на предварителна проверка от независимия надзорен орган. Даденото в контекста на такава предварителна проверка становище, включително и становището, произтичащо от отсъствие на отговор в рамките на определен срок, не засяга последващото упражняване от страна на независимия надзорен орган на неговите правомощия по отношение на въпросната операция по обработка на данни.
(27)
Обработката на лични данни за осъществяване на задачите, които институциите и органи на Общността изпълняват в интерес на обществото, включва обработка на лични данни, които са необходими за управлението и функционирането на тези институции и органи.
(28)
В някои случаи обработката на данни следва да бъде разрешена от разпоредби на Общността или актове, които въвеждат разпоредби на Общността. Въпреки това, през преходния период, по време на който не съществуват такива разпоредби, и докато те бъдат приети, Европейският надзорен орган по защита на данните може да разрешава обработката на такива данни, при условие че бъдат приети подходящи гаранции. В тази връзка той/тя следва да отчита приетите от държавите-членки разпоредби за подобни случаи.
(29)
Тези случаи касаят обработката на данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации и обработката на данни, касаещи здравето или сексуалния живот, които са необходими за спазването на конкретните права и задължения на контролния орган в областта на трудовото законодателство или по причини от значителен обществен интерес. Те касаят и обработката на данни, свързани с нарушения, присъди или мерки за сигурност и разрешение за прилагане спрямо субекта на данните на решение, което създава правни ефекти за него/нея или значително го/я засяга и което се основава единствено на автоматизирана обработка на данни, предназначени за оценяване на определени аспекти на неговата/нейната личност.
(30)
Може да е необходимо да се наблюдават и контролират компютърните мрежи, които се експлоатират под контрола на институциите и органите на Общността с цел предотвратяване на неразрешено използване. Европейският надзорен орган по защита на данните следва да определи, дали и при какви условия е възможно това.
(31)
Отговорността, която произтича от нарушаване на разпоредбите на настоящия регламент, е уредена в член 288, втори параграф от Договора.
(32)
Във всяка институция или орган на Общността трябва да има едно или повече длъжностни лица за защита на данните, които да гарантират прилагането на разпоредбите на настоящия регламент и да съветват контролиращите органи по изпълнението на техните задължения.
(33)
Съгласно член 21 от Регламент (ЕО) № 322/97 на Съвета от 17 февруари 1997 г. относно статистиката на Общността (6), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(34)
Съгласно член 8, параграф 8 от Регламент (ЕО) № 2533/98 на Съвета от 23 ноември 1998 г. относно събирането на статистическа информация от Европейската централна банка (7), регламентът трябва да се прилага, без да се засягат разпоредбите на Директива 95/46/ЕО.
(35)
Съгласно член 1, параграф 2 от Регламент (Евратом, ЕИО) № 1588/90 на Съвета от 11 юни 1990 г. относно изпращането в Статистическата служба на Европейските общности на данни, които са обект на статистическа тайна (8), регламентът не прави изключение от специалните общностни или национални разпоредби във връзка със защитата на поверителна информация, различна от статистическа тайна.
(36)
В съответствие с член 249 от Договора настоящият регламент няма за цел да ограничава свободата на действие на държавите-членки в съставянето на националните им закони за защита на данните, съгласно член 32 от Директива 95/46/ЕО,
ПРИЕХА НАСТОЯЩИЯ РЕГЛАМЕНТ:
ГЛАВА I
ОБЩИ РАЗПОРЕДБИ
Член 1
Предмет на регламента
1. В съответствие с настоящия регламент институциите и органите, които са създадени от или въз основа на Договорите за създаване на Европейските общности, оттук нататък наричани „институции или органи на Общността“, защитават основните права и свободи на физическите лица, и по-специалноправото им на личен живот по отношение на обработката на лични данни, както и не ограничават или забраняват свободното движение на лични данни помежду си или до получатели, спрямо които се прилага националното право на държавите-членки, които изпълняват Директива 95/46/ЕО.
2. Учреденият с настоящия регламент независим надзорен орган, оттук нататък наричан „Европейски надзорен орган по защита на данните“, наблюдава и контролира прилагането на разпоредбите на настоящия регламент по отношение на всички операции по обработка на лични данни, извършвани от институция или орган на Общността.
Член 2
Определения
По смисъла на настоящия регламент:
а)
„лични данни“ означава всяка информация, свързана с физическо лице с установена или подлежаща на установяване самоличност, оттук нататък наричано „субект на данни“; лице с подлежаща на установяване самоличност е лице, чиято самоличност може пряко или косвено да се установи, по-специално по идентификационен номер или по един или повече специфични фактора за неговата/нейната физическа, психологическа, психична, икономическа, културна или социална самоличност;
б)
„обработка на лични данни“, оттук нататък наричана „обработка“, означава всяка операция или съвкупност от операции, които се извършват с или без автоматични средства по отношение на личните данни, като събиране, записване, организиране, съхранение, адаптиране или промяна, извличане, справка, използване, разкриване чрез изпращане, разпространение или другояче предоставяне, подреждане или комбиниране, блокиране, заличаване или унищожаване;
в)
„система за архивиране на лични данни“, оттук нататък наричана „архивираща система“, означава всяка структурирана съвкупност от лични данни, достъпът до която се осъществява по специфични критерии, независимо дали тази съвкупност е централизирана, децентрализирана или разделена по функционален или географски принцип;
г)
„контролиращ орган“ означава институцията или органът на Общността, Генералната дирекция, звеното или всяка друга организационна структура, която самостоятелно или съвместно с други определя целите и средствата за обработка на лични данни; когато целите и средствата за обработка са определени със специфичен акт на Общността, с този акт на Общността може да се посочи контролиращият орган или специфичните критерии за неговото определяне.
д)
„обработващо лице“ означава физическо или юридическо лице, публична власт, агенция или всеки друг орган, който извършва обработка на лични данни от името на контролиращия орган;
е)
„трета страна“ означава физическо или юридическо лице, обществен орган, агенция или орган, различен от субекта на данни, контролиращия орган, обработващото лице и лицата, които са упълномощени да обработват данните под прекия контрол на контролиращия орган или обработващото лице;
ж)
„получател“ означава физическо или юридическо лице, публична власт, агенция или друг орган, пред който се разкриват данните, независимо дали той е или не е трета страна; все пак органите, които могат да получават данни в рамките на конкретно следствие не се считат за получатели;
з)
„съгласие на субекта на данни“ означава всеки свободно даден, конкретен и информиран израз на воля, с която той/тя изразява съгласието си да бъдат обработвани личните му/ѝ данни.
Член 3
Обхват
1. Настоящият регламент се прилага за обработката на данни от всички институции и органи на Общността дотолкова, доколкото тази обработка се извършва при упражняване на дейности, които изцяло или частично попадат в обхвата на правото на Общността.
2. Настоящият регламент се прилага за обработката на данни, която изцяло или частично се извършва чрез автоматични средства, както и за неавтоматичната обработка на лични данни, които съставляват част от архивираща система или са предназначени да бъдат част от архивираща система.
ГЛАВА II
ОБЩИ ПРАВИЛА ЗА ЗАКОНОСЪОБРАЗНОСТ НА ОБРАБОТКАТА НА ЛИЧНИ ДАННИ
РАЗДЕЛ 1
ПРИНЦИПИ ОТНОСНО КАЧЕСТВОТО НА ДАННИТЕ
Член 4
Качество на данните
1. Личните данни трябва да бъдат:
а)
безпристрастно и законно обработвани;
б)
събирани за конкретни, изрично указани и законни цели и да не бъдат впоследствие обработвани по несъвместим с тези цели начин. Последващата обработка за исторически, статистически или научни цели не се счита за несъвместима, при условие че контролиращият орган предвиди подходящи защитни мерки, с които по-конкретно да се гарантира, че данните няма да бъдат обработвани за никакви други цели или няма да бъдат използвани в подкрепа на мерки или решения, засягащи конкретно физическо лице;
в)
достатъчни, уместни и не повече от необходимото предвид целите, за които се събират и/или обработват впоследствие;
г)
точни и при необходимост актуализирани; трябва да се предприемат всички разумни стъпки, за да се гарантира заличаването или коригирането на неточни или непълни данни предвид целите, за които те се събират или обработват впоследствие;
д)
съхранявани по начин, който позволява установяване на самоличността на субектите на данни в продължение на период, който не надвишава необходимото за целите, за които се събират или впоследствие обработват данните. Институцията или органът на Общността регламентират съхраняването на лични данни, които трябва да се пазят за по-дълги периоди за исторически, статистически или научни цели да се извършва само в анонимна форма или, ако това не е възможно, само с кодиране на самоличността на субектите на данни. Във всички случаи данните не се използват за никакви други, освен исторически, статистически или научни цели.
2. Контролиращият орган е длъжен да гарантира спазването на разпоредбите на параграф 1.
РАЗДЕЛ 2
КРИТЕРИИ ЗА ЛЕГИТИМНА ОБРАБОТКА НА ДАННИ
Член 5
Законосъобразност на обработката
Лични данни могат да се обработват само ако:
а)
обработката е необходима за изпълнението на задача, която в интерес на обществото въз основа на Договорите за създаване на Европейските общности или други приети въз основа на тях юридически актове или при легитимно упражняване на официални правомощия, предоставени на институцията или органа на Общността или на трета страна, пред която се разкриват данните, или
б)
обработката е необходима за съобразяване със законно задължение, което се прилага спрямо контролиращия орган, или
в)
обработката е необходима за изпълнението на договор, по който субектът на данни е страна или за предприемане на стъпки по искане на субекта на данните преди сключването на договор, или
г)
субектът на данните недвусмислено е дал своето съгласие, или
д)
обработката е необходима за защита на жизнените интереси на субекта на данните.
Член 6
Промяна на целта
Без да се засягат разпоредбите на членове 4, 5 и 10:
1.
Лични данни се обработват за цели, различни от тези, за които са били събрани само ако промяната на целта е изрично разрешена от вътрешния правилник на институцията или органа на Общността.
2.
Лични данни, които са събрани изключително за гарантиране на сигурността или контрола на обработващите системи или операцаци, не се използват за никакви други цели, с изключение на такива, свързани с предотвратяване, разследване, разкриване и съдебно преследване на тежки криминални престъпления.
Член 7
Предаване на лични данни вътрешно или между институции или органи на Общността
Без да се засягат разпоредбите на членове 4, 5, 6 и 10:
1.
Лични данни се предават вътрешно или на други институции или органи на Общността само ако данните са необходими за законното изпълнение на задачи от компетенциите на получателя.
2.
Когато данните се предават по молба на получателя, контролиращият орган и получателят едновременно носят отговорност за легитимността на предаването.
Контролиращият орган е длъжен да провери компетенциите на получателя и да извърши предварителна оценка на необходимостта от предаване на данните. В случай на възникнали съмнения относно тази необходимост, контролиращият орган изисква допълнителна информация от получателя.
Получателят гарантира, че необходимостта от предаване на данните може да бъде впоследствие проверена.
3.
Получателят обработва личните данни само за целите, за които те са предадени.
Член 8
Предаване на лични данни на получатели, които са различни от институции и органи на Общността и спрямо които се прилагат разпоредбите на Директива 95/46/ЕО
Без да се засягат разпоредбите на членове 4, 5, 6 и 10, лични данни се предават на получатели, които са подчинени на разпоредбите на национално законодателство, прието в изпълнение на Директива 95/46/ЕО само ако:
а)
получателят удостовери, че данните са необходими за изпълнението на задача, която се осъществява в интерес на обществото или е предмет на упражняване на публична власт, или
б)
получателят удостовери необходимостта от предаване на данните, и ако няма основания да се предполага, че биха могли да бъдат засегнати легитимните интереси на субекта на данните.
Член 9
Предаване на лични данни на получатели, които са различни от институции и органи на Общността, спрямо които не се прилагат разпоредбите на Директива 95/46/ЕО
1. Лични данни се предават на получатели, които са различни от институции и органи на Общността и не са подчинени на разпоредбите на национално право, прието съобразно Директива 95/46/ЕО само ако в страната на получателя или в рамките на международната организация-получател е гарантирана достатъчно ниво на защита и данните се предават единствено с оглед изпълнение на задачи, които са от компетенциите на контролиращия орган.
2. Достатъчното ниво на защита, която се гарантира от съответната трета страна или международна организация се оценява в светлината на всички обстоятелства около дадена операция или съвкупност от операции по предаване на данни; особено внимание се обръща на естеството на данните, целта и продължителността на предлаганата операция или операции по предаване, третата страна-получател или международната организация-получател, действащите в съответната трета страна или международна организация общи и отраслови правни правила и професионалните правила и мерки за сигурност, които се спазват в тази трета страна или международна организация.
3. Институциите и органите на Общността информират Комисията и Европейския надзорен орган по защита на данните за случаи, в които те считат, че съответната трета страна или международна организация не гарантира достатъчно ниво на защита по смисъла на параграф 2.
4. Комисията информира държавите-членки за всички случаи по параграф 3.
5. Институциите и органите на Общността предприемат необходимите мерки, за да се съобразят с взетите от Комисията решения, когато съгласно член 25, параграфи 4 и 6 от Директива 95/46/ЕО тя установява, че дадена трета страна или международна организация гарантира или не достатъчно ниво на защита.
6. Чрез дерогация от разпоредбите на параграфи 1 и 2, институцията или органът на Общността може да предава лични данни, ако:
а)
субектът на данните е дал недвусмислено съгласие за предлаганото предаване, или
б)
предаването е необходимо за изпълнението на договор между субекта на данните и контролиращия орган или за изпълнението на мерки преди сключването на договор в отговор на молба от страна на субекта на данните, или
в)
предаването е необходимо за сключването или изпълнението на договор, който е сключен между контролиращия орган и трета страна в интерес на субекта на данните, или
г)
предаването е необходимо или установено по закон на основания, свързани с важен обществен интерес или за установяването, упражняването или защитата на правни искове, или
д)
предаването е необходимо за защита на жизнените интереси на субекта на данните, или
е)
предаването се извършва от регистър, който съгласно правото на Общността е предназначен за предоставяне на информация на обществеността и е открит за извършване на справки от обществеността въобще или от всяко лице, което явно покаже легитимен интерес, при условие че в конкретния случай са изпълнени предвидените в правото на Общността условия за извършване на справки.
7. Без да се засягат разпоредбите на параграф 6, Европейският надзорен орган по защита на данните може да разрешава предаване или съвкупност от предавания на лични данни на трета страна или международна организация, която не гарантира достатъчно ниво на защита по смисъла на параграфи 1 и 2, когато контролиращият орган дава достатъчни гаранции по отношение на защитата на личния живот и основните права и свободи на физическите лица и по отношение на упражняването на съответните права; по-специално, тези гаранции могат да произтичат от подходящи договорни клаузи.
8. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за категориите случаи, в които са приложили разпоредбите на параграфи 6 и 7.
РАЗДЕЛ 3
СПЕЦИАЛНИ КАТЕГОРИИ ОБРАБОТКА
Член 10
Обработка на специални категории данни
1. Забранява се обработката на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения, членство в синдикални организации, както и данни, свързани със здравето или сексуалния живот.
2. Разпоредбите на параграф 1 не се прилагат, когато:
а)
субектът на данните е дал своето изрично съгласие за обработка на такива данни, освен в случаите, когато вътрешният правилник на институцията или органа на Общността предвижда, че посочената в параграф 1 забрана не може да се отменя чрез даването на съгласие от страна на субекта на данните, или
б)
обработката е необходима, с цел съобразяване със специфични права и задължения на контролиращия орган в областта на трудовото право дотолкова, доколкото това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или при необходимост дотолкова, доколкото това е съгласувано с Европейския надзорен орган по защита на данните при условията на осигуряване на достатъчни мерки за защита, или
в)
обработката е необходима за защита на жизнените интереси на субекта на данните или на друго лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие, или
г)
обработката касае данни, които са публично обявени от субекта на данните, или ако е необходима за установяване, упражняване или защита на правни искове, или
д)
обработката се извършва в хода на легитимно упражняваните дейности и при подходящи мерки за защита от орган с нестопанска цел, който представлява интегрирана в дадена институция или орган на Общността структура, която по силата на член 4 от Директива 95/46/ЕО не е подчинена на разпоредбите на национално законодателство за защита на данните, както и когато се извършва с политическа, философска, религиозна или синдикална цел и при условие че обработката касае единствено членове на този орган или лица, които редовно контактуват с него във връзка с неговите цели и че данните не се разкриват пред трета страна без съгласието на субектите на данните.
3. Разпоредбите на параграф 1 не се прилагат, когато обработката на данните е необходима за медицински цели, свързани с профилактика, диагностициране, осигуряване на здравна помощ или лечение или управление на здравни служби, и когато тези данни се обработват от здравен специалист, който е обвързан със задължение за опазване на професионална тайна или от друго лице, което също е обвързано с равностойно задължение за опазване на тайна.
4. При условие че са осигурени подходящи гаранции и по съображения от значителен обществен интерес, освен предвидените в параграф 2 изключения, при необходимост с решение на Европейския надзорен орган по защита на данните могат да се предвидят допълнителни изключения, които са предвидени от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове.
5. Обработката на данни, свързани с престъпления, присъди или мерки за сигурност може да се извършва само ако това е разрешено от Договорите за създаване на Европейските общности или други приети въз основа на тях правни актове или, при необходимост, от Европейския надзорен орган по защита на данните, при условие че са осигурени подходящи специфични гаранции.
6. Европейският надзорен орган по защита на данните определя условията, при които личен номер или друг идентификатор може да се обработва от институция или орган на Общността.
РАЗДЕЛ 4
ИНФОРМАЦИЯ, КОЯТО СЕ ПРЕДОСТАВЯ НА СУБЕКТА НА ДАННИТЕ
Член 11
Информация, която се предоставя в случаи, когато данните са получени от техния субект
1. Контролиращият орган предоставя на субекта на данните, от когото са получени свързаните с него данни, най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
целите на процесът по обработка, за който са предназначени данните;
в)
получатели или категории получатели на данните;
г)
дали отговарянето на въпросите е задължително или доброволно, както и възможните последствия при липса на отговор;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
дотолкова, доколкото такава допълнителна информация е необходима предвид конкретните обстоятелства, при които са събрани данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Чрез дерогация от разпоредбите на параграф 1 предоставянето на информация или част от нея, с изключение на информацията, посочена в параграф 1, букви а), б) и г), може да се отлага за времето, което е необходимо за статистически цели. Информацията трябва да се предостави веднага, след като престанат да съществуват причините да нейното задържане.
Член 12
Информация, която се предоставя в случаи, когато данните не са получени от техния субект
1. Когато данните не са получени от техния субект, при започване на записването на личните данни, или когато се предвижда те да бъдат разкрити пред трета страна и не по-късно от времето, когато данните се разкриват за първи път, контролиращият орган предоставя на субекта на данните най-малко следната информация, освен ако той/тя вече не разполага с нея:
а)
данните за самоличност на контролиращия орган;
б)
цели на процесът на обработка;
в)
съответните категории данни;
г)
получатели или категории получатели;
д)
наличието на право на достъп до и право на коригиране на касаещите го/я данни;
е)
всякаква друга допълнителна информация, като:
i)
правното основание на обработката, за която са предназначени данните,
ii)
сроковете за съхранение на данните,
iii)
правото да се обръща по всяко време към европейския контрольор за защита на данните,
iv)
произхода на данните, с изключение на случаите, когато контролиращият орган не може да разкрие тази информация от съображения за професионална тайна,
дотолкова, доколкото такава допълнителна информация е необходима предвид специфичните обстоятелства, при които се обработват данните, за да се гарантира безпристрастност на обработката спрямо субекта на данните.
2. Разпоредбите на параграф 1 не се прилагат по-конкретно при обработката за статистически цели или за целите на исторически или научни изследвания, когато предоставянето на такава информация е невъзможно или би било свързано с несъразмерни усилия или ако записването или разкриването на данни е изрично предвидено от правото на Общността. В тези случаи институцията или органът на Общността предвиждат подходящи гаранции, след консултация с Европейския надзорен орган по защита на данните.
РАЗДЕЛ 5
ПРАВА НА СУБЕКТА НА ДАННИ
Член 13
Право на достъп
В срок от три месеца след получаване на запитването субектът на данните има право безплатно, без ограничения и по всяко време да получи от контролиращия орган:
а)
потвърждение, дали свързаните с него/нея данни се обработват;
б)
информация най-малко за целите на обработката, съответните категории данни и получателите или категориите получатели, пред които се разкриват данните;
в)
съобщение в разбираема форма за данните, които са в процес на обработка и всякаква налична информация за техния източник;
г)
информация за логиката на всеки автоматизиран процес на решение, който го/я касае.
Член 14
Коригиране
Субектът на данните има право да получи от контролиращия орган незабавно коригиране на неточни или непълни лични данни.
Член 15
Блокиране
1. Субектът на данните има право да получи от контролиращия орган блокиране на данните, когато:
а)
точността им се оспорва от субекта на данните за срок, който позволява на контролиращия орган да провери точността, включително и пълнотата на данните, или
б)
контролиращият орган вече не се нуждае от тях за изпълнение на своите задачи, но те трябва да бъдат запазени за доказателствени цели, или
в)
обработката им е незаконна и субектът на данните не желае те да бъдат заличени, а изисква да бъдат блокирани.
2. При автоматизирани архивиращи системи блокирането по принцип се осигурява чрез технически средства. Фактът, че личните данни са блокирани се указва в системата по начин, който ясно да показва, че личните данни не могат да се ползват.
3. Блокираните съгласно разпоредбите на настоящия член лични данни, с изключение на съхранението им, се обработват единствено за доказателствени цели или със съгласието на субекта на данните, или с оглед защита на правата на трета страна.
4. Преди данните да бъдат блокирани, контролиращият орган информира субекта на данните, който е поискал и получил блокиране на неговите/нейните данни.
Член 16
Заличаване
Субектът на данните има право да получи от контролиращия орган заличаване на данните, ако тяхната обработка е незаконна, особено когато са нарушени разпоредбите на раздели 1, 2 и 3 от глава II.
Член 17
Нотифициране на трети страни
Субектът на данните има право да получи от контролиращия орган нотифициране на трети страни, пред които са били разкрити данните за всяка корекция, заличаване или блокиране по силата на членове от 13 до 16, освен ако това е невъзможно или свързано с несъразмерно големи усилия.
Член 18
Право на възражение от страна на субекта на данните
Субектът на данните има право:
а)
по всяко време на непреодолими легитимни основания, свързани с конкретното му/ѝ положение да възразява срещу обработката на свързани с него/нея данни, освен в случаите по член 5, букви б), в) и г). При наличие на основателно възражение съответните данни не могат повече да бъдат обект на обработка;
б)
да бъде информиран преди личните данни да бъдат разкрити за първи път пред трети страни или преди да бъдат използвани от тях за преки маркетингови цели, както и изрично да му бъде предоставено право на безплатно възражение срещу такова разкриване или използване.
Член 19
Автоматизирани индивидуални решения
Субектът на данните има право да не бъде обект на решение, което има правни последици за него/нея или значително го/я засяга, и което се основава единствено на автоматизирана обработка на данни, които са предназначени за оценка на някои аспекти на неговата/нейната личност, като изпълнение на професионалните му/ѝ задължения, надеждност или поведение, освен ако решението не е изрично разрешено по силата на национално или общностно законодателство или, при необходимост, от Европейския надзорен орган по защита на данните. И в двата случая трябва да се вземат мерки за защита на законните интереси на субекта на данните така че той/тя да може да изразява собствената си гледна точка.
РАЗДЕЛ 6
ИЗКЛЮЧЕНИЯ И ОГРАНИЧЕНИЯ
Член 20
Изключения и ограничения
1. Институциите и органите на Общността могат да ограничават прилагането на член 4, параграф 1, член 11, член 12, параграф 1, членове от 13 до 17 и член 37, параграф 1, когато това ограничение представлява необходима мярка за гарантиране на:
а)
предотвратяването, разследването, разкриването и съдебното преследване на престъпни деяния;
б)
важен икономически или финансов интерес на дадена държава-членка или на Европейските общности, в т.ч. валутни, бюджетни и данъчни въпроси;
в)
защитата на субекта на данни или на правата и свободите на други лица;
г)
националната сигурност, обществената безопасност или отбраната на държавите-членки;
д)
наблюдение и контрол, инспекция или регулативна функция, която е свързана, макар и случайно, с упражняването на официални правомощия в случаите по букви а) и б).
2. Разпоредбите на членове от 13 до 16 не се прилагат, когато данните се обработват единствено с цел научни изследвания или се съхраняват под формата на лични данни в продължение на период, който не надвишава необходимия период за съставяне единствено на статистика, при условие че очевидно не съществува опасност от нарушаване на личния живот на субекта на данните и че контролиращият орган предвиди подходящи правни гаранции, с които по-специално да се гарантира, че данните не се използват за вземане на мерки или решения, касаещи конкретни физически лица.
3. В случай на наложено ограничение по параграф 1, съгласно правото на Общността субектът на данните се информира за основните причини за налагане на ограничението и за правото му/ѝ да се обърне към Европейския надзорен орган по защита на данните.
4. В случай на наложено ограничение по параграф 1, основаващо се на отказ за предоставяне на субекта на достъп до данните, които го касаят, при разглеждане на жалбата Европейският надзорен орган по защита на данните го/я информира единствено за това, дали данните са били правилно обработени и, ако не са, дали са извършени необходимите корекции.
5. Предоставянето на посочената в параграфи 3 и 4 информация може да се отлага за такъв период от време, през който информацията би лишила от ефект наложеното ограничение по параграф 1.
РАЗДЕЛ 7
ПОВЕРИТЕЛНОСТ И СИГУРНОСТ НА ОБРАБОТКАТА
Член 21
Поверителност на обработката
Лице, наето на работа в институция или орган на Общността или самата институция или орган на Общността, който действа в качеството на обработващо лице, имащо достъп до лични данни, ги обработва само по нареждане на контролиращия орган, освен ако по силата на националното право или правото на Общността не се изисква друго.
Член 22
Сигурност на обработката
1. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, контролиращият орган прилага подходящи технически и организационни мерки, за да гарантира подходящо ниво на сигурност по отношение на свързаните с обработката рискове и естеството на подлежащите на защита лични данни.
По-специално такива мерки се предприемат за предотвратяване на неразрешено разкриване или достъп, случайно или незаконно унищожаване, или случайна загуба или промяна, както и за предотвратяване на всякакви други незаконни форми на обработка.
2. Когато личните данни се обработват с помощта на автоматизирани средства, се вземат подходящи мерки в зависимост от рисковете, по-конкретно с цел:
а)
предотвратяване на достъпа на неупълномощени лица до компютърните системи, с които се обработват лични данни;
б)
предотвратяване на всякаква неразрешена форма на четене, копиране, промяна или отстраняване на носители на данни;
в)
предотвратяване на всякакво неразрешено въвеждани на данни в паметта, както и всякаква форма на неразрешено разкриване, промяна или заличаване на съхранени лични данни;
г)
предотвратяване на използването на системи за обработка на данни от страна на неупълномощени лица чрез устройства за предаване на данни;
д)
гарантиране, че упълномощените потребители на дадена система за обработка на данни не могат да имат достъп до никакви други лични данни, освен тези, за които се отнася правото им на достъп;
е)
записване кои лични данни са били съобщени, кога и на кого;
ж)
гарантиране, че впоследствие е възможно да се провери кои лични данни са били обработени, кога и от кого;
з)
гарантиране, че обработваните от трети страни лични данни могат да се обработват единствено по начина, който е предписан от институцията или органа възложител;
и)
гарантиране, че по време на съобщаване на лични данни и по време на транспортиране на носители на данни не могат да се четат, копират или заличават данни без разрешение;
й)
структуриране на вътрешната организация на институциите или органите, така че да отговаря на специалните изисквания за защита на данните.
Член 23
Обработка на лични данни от името на контролиращ органи
1. Когато дадена обработка се извършва от негово име, контролиращият орган избира обработващо лице, което предоставя достатъчни гаранции по отношение на техническите и организационни мерки за сигурност, които се изискват от член 22 и гарантира тяхното спазване.
2. Извършването на обработка чрез обработващо лице се урежда с договор или юридически акт, който обвързва обработващото лице спрямо контролиращия орган и който по-специално постановява, че:
а)
обработващото лице действа единствено по указания на контролиращия орган;
б)
обработващото лице подлежи и на задълженията, които са посочени в членове 21 и 22, освен ако по силата на член 16 или член 17, параграф 3, второ тире от Директива 95/46/ЕО вече не е обвързан със задължения за поверителност и опазване на тайна, които са предвидени от националното право на една от държавите-членки.
3. За доказателствени цели частите от договора или юридическия акт във връзка със защитата на данни и изискванията във връзка с посочените в член 22 мерки са в писмена или друга равностойна форма.
РАЗДЕЛ 8
ДЛЪЖНОСТНО ЛИЦЕ ЗА ЗАЩИТА НА ДАННИТЕ
Член 24
Назначаване и задачи на длъжностното лице за защита на данните
1. Всяка институция и орган на Общността назначава най-малко едно длъжностно лице за защита на данните, което има следните задачи:
а)
да гарантира, че контролиращ органите и субектите на данните са информирани за техните права и задължения съгласно настоящия регламент;
б)
да отговаря на запитвания от страна на Европейския надзорен орган по защита на данните и в рамките на своите компетенции да сътрудничи с Европейския надзорен орган по защита на данните по искане по последния или по своя собствена инициатива;
в)
по независим начин да гарантира вътрешното прилагане на разпоредбите на настоящия регламент;
г)
да води регистър на извършените от контролиращия орган операции по обработка, който да съдържа информацията, посочена в член 25, параграф 2;
д)
да нотифицира Европейския надзорен орган по защита на данните за операциите по обработка, които има вероятност да представляват конкретна опасност по смисъла на член 27.
По този начин това лице гарантира, че операциите по обработка няма вероятност да засегнат неблагоприятно правата и свободите на субектите на данни.
2. Длъжностното лице за защита на данните се подбира въз основа на неговите/нейните лични и професионални качества и по-специално въз основа на експертните му/ѝ познания в областта на защитата на данни.
3. Изборът на длъжностно лице за защита на данните не трябва да води до конфликт на интереси между неговите/нейните задължения като длъжностно лице за защита на данните и всякакви други служебни задължения, особено по отношение на прилагането на разпоредбите на настоящия регламент.
4. Длъжностното лице за защита на данните се назначава за срок между две и пет години. Той/тя може да бъде преназначаван(а), като общата продължителност на мандата му/ѝ не може да надвишава десет години. Той/тя може да бъде освобождаван(а) от длъжността длъжностно лице за защита на данните от институцията или органа на Общността, който го/я е назначил само със съгласието на европейския контрольор за защита на данните, ако престане да отговаря на необходимите условия за изпълнение на своите задължения.
5. След назначаване на длъжностното лице за защита на данните, институцията или органът, който го/я е назначил го/я регистрира при европейския контрольор за защита на данните.
6. Институцията или органът на Общността, който е назначил длъжностното лице за защита на данните му/ѝ осигурява необходимия персонал и средства за изпълнение на неговите/нейните задължения.
7. Длъжностното лице за защита на данните не може да получава никакви инструкции по отношение на изпълнението на своите задължения.
8. Всяка институция или орган на Общността приема допълнителни правила по изпълнение във връзка с длъжностното лице за защита на данните, в съответствие с разпоредбите на приложението. Нормите за изпълнение касаят по-специално задачите, задълженията и правомощията на длъжностното лице за защита на данните.
Член 25
Нотифициране на длъжностното лице за защита на данните
1. Контролиращият орган предварително нотифицира длъжностното лице за защита на данните за всяка операция по обработка или съвкупност от такива операции, които са предназначени да обслужват една единствена или няколко свързани цели.
2. Информацията, която следва да се предоставя включва:
а)
име и адрес на контролиращия орган и посочване на организационните части на дадена институция или орган, на които е поверена обработката на лични данни за конкретна цел;
б)
цел или цели на обработката;
в)
описание на категорията или категориите субекти на данни и на свързаните с тях данни или категории данни;
г)
правното основание на обработката, за която са предназначени данните;
д)
получатели или категории получатели, пред които биха могли да бъдат разкрити данните;
е)
общо указване на сроковете за блокиране и заличаване на различните категории данни;
ж)
предлагано предаване на данни на трети страни или международни организации;
з)
общо описание, позволяващо извършването на предварителна оценка на целесъобразността на предприетите мерки съгласно член 22 за гарантиране на сигурност на обработката.
3. Длъжностното лице за защита на данните своевременно се уведомява за всяка промяна, засягаща информацията по параграф 2.
Член 26
Регистър
Всяко длъжностно лице за защита на данните води регистър за съобщените в съответствие с член 25 операции по обработка.
Регистрите съдържат най-малко информацията, която е посочена в член 25, параграф 2, букви от а) до ж). Справки в регистрите могат да се правят пряко или косвено от всяко лице чрез европейския контрольор за защита на данните.
РАЗДЕЛ 9
ПРЕДВАРИТЕЛНА ПРОВЕРКА ОТ СТРАНА НА ЕВРОПЕЙСКИЯ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ И ЗАДЪЛЖЕНИЕ ЗА СЪТРУДНИЧЕСТВО
Член 27
Предварителна проверка
1. Операции по обработка, които поради своето естество, обхват или цели има вероятност да представляват специфични опасности за правата и свободите на субектите на данни, се подлагат на предварителна проверка от страна на Европейския надзорен орган по защита на данните.
2. Такава опасност могат да представляват следните операции:
а)
обработка на данни, свързани със здравето и предполагаеми престъпления, престъпления, присъди или мерки за неотклонение;
б)
операции по обработка, които са предназначени за оценка на аспекти на личността на субекта на данните, включително неговите/нейните способности, ефективност и поведение;
в)
операции по обработка, позволяващи връзки между данни, които се обработват за различни цели и които не са предвидени в националното или общностно законодателство;
г)
операции по обработка с цел изключване на лица от право, облага или договор.
3. Предварителните проверки се извършват от Европейския надзорен орган по защита на данните след получаване на нотификация от длъжностното лице за защита на данните, което в случай на съмнение относно необходимостта от извършване на предварителна проверка се консултира с Европейския надзорен орган по защита на данните.
4. Европейският надзорен орган по защита на данните представя становището си в срок от два месеца след получаване на нотификацията. Изтичането на този срок може временно да се прекрати, докато Европейският надзорен орган по защита на данните получи всякаква евентуално поискана от него/нея допълнителна информация. Когато сложността на въпроса го изисква, този срок може с решение на Европейския надзорен орган по защита на данните да се удължи с още два месеца. Това решение се нотифицира на контролиращия орган преди изтичане на първоначалния двумесечен срок.
При отсъствие на представено становище до края на двумесечния или евентуално удължен срок, становището се счита за положително.
Ако становището на Европейския надзорен орган по защита на данните е, че нотифицираната обработка може да включва нарушаване на някоя от разпоредбите на настоящия регламент, при необходимост, той прави предложения за избягване на такова нарушение. Когато контролиращият орган не извърши съответни промени в операцията по обработка, Европейският надзорен орган по защита на данните може да упражни правомощията, които са му/ѝ дадени по силата на член 47, параграф 1.
5. Европейският надзорен орган по защита на данните води регистър на всички операции по обработка, за които е бил(а) уведомен(а) съгласно параграф 2. Регистърът съдържа посочената в член 25 информация и е обществено достъпен за справки.
Член 28
Консултация
1. Институциите и органите на Общността информират Европейския надзорен орган по защита на данните при съставяне на административни мерки във връзка с обработката на лични данни, в която самостоятелно или съвместно с други участва институция или орган на Общността.
2. При приемане на законодателно предложение във връзка със защитата на правата и свободите на лицата по отношение на обработката на лични данни, Комисията провежда консултации с Европейския надзорен орган по защита на данните.
Член 29
Задължение за предоставяне на информация
Институциите и органите на Общността информират Европейския надзорен орган по защита на данните за предприетите мерки вследствие на негови/нейни решения или разрешения съгласно член 46, буква з).
Член 30
Задължение за сътрудничество
По искане на Европейския надзорен орган по защита на данните, контролиращият орган го/я подпомага в изпълнението на неговите/нейните задължения, по-специално чрез предоставяне на информацията по член 47, параграф 2, буква а) и чрез предоставяне на предвидения в член 47, параграф 2, буква б) достъп.
Член 31
Задължение за реагиране на твърдения
В отговор на упражняване на правомощията по член 47, параграф 1, буква б) от страна на Европейския надзорен орган по защита на данните, контролиращият орган информира надзорния орган за становището си в рамките на приемлив срок, който се определя от надзорния орган. Отговорът включва и описание на предприетите мерки, ако има такива, в отговор на отправените от Европейския надзорен орган по защита на данните забележки.
ГЛАВА III
СРЕДСТВА ЗА СЪДЕБНА ЗАЩИТА
Член 32
Средства за съдебна защита
1. Съдът на Европейските общности е компетентен да разглежда всички спорове във връзка с разпоредбите на настоящия регламент, включително искове за вреди.
2. Без да се засягат средствата за съдебна защита, всеки субект на данни може да подаде жалба до Европейския надзорен орган по защита на данните, ако счита, че са нарушени правата му/ѝ по член 286 от Договора, вследствие на обработка на негови/нейни лични данни от институция или орган на Общността.
При отсъствие на отговор от Европейския надзорен орган по защита на данните в срок от шест месеца, жалбата се счита за отхвърлена.
3. Решенията на Европейския надзорен орган по защита на данните се обжалват пред Съда на Европейските общности.
4. Всяко лице, което е претърпяло вреда в резултат на незаконна операция по обработка или всякакво несъвместимо с настоящия регламент действие, има право на обезщетение за нанесените вреди в съответствие с член 288 от Договора.
Член 33
Жалби от служители на Общността
Всяко лице, което е наето на работа в институция или орган на Общността може да подаде жалба до Европейския надзорен орган по защита на данните, без да следва официална процедура, във връзка с предполагаемо нарушение на разпоредбите на настоящия регламент, който урежда обработката на лични данни. Никой не става обект на предубеждения, заради подадена до Европейския надзорен орган по защита на данните молба, в която се твърди за нарушение на разпоредбите, които уреждат обработката на лични данни.
ГЛАВА IV
ЗАЩИТА НА ЛИЧНИТЕ ДАННИ И ЛИЧНИЯ ЖИВОТ В КОНТЕКСТА НА ВЪТРЕШНИТЕ ТЕЛЕКОМУНИКАЦИОННИ МРЕЖИ
Член 34
Обхват
Без да се засягат останалите разпоредби на настоящия регламент, разпоредбите на настоящата глава важат за обработката на лични данни във връзка с използването на телекомуникационни мрежи или терминално оборудване, които се експлоатират под контрола на институция или орган на Общността.
По смисъла на настоящата глава „потребител“ означава всяко физическо лице, което използва телекомуникационна мрежа или терминално оборудване, което се експлоатира под контрола на институция или орган на Общността.
Член 35
Сигурност
1. Институциите и органите на Общността предприемат подходящи технически и организационни мерки за гарантиране на сигурността при използването на телекомуникационните мрежи и терминално оборудване, при необходимост съвместно с доставчиците на обществени телекомуникационни услуги или доставчиците на обществени телекомуникационни мрежи. Предвид достиженията на техническия прогрес и разходите за тяхното прилагане, тези мерки осигуряват подходящо за съществуващите опасности ниво на сигурност.
2. В случай на конкретна опасност от нарушаване на сигурността на мрежата и терминалното оборудване съответната институция или орган на Общността информира потребителите за съществуването на такава опасност и за възможните средства за правна защита и алтернативни средства за комуникация.
Член 36
Поверителност на комуникациите
Институциите и органите на Общността осигуряват поверителност на комуникациите с помощта на телекомуникационни мрежи и терминално оборудване в съответствие с общите принципи на правото на Общността.
Член 37
Данни за трафика и сметките
1. Без да се засягат разпоредбите на параграфи 2, 3 и 4, свързаните с потребителите данни за трафика, които се обработват и съхраняват за установяване на обажданията и други форми на свързване по телекомуникационните мрежи се изтриват или стават анонимни при приключване на обаждането или друга форма на свързване.
2. При необходимост, данните за трафика, съгласно съгласуван с Европейския надзорен орган по защита на данните списък, могат да се обработват за целите на управлението на телекомуникационния бюджет и трафик, включително проверка за разрешено използване на телекомуникационните системи. Тези данни се изтриват или правят анонимни при първа възможност, но не по-късно от шест месеца след събирането им, освен ако не е необходимо да се съхраняват за по-дълъг период от време за установяване, упражняване или защита на право в случай на заведен съдебен иск.
3. Обработката на данни за трафика и сметките се извършва само от лица, отговарящи за управлението на сметките, трафика или бюджета.
4. Потребителите на телекомуникационните мрежи имат право да получават неподробни сметки или други документи за проведените обаждания.
Член 38
Указатели на потребителите
1. Личните данни, които се съдържат в печатни или електронни указатели на потребителите, и достъпът до тези указатели се ограничава до строго необходимото за специфичните цели на указателя.
2. Институциите и органите на Общността предприемат всички необходими мерки за предотвратяване на използването за преки маркетингови цели на съдържащите се в тези указатели лични данни, независимо дали те са или не са обществено достъпни.
Член 39
Изписване и ограничаване на идентификацията на търсещата и търсената линия
1. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсещият потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсещата линия.
2. Когато се предлага услугата изписване на идентификацията на търсещата линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на входящите повиквания.
3. Когато се предлага услугата изписване на идентификацията на търсената линия, търсеният потребител има възможност лесно и безплатно да дезактивира изписването на идентификацията на търсената линия при търсещия потребител.
4. Когато се предлага услугата изписване на търсещата или търсената линия, институциите и органите на Общността информират потребителите за тези услуги и за посочените в параграфи 1, 2 и 3 възможности.
Член 40
Дерогиране
Институциите и органите на Общността гарантират наличието на прозрачни процедури, уреждащи начина, по който те могат да отменят дезактивирането на изписването на идентификацията на търсещата линия:
а)
временно, при представяне на молба от потребител, искащ проследяване на злонамерени или досадни обаждания;
б)
за определени линии, при организационни структури, които отговарят на спешни повиквания с оглед отговарянето на такива повиквания.
ГЛАВА V
НЕЗАВИСИМ НАДЗОРЕН ОРГАН: ЕВРОПЕЙСКИ НАДЗОРЕН ОРГАН ПО ЗАЩИТА НА ДАННИТЕ
Член 41
Европейски надзорен орган по защита на данните
1. Създава се независим надзорен орган, наричан Европейски надзорен орган по защита на данните.
2. По отношение на обработката на лични данни, задачата на Европейския надзорен орган по защита на данните е да гарантира спазването от страна на институциите и органите на Общността на основните права и свободи на физическите лица, и по-специално правото им на личен живот.
Европейският надзорен орган по защита на данните отговаря за наблюдението и гарантирането на прилагането на разпоредбите на настоящия регламент и всеки друг акт на Общността, който се отнася за защитата на основните права и свободи на физическите лица по отношение на обработката на лични данни от институция или орган на Общността, както и за предоставянето на консултации на институциите и органите на Общността и субектите на данни по всички въпроси, свързани с обработката на лични данни. За целта той/тя изпълнява предвидените в член 46 задължения и упражнява дадените му/ѝ по силата на член 47 правомощия.
Член 42
Назначаване
1. Европейският надзорен орган по защита на данните се назначава с общо съгласие от Европейския парламент и Съвета за срок от пет години въз основа на съставен от Комисията списък след публично отправена покана за представяне на кандидатури.
По същата процедура и за същия срок се назначава помощник надзорен орган, който подпомага надзорния орган в изпълнението на неговите/нейните задължения и действа като негов/неин заместник, когато надзорният орган отсъства или е възпрепятстван да изпълнява задълженията си.
2. Европейският надзорен орган по защита на данните се избира измежду лица, чиято независимост не подлежи на съмнение и за които е признато, че притежават необходимите опит и умения, за да изпълняват функциите на Европейски надзорен орган по защита на данните, например поради това, че принадлежат или са принадлежали към контролните органи, посочени в член 28 от Директива 95/46/ЕО.
3. Европейският надзорен орган по защита на данните може да се назначава повторно.
4. Освен в случаите на нормална смяна или смърт, задълженията на Европейския надзорен орган по защита на данните приключват при подаване на оставка или принудително освобождаване в съответствие с параграф 5.
5. Европейският надзорен орган по защита на данните може да бъде освободен или лишен от правото на пенсия или други заместващи пенсията облаги от Съда на Европейските общности по искане на Европейския парламент, Съвета или Комисията, ако престане да отговаря на необходимите условия за изпълнение на своите задължения или в случай на тежко провинение.
6. В случай на нормална смяна или доброволна оставка Европейският надзорен орган по защита на данните въпреки всичко продължава да заема длъжността си, докато бъде сменен(а).
7. Разпоредбите на членове от 12 до 15 и член 18 от Протокола за привилегиите и имунитетите на Европейските общности се прилагат и за Европейския надзорен орган по защита на данните.
8. За помощник надзорния орган се прилагат разпоредбите на параграфи от 2 до 7.
Член 43
Правилник и общи условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните, персонал и финансови средства
1. Европейският парламент, Съветът и Комисията с общо съгласие определят правилника и общите условия за изпълнение на задълженията на Европейския надзорен орган по защита на данните и по-специално неговата/нейната заплата, надбавки и всякакви други заместващи възнаграждения.
2. Бюджетният орган гарантира осигуряването на Европейския надзорен орган по защита на данните на необходимите за изпълнение на неговите/нейните задачи човешки и финансови ресурси.
3. Бюджетът на Европейския надзорен орган по защита на данните фигурира в отделна бюджетна позиция в раздел VIII на общия бюджет на Европейския съюз.
4. Европейският надзорен орган по защита на данните се подпомага от секретариат. Служителите и останалият персонал на секретариата се назначават от Европейския надзорен орган по защита на данните, който/която е техен висшестоящ ръководител, на когото те са изключително подчинени. Числеността на персонала се решава всяка година като част от бюджетната процедура.
5. Спрямо служителите и останалия персонал на Европейския надзорен орган по защита на данните се прилагат правилници и наредбите за длъжностните лица и останалия лица, наети на работа в Европейските общности.
6. По въпроси, касаещи секретарския персонал Европейският надзорен орган по защита на данните има същия статут, както институциите по смисъла на член 1 от Правилника за длъжностните лица на Европейските общности.
Член 44
Независимост
1. Европейският надзорен орган по защита на данните е напълно независим при изпълнение на своите задължения.
2. При изпълнение на своите задължения Европейският надзорен орган по защита на данните не търси и не получава инструкции от никого.
3. Европейският надзорен орган по защита на данните се въздържа от всякакви несъвместими със задълженията му/ѝ действия и по време на своя мандат не упражнява никакви други дейности, независимо дали срещу възнаграждение или безвъзмездно.
4. След приключване на мандата Европейският надзорен орган по защита на данните има почтено и дискретно поведение при приемането на назначения и облаги.
Член 45
Професионална тайна
По време и след приключване на мандата Европейският надзорен орган по защита на данните и неговият/нейният персонал подлежат на задължение за опазване на професионалната тайна по отношение на всякаква поверителна информация, която е стигнала до тяхното знание в хода на изпълнение на служебните им задължения.
Член 46
Задължения
Европейският надзорен орган по защита на данните:
а)
разглежда и разследва жалби и в разумен срок информира субекта на данните за техния изход;
б)
провежда разследвания по своя инициатива или въз основа на жалба и в разумен срок информира субекта на данните за техния изход;
в)
наблюдава и гарантира прилагането на разпоредбите на настоящия регламент и на всеки друг акт на Общността, който касае защитата на физически лица по отношение на обработката на лични данни от институция или орган на Общността, с изключение на Съда на Европейските общности при изпълнение на съдебните му функции;
г)
по своя инициатива или в отговор на отправена молба за консултация съветва всички институции и органи на Общността по всички въпроси, касаещи обработката на лични данни, по-специално преди те да съставят своите вътрешни правилници във връзка със защитата на основните права и свободи по отношение на обработката на лични данни;
д)
наблюдава развитието по-специално в областта на информационните и комуникационни технологии дотолкова, доколкото те имат въздействие върху защитата на личните данни;
е)
i)
сътрудничи с посочените в член 28 от Директива 95/46/ЕО национални контролни органи в страните, в които се прилага тази директива до необходимата степен за изпълнение на съответните им задължения, по-специално чрез обмен на полезна информация, чрез отправяне на искане към такъв орган да упражни правомощията си или чрез отговаряне на отправено от такъв орган искане;
ii)
сътрудничи и с контролните органи за защита на данните, които са учредени съгласно дял VI от Договора за Европейския съюз, по-специално с оглед подобряване на последователността в прилагането на правилата и процедурите, за чието спазване те съответно отговарят;
ж)
участва в дейността на създадената по силата на член 29 от Директива 95/46/ЕО работна група за защита на физическите лица по отношение на обработката на лични данни;
з)
определя, мотивира и огласява изключенията, гаранциите, разрешенията и условията, които са споменати в член 10, параграф 2, буква б), параграфи 4, 5 и 6, член 12, параграф 2, член 19 и член 37, параграф 2;
и)
води регистър на операциите по обработка, за които е уведомен(а) по силата на член 27, параграф 2 и които са регистрирани в съответствие с член 27, параграф 5, както и осигурява средства за достъп до водените от длъжностните лица за защита на данните регистри съгласно член 26;
й)
извършва предварителна проверка на обработката, за която е уведомен(а);
к)
определя своя процедурен правилник.
Член 47
Правомощия
1. Европейският надзорен орган по защита на данните може:
а)
да дава съвети на субектите на данни при упражняване на техните права;
б)
да сезира контролиращия орган при твърдение за нарушение на разпоредбите, уреждащи обработката на лични данни, и при необходимост да отправя предложения за изправяне на това нарушение и за подобряване на защитата на субектите на данни;
в)
да разпорежда удовлетворяването на молби за упражняване на определени права във връзка с данни, когато такива молби са били отхвърлени в нарушение на разпоредбите на членове от 13 до 19;
г)
да отправя предупреждения и мъмрене до контролиращия орган;
д)
да разпорежда коригиране, блокиране, заличаване или унищожаване на всички данни, които са били обработени в нарушение на разпоредбите, уреждащи обработката на лични данни, както и уведомяване за тези действия на трети страни, пред които са били разкрити данните;
е)
да налага временна или постоянна забрана за обработка;
ж)
да сезира съответната институция или орган на Общността, а при необходимост и до Европейския парламент, Съвета и Комисията;
з)
да сезира Съда на Европейските общности при предвидените в Договора условия;
и)
да взема участие в заведени пред Съда на Европейските общности дела.
2. Европейският надзорен орган по защита на данните има правомощия:
а)
да получава от контролиращ орган или институция или орган на Общността цялата информация, която е необходима за неговите/нейните разследвания;
б)
да получава достъп до всички помещения, в които контролиращ орган или институция или орган на Общността осъществява своята дейност, когато са налице основателни причини да се предполага, че в тях се осъществява дейност, която е предмет на настоящия регламент.
Член 48
Отчет за дейността
1. Европейският надзорен орган по защита на данните представя годишен отчет за дейността си пред Европейския парламент, Съвета и Комисията, който същевременно се огласява публично.
2. Европейският надзорен орган по защита на данните изпраща отчет за дейността си на другите институции и органи на Общността, които могат да представят коментари с оглед на евентуалното разглеждане на отчета в Европейския парламент, по-специално по отношение на описанието на предприетите мерки в отговор на отправените съгласно член 31 забележки от европейския контрольор за защита на данните.
ГЛАВА VI
ЗАКЛЮЧИТЕЛНИ РАЗПОРЕДБИ
Член 49
Санкции
Всяко неспазване на задължения съгласно настоящия регламент от страна на служител или друго длъжностно лице на Европейските общности, независимо дали преднамерено или по непредпазливост, води до дисциплинарни санкции в съответствие с правилата и процедурите, които са предвидени в Правилника за длъжностните лица на Европейските общности или в съответствие с приложимите за други длъжностни лица условия за наемане на работа.
Член 50
Преходен период
Институциите и органите на Общността гарантират, че операциите по обработка, които вече са в ход в деня на влизане в сила на настоящия регламент, ще бъдат приведени в съответствие с настоящия регламент в срок от една година от тази дата.
Член 51
Влизане в сила
Настоящият регламент влиза в сила на двадесетия ден след публикуването му в Официален вестник на Европейските общности.
Настоящият регламент е задължителен в своята цялост и се прилага пряко във всички държави-членки.
Съставено в Брюксел на 18 декември 2000 година.
Regolamento (CE) n. 45/2001 del Parlamento europeo e del Consiglio
del 18 dicembre 2000
concernente la tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari, nonché la libera circolazione di tali dati
IL PARLAMENTO EUROPEO E IL CONSIGLIO DELL'UNIONE EUROPEA,
visto il trattato che istituisce la Comunità europea, in particolare l'articolo 286,
vista la proposta della Commissione(1),
visto il parere del Comitato economico e sociale(2),
deliberando secondo la procedura di cui all'articolo 251 del trattato(3),
considerando quanto segue:
(1) L'articolo 286 del trattato stabilisce che gli atti comunitari sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati si applicano alle istituzioni e agli organismi comunitari.
(2) Un sistema di protezione dei dati personali richiede, per esser completo, non solo che si istituiscano diritti per le persone cui tali dati si riferiscono e obblighi per chi li elabora, ma anche adeguate sanzioni per i trasgressori e un'autorità di controllo indipendente.
(3) L'articolo 286, paragrafo 2 del trattato prescrive l'istituzione di un organo di controllo indipendente incaricato di sorvegliare l'applicazione di detti atti alle istituzioni e agli organismi comunitari.
(4) L'articolo 286, paragrafo 2 del trattato prescrive l'adozione, se del caso, di tutte le altre pertinenti disposizioni.
(5) È necessario un regolamento per accordare alle persone fisiche diritti giuridicamente tutelati e per chiarire gli obblighi dei responsabili del trattamento dei dati in seno alle istituzioni e agli organismi comunitari, nonché per istituire un'autorità di controllo indipendente incaricata di sorvegliare il trattamento dei dati personali effettuato dalle istituzioni e dagli organismi comunitari.
(6) Il gruppo per la tutela delle persone con riguardo al trattamento dei dati personali, istituito dall'articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati(4), è stato consultato.
(7) Le persone che possono essere oggetto di tutela sono quelle i cui dati personali sono trattati da istituzioni o organismi comunitari, in qualsiasi circostanza, ad esempio in quanto impiegate presso tali istituzioni o organismi.
(8) È necessario applicare i principi della protezione dei dati a tutte le informazioni relative ad una persona identificata o identificabile. Per stabilire se una persona è identificabile, occorre tener conto di tutti gli strumenti ragionevolmente impiegati dal responsabile del trattamento dei dati o da chiunque altro al fine d'identificare detta persona. Non occorre applicare detti principi di protezione ai dati resi anonimi in modo sufficiente ad impedire l'identificazione dell'interessato.
(9) La direttiva 95/46/CE fa obbligo agli Stati membri di garantire la tutela delle libertà e dei diritti fondamentali delle persone fisiche e particolarmente del diritto alla vita privata con riguardo al trattamento dei dati personali, al fine di assicurare la libera circolazione dei dati personali nella Comunità.
(10) La direttiva 97/66/CE del Parlamento europeo e del Consiglio, del 15 dicembre 1997, sul trattamento dei dati personali e sulla tutela della vita privata nel settore delle telecomunicazioni(5) precisa e integra la direttiva 95/46/CE quanto al trattamento dei dati personali nel settore delle telecomunicazioni.
(11) Diverse altre misure comunitarie, in particolare quelle in tema di assistenza reciproca tra le amministrazioni nazionali e la Commissione, mirano ugualmente a precisare e integrare la direttiva 95/46/CE nel settore cui esse si riferiscono.
(12) Occorre garantire su tutto il territorio comunitario un'applicazione coerente ed omogenea delle norme relative alla tutela delle libertà e dei diritti fondamentali delle persone fisiche con riguardo al trattamento dei dati personali.
(13) Il risultato perseguito è quello di garantire tanto l'effettivo rispetto delle norme relative alla tutela delle libertà e dei diritti fondamentali delle persone fisiche quanto la libera circolazione dei dati personali tra gli Stati membri e le istituzioni o gli organismi comunitari, nonché fra le istituzioni e gli organismi comunitari stessi ai fini dell'esercizio delle rispettive competenze.
(14) Per meglio conseguire tale risultato occorre adottare norme vincolanti nei confronti delle istituzioni e degli organismi comunitari. È necessario applicare tali norme ad ogni trattamento di dati personali effettuato da tutte le istituzioni e gli organismi comunitari purché esso avvenga nell'esercizio di attività che rientrano in tutto o in parte nel campo di applicazione del diritto comunitario.
(15) Qualora tale trattamento venga effettuato dalle istituzioni e organi comunitari per esercitare attività che esulano dall'ambito di applicazione del presente regolamento, e in particolare quelle di cui ai titoli V e VI del trattato sull'Unione europea, la tutela dei diritti e delle libertà fondamentali delle persone è garantita ai sensi dell'articolo 6 del trattato sull'Unione europea. L'accesso ai documenti, anche contenenti dati personali, è soggetto alle disposizioni adottate in base all'articolo 255 TCE, che si applica anche ai titoli V e VI del TUE.
(16) Dette misure non si applicano ad organismi istituiti al di fuori dell'ambito comunitario e il garante europeo della protezione dei dati non è competente per la sorveglianza del trattamento dei dati personali effettuato da tali organismi.
(17) L'efficacia della tutela delle persone in relazione al trattamento dei dati personali nell'Unione presuppone la coerenza delle norme e delle procedure applicabili in materia ad attività inserite in quadri giuridici diversi. L'elaborazione di principi fondamentali relativi alla protezione dei dati personali nel settore della cooperazione giudiziaria in materia penale e della cooperazione doganale e di polizia, nonché la creazione di un segretariato per le autorità di controllo comuni, istituite dalla convenzione Europol, la convenzione sull'uso dell'informatica nel settore doganale e la Convenzione Schengen, rappresentano una prima tappa a tale riguardo.
(18) È necessario che il presente regolamento prescinda dai diritti e gli obblighi degli Stati membri a titolo delle direttive 95/46/CE e 97/66/CE. Esso non si prefigge di modificare prassi e procedure legalmente applicate dagli Stati membri in materia di sicurezza nazionale, di tutela dell'ordine pubblico nonché di prevenzione, indagine, accertamento e perseguimento di reati, nel rispetto del Protocollo sui privilegi e sulle immunità delle Comunità europee e del diritto internazionale.
(19) Le istituzioni e gli organismi comunitari si rivolgono alle autorità competenti degli Stati membri se ravvisano l'opportunità di effettuare intercettazioni di comunicazioni sulle loro reti di telecomunicazioni conformemente alle disposizioni nazionali applicabili.
(20) È opportuno che le misure applicabili alle istituzioni e agli organismi comunitari corrispondano alle disposizioni previste per il ravvicinamento delle legislazioni nazionali o l'attuazione di altre politiche comunitarie, segnatamente in materia di assistenza reciproca. Tuttavia può rendersi necessario precisare e integrare tali disposizioni per garantire la protezione dei dati personali sottoposti a trattamento da istituzioni ed organismi comunitari.
(21) Ciò vale ugualmente per i diritti delle persone fisiche i cui dati personali sono sottoposti a trattamento, per gli obblighi delle istituzioni e degli organismi comunitari responsabili del trattamento, nonché per i poteri da conferire all'autorità di controllo indipendente incaricato di verificare la corretta applicazione del presente regolamento.
(22) È necessario che i diritti dell'interessato e il loro esercizio non pregiudichino gli obblighi imposti al responsabile del trattamento.
(23) L'autorità di controllo indipendente esercita il suo incarico in conformità del trattato e nel rispetto dei diritti dell'uomo e delle libertà fondamentali. Esso conduce le sue indagini nel rispetto del protocollo sui privilegi e sulle immunità e nel rispetto dello statuto dei funzionari e del regime applicabile agli altri agenti delle Comunità europee.
(24) Occorrerà adottare le misure tecniche necessarie per consentire l'accesso ai registri dei trattamenti tenuti dai responsabili della protezione dei dati tramite l'autorità di controllo indipendente.
(25) È opportuno che le decisioni dell'autorità di controllo indipendente riguardanti le deroghe, le garanzie, le autorizzazioni e le condizioni relative ai trattamenti di dati, quali definiti dal presente regolamento, siano pubblicate nel rapporto sulle attività svolte. A prescindere dalla pubblicazione annuale del rapporto sulle attività svolte, l'autorità di controllo indipendente può pubblicare relazioni su temi specifici.
(26) Taluni trattamenti che possono presentare rischi particolari per quanto riguarda i diritti e le libertà degli interessati sono soggetti a controllo preventivo dell'autorità di controllo indipendente. È necessario che il parere, anche tacito, emesso nell'ambito di detto controllo preventivo, non pregiudichi l'esercizio ulteriore da parte dell'organo di controllo indipendente delle sue competenze rispetto al trattamento in questione.
(27) Il trattamento di dati personali per l'esercizio delle funzioni svolte dalle istituzioni e dagli organismi comunitari nel pubblico interesse comprende il trattamento dei dati personali necessari alla gestione e al funzionamento di tali istituzioni e organismi.
(28) In certi casi, è necessario prevedere che il trattamento dei dati sia autorizzato da disposizioni comunitarie o atti di recepimento di disposizioni comunitarie. Tuttavia, a titolo transitorio, allorché tali disposizioni non esistono e in attesa della loro adozione, il garante europeo della protezione dei dati può autorizzare il trattamento di tali dati mediante l'adozione di garanzie adeguate. Al riguardo, egli tiene conto in particolare delle disposizioni adottate dagli Stati membri per casi simili.
(29) Tali casi riguardano il trattamento di dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, come pure il trattamento di dati relativi alla salute o alla vita sessuale che siano necessari per rispettare gli obblighi e i diritti specifici del responsabile del trattamento in materia di diritto del lavoro o per un motivo importante d'interesse pubblico. Si tratta anche del trattamento dei dati relativi alle infrazioni, alle condanne penali o alle misure di sicurezza, oppure ancora dell'autorizzazione ad applicare all'interessato una decisione che produca effetti giuridici nei suoi confronti o che la danneggi in modo significativo, fondata solo su un trattamento automatizzato dei dati destinato a valutare alcuni aspetti della sua personalità.
(30) Può essere necessario sottoporre a controllo le reti di calcolatori gestite sotto la responsabilità delle istituzioni e degli organismi della Comunità per prevenire un'utilizzazione non autorizzata. Il garante europeo della protezione dei dati stabilisce se e a quali condizioni il controllo può essere esercitato.
(31) La responsabilità per violazione del presente regolamento è disciplinata dall'articolo 288, secondo comma del trattato.
(32) Uno o più responsabili della protezione dei dati provvedono, all'interno di ciascuna istituzione o organismo della Comunità, all'applicazione del presente regolamento e consigliano i responsabili del trattamento nell'assolvimento dei loro obblighi.
(33) L'articolo 21 del regolamento (CE) n. 322/97 del Consiglio, del 17 febbraio 1997, relativo alle statistiche comunitarie(6) dispone che il regolamento si applica senza pregiudicare la direttiva 95/46/CE.
(34) L'articolo 8, paragrafo 8 del regolamento (CE) n. 2533/98 del Consiglio, del 23 novembre 1998, sulla raccolta di informazioni statistiche da parte della banca centrale europea(7) dispone che il regolamento si applica senza pregiudicare la direttiva 95/46/CE.
(35) L'articolo 1, paragrafo 2 del regolamento (Euratom, CEE) n. 1588/90 del Consiglio, dell'11 giugno 1990 relativo alla trasmissione all'istituto statistico delle Comunità europee di dati statistici protetti dal segreto(8) dispone che detto regolamento non deroga alle disposizioni particolari, comunitarie o nazionali, relative alla salvaguardia di segreti diversi da quello statistico.
(36) Il presente regolamento non è diretto a limitare gli ambiti di discrezionalità degli Stati membri per quanto attiene all'elaborazione della legislazione nazionale in materia di protezione dei dati adottata in virtù dell'articolo 32 della direttiva 95/46/CE, conformemente all'articolo 249 del trattato,
HANNO ADOTTATO IL PRESENTE REGOLAMENTO:
CAPO I
DISPOSIZIONI GENERALI
Articolo 1
Oggetto
1. Le istituzioni e gli organismi creati dai trattati che istituiscono le Comunità europee o sulla loro base (in prosieguo "le istituzioni e gli organismi comunitari") garantiscono, conformemente alle disposizioni del presente regolamento, la tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare il diritto alla vita privata per quanto attiene al trattamento di dati personali. Essi non limitano né vietano la libera circolazione dei dati personali tra loro o verso i destinatari soggetti alla normativa nazionale degli Stati membri adottata in attuazione della direttiva 95/46/CE.
2. L'autorità di controllo indipendente istituita dal presente regolamento (in prosieguo "il garante europeo della protezione dei dati") sorveglia l'applicazione delle disposizioni del presente regolamento a tutti i trattamenti dei dati personali eseguiti da un'istituzione o da un organismo comunitario.
Articolo 2
Definizioni
Ai fini del presente regolamento s'intende per:
a) "dati personali": qualsiasi informazione concernente una persona fisica identificata o identificabile (in prosieguo "interessato"); si considera identificabile la persona che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento ad un numero d'identificazione o ad uno o più elementi specifici caratteristici della sua identità fisica, fisiologica, psichica, economica, culturale o sociale;
b) "trattamento di dati personali" (in prosieguo "trattamento"): qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l'organizzazione, la conservazione, l'elaborazione o la modifica, l'estrazione, la consultazione, l'impiego, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, l'allineamento o l'interconnessione, nonché il blocco, la cancellazione o la distruzione;
c) "archivio di dati personali" (in prosieguo "archivio"): qualsiasi insieme strutturato di dati personali accessibili, secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico;
d) "responsabile del trattamento": l'istituzione o l'organismo della Comunità, la direzione generale, l'unità o qualunque altra entità organizzativa che, singolarmente o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali. Quando le finalità e i mezzi del trattamento sono determinati da un atto comunitario specifico, il responsabile del trattamento o i criteri specifici per la sua designazione possono essere fissati da tale atto comunitario;
e) "incaricato del trattamento": la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che elabora dati personali per conto del responsabile del trattamento;
f) "terzi": la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che non sia l'interessato, il responsabile del trattamento, l'incaricato del trattamento o le persone autorizzate all'elaborazione dei dati sotto l'autorità diretta di questi ultimi;
g) "destinatario": la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che riceve comunicazione di dati, che si tratti o meno di terzi. Non sono tuttavia considerate destinatari le autorità alle quali i dati possono essere comunicati nell'ambito di una missione d'inchiesta specifica;
h) "consenso dell'interessato": qualsiasi manifestazione di volontà libera, specifica e informata con la quale l'interessato accetta che i dati personali che la riguardano siano oggetto di un trattamento.
Articolo 3
Campo d'applicazione
1. Il presente regolamento si applica al trattamento di dati personali da parte di tutte le istituzioni e di tutti gli organismi comunitari, nella misura in cui detto trattamento avviene nell'esercizio di attività che rientrano in tutto o in parte nel campo di applicazione del diritto comunitario.
2. Il presente regolamento si applica al trattamento di dati personali, interamente o parzialmente automatizzato, nonché al trattamento non automatizzato di dati personali contenuti o destinati a figurare negli archivi.
CAPO II
CONDIZIONI GENERALI DI LICEITÀ DEL TRATTAMENTO DI DATI PERSONALI
SEZIONE 1
PRINCIPI RELATIVI ALLA QUALITÀ DEI DATI
Articolo 4
Qualità dei dati
1. I dati personali devono essere:
a) trattati in modo corretto e lecito;
b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo non incompatibile con tali finalità. Il trattamento successivo dei dati per scopi storici, statistici o scientifici non è ritenuto incompatibile, purché il responsabile del trattamento fornisca garanzie appropriate, in particolare per assicurare che i dati non siano trattati per altri fini e non siano utilizzati a sostegno di misure o decisioni riguardanti persone specifiche;
c) adeguati, pertinenti e non eccedenti rispetto alle finalità per le quali vengono raccolti o successivamente trattati;
d) esatti e, se necessario, aggiornati; devono essere prese tutte le misure ragionevoli per cancellare o rettificare i dati inesatti o incompleti rispetto alle finalità per le quali sono raccolti o successivamente trattati;
e) conservati in modo da consentire l'identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalità per le quali sono raccolti o successivamente trattati. L'istituzione o l'organismo comunitario prevede, per i dati personali che devono essere conservati oltre il suddetto arco di tempo per scopi storici, statistici o scientifici, che siano conservati esclusivamente in una forma che li renda anonimi oppure, laddove non sia possibile, che siano conservati soltanto a condizione che l'identità dell'interessato sia criptata. I dati non devono in alcun caso essere utilizzati per scopi diversi da quelli storici, statistici o scientifici.
2. Il responsabile del trattamento garantisce il rispetto delle disposizioni del paragrafo 1.
SEZIONE 2
PRINCIPI RELATIVI ALLA LEGITTIMAZIONE DEL TRATTAMENTO DI DATI
Articolo 5
Liceità del trattamento
Il trattamento di dati personali può essere effettuato soltanto quando:
a) è necessario per l'esecuzione di una funzione di interesse pubblico in forza dei trattati che istituiscono le Comunità europee o di altri atti normativi adottati in base ad essi oppure per l'esercizio legittimo di pubblici poteri di cui sono investiti l'istituzione o l'organismo comunitario ovvero i terzi cui vengono comunicati i dati; oppure
b) è necessario per adempiere un obbligo legale al quale è soggetto il responsabile del trattamento; oppure
c) è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali prese su richiesta dello stesso; oppure
d) l'interessato ha manifestato il proprio consenso in maniera inequivocabile; oppure
e) è necessario per la salvaguardia degli interessi vitali dell'interessato.
Articolo 6
Cambiamento di finalità
Fatti salvi gli articoli 4, 5 e 10:
1) Il trattamento dei dati personali per fini diversi da quelli per cui sono stati raccolti è consentito soltanto se il cambiamento di finalità è espressamente autorizzato dalla regolamentazione interna dell'istituzione o dell'organismo comunitario;
2) I dati personali raccolti allo scopo esclusivo di garantire la sicurezza o il controllo dei sistemi o del trattamento non possono essere impiegati per altri fini, a eccezione delle attività volte a prevenire, indagare, accertare e perseguire reati gravi.
Articolo 7
Trasferimento di dati personali fra istituzioni e organismi comunitari o al loro interno
Fatti salvi gli articoli 4, 5, 6 e 10:
1) Il trasferimento di dati personali ad altre istituzioni o ad altri organismi comunitari ovvero al loro interno è consentito unicamente se i dati sono necessari per il legittimo esercizio delle funzioni che rientrano nelle competenze del destinatario.
2) Se i dati sono trasferiti su richiesta del destinatario, il responsabile del trattamento e il destinatario sono entrambi responsabili della legittimità del trasferimento.
Il responsabile del trattamento è tenuto a verificare le competenze del destinatario e ad effettuare una valutazione provvisoria della necessità del trasferimento dei dati. Qualora emergano dubbi su tale necessità, il responsabile del trattamento chiede ulteriori spiegazioni al destinatario.
Il destinatario provvede a che si possa successivamente verificare la necessità del trasferimento dei dati.
3) Nel procedere al trattamento dei dati personali il destinatario persegue unicamente le finalità per cui questi gli sono stati trasmessi.
Articolo 8
Trasferimento di dati personali a destinatari diversi da istituzioni e da organismi comunitari e soggetti alla direttiva 95/46/CE
Fatti salvi gli articoli 4, 5, 6 e 10, è consentito trasferire dati personali a destinatari soggetti alla normativa nazionale adottata in attuazione della direttiva 95/46/CE soltanto:
a) se il destinatario dimostra che i dati sono necessari per l'espletamento di compiti nel pubblico interesse o che rientrano nell'esercizio della pubblica autorità; oppure
b) se il destinatario dimostra la necessità di trasmettergli tali dati e se non sussistono ragioni per presumere che possano subire pregiudizio interessi legittimi degli interessati.
Articolo 9
Trasferimento di dati personali a destinatari diversi da istituzioni e da organismi comunitari e non soggetti alla direttiva 95/46/CE
1. È consentito trasferire dati personali a destinatari che non siano le istituzioni e gli organismi comunitari né siano soggetti alla normativa nazionale adottata in attuazione della direttiva 95/46/CE se nel paese del destinatario o all'interno dell'organizzazione internazionale destinataria è assicurato un livello adeguato di protezione e se il trasferimento dei dati avviene strettamente nell'ambito dei compiti che rientrano nelle competenze del responsabile del trattamento.
2. L'adeguatezza del livello di protezione garantito dal paese terzo o dall'organizzazione internazionale in questione è valutata tenendo conto di tutte le circostanze relative ad un'operazione o ad un insieme di operazioni di trasferimento dei dati. In particolare sono presi in considerazione la natura dei dati, la finalità e la durata del trattamento previsto, il paese terzo o l'organizzazione internazionale destinatario, la normativa, generale o settoriale, vigente in tale paese o organizzazione internazionale, nonché le regole professionali e le misure di sicurezza osservate in quel paese o dall'organizzazione internazionale.
3. Le istituzioni e gli organismi comunitari informano la Commissione e il garante europeo della protezione dei dati circa i casi in cui a loro parere il paese terzo o l'organizzazione internazionale in questione non assicurano un livello adeguato di protezione ai sensi del paragrafo 2.
4. La Commissione informa gli Stati membri dei casi di cui al paragrafo 3.
5. Le istituzioni e gli organismi comunitari adottano le misure necessarie per conformarsi alle decisioni della Commissione che constatano, in applicazione dell'articolo 25, paragrafi 4 e 6 della direttiva 95/46/CE, che un paese terzo o un'organizzazione internazionale assicura o non assicura un livello adeguato di protezione.
6. In deroga ai paragrafi 1 e 2, le istituzioni e gli organismi comunitari possono trasferire dati personali a condizione che:
a) L'interessato abbia manifestato in maniera inequivocabile il proprio consenso al trasferimento previsto, oppure
b) il trasferimento sia necessario all'esecuzione di un contratto concluso tra l'interessato ed il responsabile del trattamento ovvero all'esecuzione di misure precontrattuali prese a richiesta di tale persona, oppure
c) il trasferimento sia necessario per la conclusione o l'esecuzione di un contratto stipulato tra il responsabile del trattamento e un terzo a favore dell'interessato, oppure
d) il trasferimento sia necessario o prescritto dalla legge per la salvaguardia di un interesse pubblico rilevante, ovvero per accertare, esercitare o difendere un diritto in via giudiziale, oppure
e) il trasferimento sia necessario per la salvaguardia di interessi vitali dell'interessato, oppure
f) il trasferimento sia effettuato a partire da un registro che, a norma del diritto comunitario, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, purché sussistano i requisiti per la consultazione previsti dalla normativa comunitaria.
7. Fatto salvo il paragrafo 6, il garante europeo della protezione dei dati può autorizzare un trasferimento, o un insieme di trasferimenti, di dati personali verso un paese terzo o un'organizzazione internazionale che non assicura un adeguato livello di protezione ai sensi dei paragrafi 1 e 2, se il responsabile del trattamento offre garanzie sufficienti per quanto riguarda la protezione della vita privata, delle libertà e dei diritti fondamentali delle persone, nonché per quanto riguarda l'esercizio dei relativi diritti; dette garanzie possono, in particolare, figurare in specifiche clausole contrattuali.
8. Le istituzioni e gli organismi comunitari informano il garante europeo della protezione dei dati in merito alle categorie di casi di applicazione del paragrafo 6 e 7.
SEZIONE 3
CATEGORIE PARTICOLARI DI TRATTAMENTO
Articolo 10
Trattamento di categorie particolari di dati
1. È vietato trattare dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, come pure trattare dati relativi alla salute e alla vita sessuale.
2. Il paragrafo 1 non si applica quando:
a) l'interessato ha dato il proprio consenso esplicito a tale trattamento, eccezion fatta nel caso in cui la regolamentazione interna dell'istituzione o dell'organismo comunitario prevedano che il consenso dell'interessato non possa fare venir meno il divieto di cui al paragrafo 1, oppure
b) il trattamento in questione è necessario per assolvere agli obblighi ed esercitare i diritti specifici del responsabile del trattamento in materia di diritto del lavoro, se ed in quanto esso sia consentito in forza dei trattati che istituiscono le Comunità europee o di altri atti normativi adottati in base ad essi o, se necessario, nella misura in cui sia autorizzato dal garante europeo della protezione dei dati con adeguate misure di salvaguardia, oppure
c) il trattamento in questione è necessario per salvaguardare un interesse vitale dell'interessato o di un'altra persona, qualora l'interessato si trovi nell'incapacità fisica o giuridica di dare il proprio consenso, oppure
d) il trattamento riguarda dati resi manifestamente pubblici dall'interessato o è necessario per accertare, esercitare o difendere un diritto in via giudiziale, oppure
e) il trattamento in questione è eseguito, nell'ambito delle sue legittime attività e con adeguate garanzie, da un organismo senza fini di lucro che costituisca un ente integrato in un'istituzione o in un organismo comunitario cui in virtù dell'articolo 4 della direttiva 95/46/CE non si applica la normativa nazionale sulla protezione dei dati e che si prefigga finalità politiche, filosofiche, religiose o sindacali, purché il trattamento in questione riguardi unicamente i membri di detto organismo ovvero persone che sono in regolare contatto con esso per finalità connesse a quelle dell'organismo stesso e i dati non siano comunicati a terzi senza il consenso dell'interessato.
3. Il paragrafo 1 non si applica quando il trattamento dei dati è necessario in ambito medico per finalità di prevenzione, diagnosi, assistenza sanitaria o terapia ovvero gestione di centri di cura, e quando il trattamento dei medesimi dati è effettuato da un professionista della sanità vincolato al segreto professionale o da un'altra persona del pari soggetta a un equivalente obbligo di segretezza.
4. Purché siano fornite le garanzie del caso, e per motivi di interesse pubblico rilevante, oltre alle deroghe di cui al paragrafo 2, è possibile disporre ulteriori deroghe, previste dai trattati che istituiscono le Comunità europee o da altri atti normativi adottati in base ad essi o, se necessario, con una decisione del garante europeo della protezione dei dati.
5. I dati relativi ad infrazioni, condanne penali o misure di sicurezza possono essere oggetto di trattamento unicamente qualora ciò sia autorizzato dai trattati che istituiscono le Comunità europee o da altri atti normativi adottati in base ad essi, oppure, se necessario, dal garante europeo della protezione dei dati, fatte salve appropriate garanzie specifiche.
6. Il garante europeo della protezione dei dati stabilisce le condizioni alle quali un numero personale o qualsiasi altro mezzo d'identificazione d'uso generale può essere trattato da un'istituzione o un organismo della Comunità.
SEZIONE 4
INFORMAZIONE DEGLI INTERESSATI
Articolo 11
Informazioni da fornire nel caso in cui i dati siano raccolti presso l'interessato
1. Il responsabile del trattamento deve fornire all'interessato presso il quale effettua la raccolta dei dati che lo riguardano almeno le informazioni elencate qui di seguito, salvo che tale persona non ne disponga già:
a) l'identità del responsabile del trattamento;
b) le finalità del trattamento cui sono destinati i dati richiesti;
c) i destinatari o le categorie di destinatari dei dati;
d) il carattere obbligatorio o facoltativo delle risposte alle domande, nonché le possibili conseguenze di una mancata risposta;
e) l'esistenza di diritti di accesso e di rettifica in merito ai dati che riguardano l'interessato;
f) eventuali informazioni supplementari quali:
i) il fondamento giuridico del trattamento cui sono destinati i dati,
ii) i limiti di tempo per la conservazione dei dati,
iii) il diritto di rivolgersi in qualsiasi momento al garante europeo della protezione dei dati,
nella misura in cui tali informazioni supplementari siano necessarie, considerate le circostanze specifiche della raccolta dei dati, per garantire un corretto trattamento dei dati dell'interessato.
2. In deroga al paragrafo 1 la comunicazione delle informazioni in questione o di una parte di esse, tranne le informazioni di cui al paragrafo 1, lettere a), b) e d) può essere differita per il tempo necessario a fini statistici. Le informazioni devono essere fornite non appena vengano meno i motivi che ne impedivano la divulgazione.
Articolo 12
Informazioni da fornire nel caso in cui i dati non siano stati raccolti presso l'interessato
1. Qualora i dati non siano stati raccolti presso l'interessato, il responsabile del trattamento deve, al momento della registrazione dei dati personali, ovvero, qualora ne sia prevista la comunicazione a terzi, entro la prima comunicazione dei dati stessi fornire all'interessato, almeno le informazioni elencate qui di seguito, salvo che tale persona già non ne disponga:
a) l'identità del responsabile del trattamento;
b) le finalità del trattamento;
c) le categorie di dati in questione;
d) i destinatari o le categorie di destinatari dei dati;
e) l'esistenza di diritti di accesso e di rettifica in merito ai dati che riguardano l'interessato;
f) eventuali informazioni supplementari quali:
i) il fondamento giuridico del trattamento cui sono destinati i dati,
ii) i limiti di tempo per la conservazione dei dati,
iii) il diritto di rivolgersi in qualsiasi momento al garante europeo della protezione dei dati,
iv) l'origine dei dati, a meno che motivi connessi al segreto professionale non impediscano al responsabile del trattamento di renderla nota,
nella misura in cui tali informazioni supplementari siano necessarie, considerate le circostanze specifiche della raccolta dei dati, per garantire un corretto trattamento dei dati dell'interessato.
2. Il paragrafo 1 non si applica qualora, in particolare nel trattamento di dati a scopi statistici ovvero di ricerca storica o scientifica, risulti impossibile o sproporzionatamente difficile informare l'interessato, oppure quando la registrazione o la comunicazione dei dati sia espressamente prescritta dal diritto comunitario. In questi casi le istituzioni o gli organismi comunitari prevedono garanzie appropriate, previa consultazione del garante europeo della protezione dei dati.
SEZIONE 5
DIRITTI DELL'INTERESSATO
Articolo 13
Diritto di accesso
Entro tre mesi dalla ricezione della richiesta d'informazioni, ogni interessato ha il diritto di ottenere liberamente, in qualunque momento e gratuitamente dal responsabile del trattamento:
a) la conferma che sia o meno in corso un trattamento di dati che lo riguardano;
b) informazioni almeno sulle finalità del trattamento, sulle categorie di dati trattati, sui destinatari o sulle categorie di destinatari cui vengono comunicati i dati;
c) la comunicazione in forma intelligibile dei dati oggetto del trattamento nonché di tutte le informazioni disponibili sulla loro origine;
d) informazioni sulla logica cui risponde qualsiasi trattamento automatizzato dei dati che la riguardano.
Articolo 14
Rettifica
L'interessato ha il diritto di ottenere dal responsabile del trattamento la pronta rettifica di dati personali inesatti o incompleti.
Articolo 15
Blocco
1. L'interessato ha il diritto di ottenere dal responsabile del trattamento il blocco dei dati nei casi seguenti:
a) quando sono oggetto di contestazione da parte dell'interessato, per un tempo tale da consentire al responsabile del trattamento di verificarne l'esattezza, inclusa la completezza, oppure
b) quando, benché il responsabile del trattamento non ne abbia più bisogno per l'esercizio delle sue funzioni, occorre conservarli in quanto elementi di prova, oppure
c) quando il trattamento cui sono stati sottoposti è illecito e l'interessato si oppone alla loro cancellazione e ne domanda invece il blocco.
2. Nei sistemi automatici di archiviazione, il blocco va assicurato in linea di massima mediante dispositivi tecnici. Il sistema deve indicare che i dati personali sono stati bloccati in modo da rendere evidente che non possono essere utilizzati.
3. I dati personali bloccati in applicazione del presente articolo sono oggetto di trattamento, ad eccezione delle operazioni volte a garantirne la conservazione, soltanto a fini probatori, o con il consenso dell'interessato ovvero per tutelare i diritti di terzi.
4. Prima che i dati siano sbloccati, il responsabile del trattamento ne informa l'interessato che ha chiesto e ottenuto il blocco dei dati che lo riguardano.
Articolo 16
Cancellazione
L'interessato ha il diritto di ottenere dal responsabile del trattamento la cancellazione di dati se il trattamento cui sono stati sottoposti si rivela illecito, in particolare in caso di violazione delle disposizioni di cui alle Sezioni 1, 2 e 3 del Capo II.
Articolo 17
Notificazione a terzi
L'interessato ha il diritto di ottenere che il responsabile del trattamento notifichi eventuali rettifiche, cancellazioni o blocchi ai sensi degli articoli 13, 14, 15 e 16 ai terzi ai quali sono stati comunicati i dati blocchi, a meno che la notificazione non risulti impossibile o sproporzionatamente difficile.
Articolo 18
Diritto di opposizione dell'interessato
L'interessato ha il diritto di:
a) opporsi in qualsiasi momento, per motivi preminenti e legittimi connessi alla sua situazione particolare, al trattamento di dati che lo riguardano, salvo nei casi previsti dall'articolo 5, lettere b), c) e d). Qualora l'opposizione si riveli fondata, tali dati non possono più essere oggetto del trattamento;
b) essere informato prima che i dati personali siano comunicati per la prima volta a terzi o siano utilizzati per conto di questi ultimi a fini di propaganda commerciale diretta e di essere messo espressamente al corrente della possibilità di opporsi senza oneri a tale comunicazione o utilizzazione.
Articolo 19
Decisioni individuali automatiche
L'interessato ha il diritto di non essere sottoposto a una decisione che produca effetti giuridici o abbia effetti significativi nei suoi confronti basata solo su un trattamento automatizzato di dati per valutare taluni aspetti personali che lo riguardano, quali il rendimento professionale, l'affidabilità o il comportamento, salvo che la decisione sia espressamente autorizzata dalla normativa nazionale o comunitaria o, se necessario, dal garante europeo della protezione dei dati. In entrambi i casi devono essere adottate misure volte a salvaguardare i legittimi interessi dell'interessato, ad esempio facendo in modo che questi possa esprimere il proprio parere.
SEZIONE 6
DEROGHE E LIMITAZIONI
Articolo 20
Deroghe e limitazioni
1. Le istituzioni e gli organismi comunitari possono limitare l'applicazione dell'articolo 4, paragrafo 1, dell'articolo 11, dell'articolo 12, paragrafo 1, degli articoli 13, 14, 15, 16 e 17 e dell'articolo 37, paragrafo 1 se e in quanto necessario per salvaguardare:
a) le attività volte a prevenire, indagare, accertare e perseguire reati;
b) importanti interessi economici o finanziari di uno Stato membro o dell'Unione europea, anche in campo monetario, fiscale e di bilancio;
c) la tutela dell'interessato o dei diritti e delle libertà altrui;
d) la sicurezza nazionale, la sicurezza pubblica e la difesa degli Stati membri;
e) una funzione di controllo, d'ispezione o di regolamentazione connessa, anche occasionalmente, all'esercizio di pubblici poteri nei casi di cui alle lettere a) e b).
2. Gli articoli da 13 a 16 non si applicano qualora i dati siano trattati unicamente per scopi di ricerca scientifica o siano conservati sotto forma di dati personali per un periodo di tempo non superiore a quello strettamente necessario all'elaborazione di statistiche, a condizione che risulti chiaramente escluso ogni rischio di violazione della vita privata dell'interessato e che il responsabile del trattamento fornisca adeguate garanzie giuridiche, in particolare affinché i dati non siano utilizzati per adottare misure o decisioni concernenti una determinata persona.
3. Qualora si applichi una delle limitazioni di cui al paragrafo 1 l'interessato è informato, conformemente al diritto comunitario, dei principali motivi della limitazione e del suo diritto di adire il garante europeo della protezione dei dati.
4. Qualora si applichino le limitazioni previste al paragrafo 1 per negare all'interessato l'accesso ai dati che lo riguardano, il garante europeo della protezione dei dati, nell'esaminare il reclamo, gli comunica solo se i dati sono stati trattati correttamente ovvero, in caso contrario, se sono state apportate tutte le rettifiche necessarie.
5. L'informazione di cui ai paragrafi 3 e 4 può essere rinviata fino a quando privi d'effetto la limitazione di cui al paragrafo 1.
SEZIONE 7
RISERVATEZZA E SICUREZZA DEL TRATTAMENTO DEI DATI
Articolo 21
Riservatezza del trattamento
La persona impiegata da un'istituzione o un organismo della Comunità, come pure l'istituzione o organismo comunitario che agisce in quanto incaricato del trattamento, che abbia accesso a dati personali effettua il trattamento degli stessi solo su istruzione del responsabile del trattamento, salvo che la legislazione nazionale o comunitaria lo richieda.
Articolo 22
Sicurezza del trattamento
1. Tenuto conto dell'evoluzione tecnica e dei costi della sua applicazione, il responsabile del trattamento adotta opportune misure tecniche ed organizzative per garantire un livello di sicurezza appropriato, in relazione ai rischi che il trattamento comporta e alla natura dei dati personali da proteggere.
Tali misure sono adottate in particolare per evitare la divulgazione o l'accesso non autorizzati, la distruzione accidentale o illecita o la perdita accidentale o l'alterazione dei dati, nonché per impedire qualsiasi altra forma illecita di trattamento.
2. In caso di trattamento automatizzato dei dati personali sono adottate misure in funzione dei rischi in particolare per:
a) evitare che persone non autorizzate accedano ai sistemi informatici utilizzati per trattare i dati personali;
b) evitare qualunque forma non autorizzata di lettura, riproduzione, alterazione o rimozione dei supporti di memorizzazione;
c) evitare qualsiasi immissione non autorizzata di dati in memoria nonché ogni divulgazione, alterazione o cancellazione non autorizzata di dati personali memorizzati;
d) evitare che persone non autorizzate utilizzino i sistemi di trattamento dei dati avvalendosi d'infrastrutture destinate alla trasmissione dei dati;
e) assicurare che le persone autorizzate ad utilizzare un sistema di trattamento dei dati non possano accedere a dati personali diversi da quelli cui si riferisce il loro diritto di accesso;
f) registrare quali dati personali sono stati comunicati, in quale momento e a chi;
g) assicurare che in un momento successivo sia possibile verificare quali dati personali sono stati trattati, in quale momento e da chi;
h) assicurare che per i trattamenti di dati personali effettuati per conto di terzi possano valere solo le modalità prescritte dall'istituzione o dall'organismo contraente;
i) assicurare che nel corso delle operazioni di comunicazione di dati personali e durante il trasporto dei supporti di memorizzazione i dati non possano essere letti, copiati o cancellati senza autorizzazione;
j) strutturare l'organizzazione interna d'istituzioni o organismi in modo da soddisfare le particolari esigenze connesse alla protezione dei dati.
Articolo 23
Trattamento di dati personali per conto del responsabile del trattamento
1. Quando il trattamento viene eseguito per conto del responsabile del trattamento questi sceglie un incaricato che fornisca adeguate garanzie in rapporto alle misure tecniche e organizzative di sicurezza previste dall'articolo 22 e si assicura dell'osservanza di tali misure.
2. Il trattamento per conto terzi è disciplinato da un contratto o da un atto giuridico che vincoli l'incaricato del trattamento al responsabile del trattamento e disponga in particolare che:
a) l'incaricato del trattamento agisca soltanto su istruzioni del responsabile del trattamento;
b) anche l'incaricato del trattamento sia soggetto agli obblighi di cui agli articoli 21 e 22, a meno che, a norma dell'articolo 16 o dell'articolo 17, paragrafo 3, secondo trattino, della direttiva 95/46/CE, l'incaricato del trattamento sia già soggetto agli obblighi di riservatezza e di sicurezza previsti dalla legislazione nazionale di uno degli Stati membri.
3. A fini probatori, le clausole del contratto o le disposizioni dell'atto giuridico inerenti alla protezione dei dati e gli obblighi relativi alle misure di cui all'articolo 22 sono stipulati per iscritto o in altra forma equivalente.
SEZIONE 8
RESPONSABILE DELLA PROTEZIONE DEI DATI
Articolo 24
Nomina e mandato del responsabile della protezione dei dati
1. Ogni istituzione ed organismo della Comunità nomina almeno un responsabile della protezione dei dati personali con il mandato di:
a) garantire che i responsabili del trattamento e gli interessati siano informati dei propri diritti ed obblighi ai sensi del presente regolamento;
b) rispondere alle richieste del garante europeo della protezione dei dati e, nell'ambito delle sue competenze, cooperare con il garante europeo della protezione dei dati su richiesta di quest'ultimo o di propria iniziativa;
c) garantire in maniera indipendente che le disposizioni del presente regolamento vengano applicate all'interno dell'istituzione o organismo di cui fa parte;
d) tenere il registro delle operazioni effettuate dal responsabile del trattamento, riportandovi le informazioni di cui all'articolo 25, paragrafo 2;
e) notificare al garante europeo della protezione dei dati i trattamenti che possono presentare rischi specifici ai sensi dell'articolo 27.
Il responsabile garantisce in tal modo che i trattamenti non arrechino pregiudizio ai diritti e alle libertà degli interessati.
2. Il responsabile della protezione dei dati è scelto in funzione delle sue qualità personali e professionali e, in particolare, delle sue conoscenze specifiche in materia di protezione dei dati.
3. La scelta del responsabile della protezione dei dati non deve dar luogo a un possibile conflitto di interessi tra la sua funzione di responsabile ed altre eventuali funzioni di ufficio, in particolare nell'ambito dell'applicazione delle disposizioni del presente regolamento.
4. Il responsabile della protezione dei dati è nominato per un periodo da due a cinque anni. Il suo mandato è rinnovabile; la durata complessiva del mandato non può superare i dieci anni. Può essere destituito dalle sue funzioni di responsabile della protezione dei dati dall'istituzione o organismo comunitario che lo ha nominato solo con il consenso del garante europeo della protezione dei dati, se non soddisfa più le condizioni richieste per l'esercizio delle sue funzioni.
5. La nomina del responsabile della protezione dei dati è comunicata al garante europeo della protezione dei dati dall'istituzione o dall'organismo comunitario che lo ha nominato.
6. Il responsabile della protezione dei dati ottiene dall'istituzione o dall'organismo comunitario che lo ha nominato il personale e le risorse necessarie all'esercizio delle sue funzioni.
7. Il responsabile della protezione dei dati non può ricevere alcuna istruzione per quanto riguarda l'esercizio delle sue funzioni.
8. Altre norme d'attuazione relative al responsabile della protezione dei dati sono adottate da ogni istituzione o organismo della Comunità nel rispetto delle disposizioni che figurano nell'allegato. Tali norme d'attuazione potranno in particolare riguardare le funzioni, gli obblighi e le competenze del responsabile della protezione dei dati.
Articolo 25
Notificazione al responsabile della protezione dei dati
1. Prima di eseguire uno o più trattamenti dei dati, destinati al conseguimento di una o più finalità correlate, il responsabile del trattamento ne informa il responsabile della protezione dei dati.
2. Le informazioni da fornire includono:
a) il nome e l'indirizzo del responsabile del trattamento e l'indicazione dei servizi di un'istituzione o un organismo incaricati del trattamento di dati personali per una particolare finalità;
b) la finalità o le finalità del trattamento;
c) una descrizione della categoria o delle categorie di interessati e dei pertinenti dati o categorie di dati;
d) il fondamento giuridico del trattamento al quale sono destinati i dati;
e) i destinatari o le categorie di destinatari ai quali possono essere comunicati i dati;
f) un'indicazione generale dei termini ultimi per bloccare e cancellare le diverse categorie di dati;
g) i trasferimenti di dati previsti verso paesi terzi o organizzazioni internazionali;
h) una descrizione generale che consenta una prima valutazione dell'adeguatezza delle misure adottate in forza dell'articolo 22 per garantire la sicurezza del trattamento.
3. Il responsabile della protezione dei dati deve essere informato senza indugio di ogni modifica relativa alle informazioni di cui al paragrafo 2.
Articolo 26
Registro
Ogni responsabile della protezione dei dati tiene un registro dei trattamenti notificati a norma dell'articolo 25.
Il registro riporta almeno le informazioni di cui all'articolo 25, paragrafo 2, lettere da a) a g). Il registro può essere consultato da chiunque direttamente o indirettamente tramite il garante europeo della protezione dei dati.
SEZIONE 9
CONTROLLO PREVENTIVO DA PARTE DEL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI E OBBLIGO DI COLLABORAZIONE
Articolo 27
Controllo preventivo
1. I trattamenti che possono presentare rischi specifici per i diritti e le libertà degli interessati, per la loro natura, oggetto o finalità sono soggetti a controllo preventivo da parte del garante europeo della protezione dei dati.
2. Possono presentare tali rischi i seguenti trattamenti:
a) i trattamenti di dati relativi alla salute e quelli relativi a sospetti, infrazioni, condanne penali o misure di sicurezza;
b) i trattamenti destinati a valutare aspetti della personalità degli interessati, inclusi aspetti quali capacità, efficienza e comportamento;
c) i trattamenti che consentono delle interconnessioni tra i dati trattati per finalità diverse e non previste dalla normativa nazionale o comunitaria;
d) i trattamenti volti ad escludere taluno dal beneficio di un diritto, di una prestazione o della conclusione di un contratto.
3. I controlli preventivi sono effettuati dal garante europeo della protezione dei dati previa notificazione da parte del responsabile della protezione dei dati, il quale, in caso di dubbio circa la necessità di un controllo preventivo, consulta il garante europeo della protezione dei dati.
4. Il garante europeo della protezione dei dati emette un parere entro due mesi dal ricevimento della notificazione. Il periodo può essere sospeso fino a quando il garante europeo della protezione dei dati non abbia ricevuto le ulteriori informazioni richieste. Se la complessità del fascicolo lo richiede, detto termine può essere prorogato per altri due mesi con decisione del garante europeo della protezione dei dati. La decisione in questione è notificata al responsabile del trattamento prima dello scadere del periodo iniziale di due mesi.
La mancata adozione di un parere entro il termine di due mesi, eventualmente prorogato, equivale a un parere favorevole.
Se a giudizio del garante europeo della protezione dei dati il trattamento notificato rischia di comportare una violazione di qualche disposizione del presente regolamento, egli formula ove necessario proposte per evitare tale violazione. Se il responsabile del trattamento non modifica il trattamento stesso di conseguenza, il garante europeo della protezione dei dati può esercitare i poteri che gli conferisce l'articolo 47, paragrafo 1.
5. Il garante europeo della protezione dei dati tiene un registro di tutti i trattamenti che gli sono stati notificati a norma del paragrafo 2. Il registro contiene le informazioni enumerate all'articolo 25. Esso può essere consultato da chiunque.
Articolo 28
Consultazione
1. Le istituzioni e gli organismi comunitari informano il garante europeo della protezione dei dati al momento di elaborare provvedimenti amministrativi in tema di trattamento di dati personali che interessino un'istituzione o un organismo della Comunità singolarmente o congiuntamente.
2. Al momento dell'adozione di una proposta legislativa sulla tutela dei diritti e delle libertà fondamentali delle persone in relazione al trattamento di dati personali, la Commissione consulta il garante europeo della protezione dei dati.
Articolo 29
Obbligo d'informazione
Le istituzioni e gli organismi comunitari informano il garante europeo della protezione dei dati delle misure adottate in seguito alle decisioni o autorizzazioni di cui all'articolo 46, lettera h).
Articolo 30
Obbligo di collaborare
A richiesta del garante europeo della protezione dei dati, i responsabili del trattamento lo assistono nell'esercizio delle sue funzioni, fornendogli in particolare le informazioni di cui all'articolo 47, paragrafo 2, lettera a), e accordandogli l'accesso di cui all'articolo 47, paragrafo 2, lettera b).
Articolo 31
Obbligo di rispondere ai rilievi
A seguito dell'esercizio dei poteri da parte del garante europeo della protezione dei dati a norma dell'articolo 47, paragrafo 1, lettera b), il responsabile del trattamento in questione gli comunica il proprio punto di vista entro un termine ragionevole fissato dal garante europeo della protezione dei dati. Il parere comprende anche una descrizione degli eventuali provvedimenti presi a seguito delle osservazioni del garante europeo della protezione dei dati.
CAPO III
MEZZI DI RICORSO
Articolo 32
Mezzi di ricorso
1. La Corte di giustizia delle Comunità europee è competente a conoscere delle controversie relative alle disposizioni del presente regolamento, incluse le azioni per risarcimento del danno.
2. Fatta salva la possibilità di ricorso giurisdizionale, qualunque interessato può presentare un reclamo al garante europeo della protezione dei dati se ritiene che i diritti riconosciutigli a norma dell'articolo 286 del trattato siano stati violati in seguito a un trattamento di dati personali che lo riguardano effettuato da un'istituzione o da un organismo comunitario.
La mancata risposta del garante europeo della protezione dei dati entro sei mesi equivale a una decisione di rigetto del reclamo.
3. Avverso le decisioni del garante europeo della protezione dei dati può essere proposto ricorso dinanzi alla Corte di giustizia delle Comunità europee.
4. Chiunque abbia subito un danno cagionato da un trattamento illecito o da qualsiasi altro atto incompatibile con le disposizioni del presente regolamento ha il diritto di ottenere il risarcimento del danno subito a norma dell'articolo 288 del trattato.
Articolo 33
Reclami del personale comunitario
Qualsiasi persona alle dipendenze di un'istituzione o di un organismo della Comunità può presentare un reclamo al garante europeo della protezione dei dati senza seguire la via gerarchica per una asserita violazione delle norme del presente regolamento relative al trattamento dei dati personali. Nessun pregiudizio può derivare ad alcuno dalla presentazione al garante europeo della protezione dei dati di un reclamo relativo ad un'asserita violazione delle norme sul trattamento dei dati personali.
CAPO IV
PROTEZIONE DEI DATI PERSONALI E TUTELA DELLA VITA PRIVATA NELL'AMBITO DELLE RETI INTERNE DI TELECOMUNICAZIONI
Articolo 34
Campo d'applicazione
Fatte salve le altre disposizioni del presente regolamento, al trattamento di dati personali connesso con l'uso di reti o terminali di telecomunicazione che funzionano sotto il controllo di un'istituzione o di un organismo comunitario si applica il presente Capo.
Ai fini del presente Capo per "utente" s'intende qualsiasi persona fisica che si serve di una rete o di un terminale di telecomunicazione che funzionano sotto il controllo di un'istituzione o di un organismo comunitario.
Articolo 35
Sicurezza
1. Le istituzioni e gli organismi comunitari adottano appropriate misure di natura tecnica ed organizzativa per garantire un uso sicuro delle reti e dei terminali di telecomunicazioni, all'occorrenza in collaborazione con i fornitori di servizi di telecomunicazioni accessibili al pubblico e/o con i fornitori di reti di telecomunicazioni pubbliche. Tenuto conto delle possibilità tecniche più recenti e dei costi da sostenere per l'adeguamento, le suddette misure devono assicurare un livello di sicurezza adeguato al rischio esistente.
2. Qualora sussistano particolari rischi di violazioni della sicurezza della rete e dei terminali, l'istituzione o l'organismo comunitario in questione informano gli utenti in merito a tali rischi ed alle possibilità di contromisure e di mezzi di comunicazione alternativi.
Articolo 36
Riservatezza delle comunicazioni
Le istituzioni e gli organismi comunitari garantiscono la riservatezza delle comunicazioni effettuate tramite le reti e i terminali di telecomunicazioni nel rispetto dei principi generali del diritto comunitario.
Articolo 37
Dati relativi al traffico delle comunicazioni e alla fatturazione
1. Fatti salvi i paragrafi 2, 3 e 4, i dati sul traffico delle comunicazioni relativi agli utenti, che sono trattati e conservati per stabilire le chiamate ed altri collegamenti sulla rete di telecomunicazioni, sono cancellati o resi anonimi contestualmente alla cessazione della chiamata o di altro collegamento.
2. Se necessario, i dati sul traffico indicati in un elenco approvato dal garante europeo della protezione dei dati possono essere sottoposti a trattamento a fini di gestione del bilancio e del traffico delle telecomunicazioni, nonché di verifica dell'utilizzazione autorizzata del sistema di telecomunicazioni. Tali dati dovranno essere cancellati o resi anonimi non appena possibile e non oltre sei mesi dalla loro raccolta, a meno che la loro ulteriore conservazione non sia necessaria all'accertamento, all'esercizio o alla difesa di un diritto, in una causa pendente in sede giudiziaria.
3. I trattamenti dei dati pertinenti al traffico delle comunicazioni e alla fatturazione devono essere effettuati unicamente da persone incaricate di gestire la fatturazione, il traffico o il bilancio.
4. Gli utenti delle reti di telecomunicazioni hanno il diritto di richiedere fatture o altri resoconti non dettagliati delle chiamate effettuate.
Articolo 38
Elenchi di utenti
1. I dati personali contenuti in elenchi cartacei o elettronici di utenti e l'accesso a detti elenchi sono limitati allo stretto necessario ai fini specifici degli elenchi.
2. Le istituzioni e gli organismi comunitari prendono le misure necessarie per impedire che i dati personali contenuti in tali elenchi siano utilizzati a fini di diffusione commerciale diretta, indipendentemente dal fatto che gli elenchi siano o meno accessibili al pubblico.
Articolo 39
Identificazione della linea chiamante e della linea chiamata e restrizione di tale funzione
1. Qualora sia offerto il servizio di identificazione della linea chiamante, l'utente chiamante deve poterlo disattivare facilmente e senza oneri.
2. Qualora sia offerto il servizio di identificazione della linea chiamante, l'utente chiamato deve poter disattivare facilmente e senza oneri l'identificazione delle chiamate in entrata.
3. Qualora sia offerto il servizio di identificazione della linea chiamata, l'utente chiamato deve poter disattivare tale identificazione presso il chiamante facilmente e senza oneri.
4. Qualora sia offerto il servizio di identificazione della linea chiamante o chiamata, le istituzioni e gli organismi comunitari informano gli utenti di questa possibilità e di quelle di cui ai paragrafi 1, 2 e 3.
Articolo 40
Deroghe
Le istituzioni e gli organismi comunitari provvedono affinché procedure trasparenti disciplinino il modo in cui possono scavalcare la disattivazione dell'identificazione della linea chiamante:
a) per un periodo determinato, quando un utente chieda l'identificazione di chiamate moleste o malintenzionate;
b) per linee determinate, nel caso di organizzazioni che rispondono a chiamate d'emergenza, al fine di dare seguito a tali chiamate.
CAPO V
AUTORITÀ DI CONTROLLO INDIPENDENTE: IL GARANTE EUROPEO DELLA PROTEZIONE DEI DATI
Articolo 41
Garante europeo della protezione dei dati
1. È istituita un'autorità di controllo indipendente denominata garante europeo della protezione dei dati.
2. Il garante europeo della protezione dei dati ha il compito di garantire il rispetto dei diritti e delle libertà fondamentali delle persone fisiche, segnatamente del diritto alla vita privata, riguardo al trattamento dei dati personali da parte delle istituzioni e degli organismi comunitari.
Il garante europeo della protezione dei dati ha il compito di sorvegliare e assicurare l'applicazione del presente regolamento e di qualunque altro atto comunitario relativo alla tutela dei diritti e delle libertà fondamentali delle persone fisiche riguardo al trattamento dei dati personali da parte di un'istituzione o di un organismo comunitario, e di fornire alle istituzioni e agli organismi comunitari nonché agli interessati pareri su tutte le questioni relative al trattamento dei dati personali. A tal fine esso assolve agli obblighi previsti all'articolo 46 ed esercita i poteri attribuitigli dall'articolo 47.
Articolo 42
Nomina
1. Il Parlamento europeo e il Consiglio nominano di comune accordo il garante europeo della protezione dei dati, per un periodo di cinque anni, in base ad un elenco predisposto dalla Commissione dopo un invito pubblico a presentare candidature.
Un garante aggiunto è nominato con la stessa procedura e per la stessa durata, con il compito di assistere il garante nell'esercizio delle sue funzioni e di sostituirlo in caso di assenza o impedimento.
2. Il garante europeo della protezione dei dati è scelto tra personalità che offrono ogni garanzia di indipendenza e che possiedono un'esperienza e delle competenze notorie per l'esercizio delle funzioni di garante europeo della protezione dei dati, come ad esempio il far parte o l'aver fatto parte delle autorità di controllo di cui all'articolo 28 della direttiva 95/46/CE.
3. Il mandato del garante europeo della protezione dei dati è rinnovabile.
4. Oltre che per la normale procedura di sostituzione o per decesso, il mandato del garante europeo della protezione dei dati cessa in caso di dimissioni o di provvedimento d'ufficio, a norma del paragrafo 5.
5. Il garante europeo della protezione dei dati può essere rimosso o privato del diritto a pensione o di altri vantaggi sostitutivi dalla Corte di giustizia su richiesta del Parlamento europeo, del Consiglio o della Commissione qualora non sia più in possesso dei requisiti necessari all'esercizio delle sue funzioni o abbia commesso una colpa grave.
6. In caso di normale avvicendamento o di dimissioni volontarie, il garante europeo della protezione dei dati resta comunque in carica fino all'atto della sua sostituzione.
7. Gli articoli da 12 a 15 e l'articolo 18 del protocollo sui privilegi e sulle immunità delle Comunità europee si applicano anche al garante europeo della protezione dei dati.
8. Al garante aggiunto si applicano i paragrafi da 2 a 7.
Articolo 43
Statuto e condizioni generali di esercizio delle funzioni di garante europeo della protezione dei dati, risorse umane e finanziarie
1. Il Parlamento europeo, il Consiglio e la Commissione fissano di comune accordo lo statuto e le condizioni generali di esercizio delle funzioni di garante europeo della protezione dei dati e, in particolare, la retribuzione, le indennità ed ogni altro compenso sostitutivo.
2. L'autorità di bilancio provvede a che il garante europeo della protezione dei dati disponga delle risorse umane e finanziarie necessarie per l'esercizio delle sue funzioni.
3. Il bilancio assegnato al garante europeo della protezione dei dati figura su una linea specifica della sezione VIII del bilancio generale dell'Unione europea.
4. Il garante europeo della protezione dei dati è assistito da un segretariato. I funzionari e altri agenti sono nominati dal garante europeo della protezione dei dati che è il loro superiore gerarchico ed alle cui istruzioni sono tenuti a conformarsi. Il numero di detti funzionari ed agenti è stabilito ogni anno nell'ambito della procedura di bilancio.
5. I funzionari e gli altri agenti addetti al segretariato del garante europeo della protezione dei dati sono soggetti alla normativa relativa ai funzionari e agli altri agenti delle Comunità europee.
6. Per le questioni relative al personale alle sue dipendenze il garante europeo della protezione dei dati è equiparato alle istituzioni comunitarie ai sensi dell'articolo 1 dello statuto dei funzionari delle Comunità europee.
Articolo 44
Indipendenza
1. Il garante europeo della protezione dei dati esercita le sue funzioni in piena indipendenza.
2. Nell'adempimento delle sue funzioni il garante europeo della protezione dei dati non sollecita né accetta istruzioni da alcuno.
3. Per tutta la durata del mandato, il garante europeo della protezione dei dati si astiene da qualunque azione incompatibile con i suoi doveri e non può esercitare alcuna altra attività professionale, remunerata o meno.
4. Al termine del mandato il garante europeo della protezione dei dati agisce con integrità e discrezione nell'accettazione di nomine e altri benefici.
Articolo 45
Segreto professionale
Durante e dopo il mandato il garante europeo della protezione dei dati ed il personale alle sue dipendenze sono tenuti al segreto professionale in merito alle informazioni riservate cui hanno avuto accesso durante l'esercizio delle loro funzioni.
Articolo 46
Funzioni
Il garante europeo della protezione dei dati assolve i seguenti compiti:
a) tratta i reclami e compie i relativi accertamenti, e ne comunica l'esito agli interessati entro un termine ragionevole;
b) svolge indagini di propria iniziativa o in seguito a un reclamo e ne comunica l'esito agli interessati entro un termine ragionevole;
c) sorveglia e garantisce l'applicazione del presente regolamento e di qualunque altro atto comunitario relativo alla tutela delle persone fisiche riguardo al trattamento dei dati personali da parte di un'istituzione o di un organismo comunitario, fatta eccezione per la Corte di giustizia delle Comunità europee nell'esercizio delle sue funzioni giurisdizionali;
d) consiglia le istituzioni e gli organismi comunitari, di propria iniziativa o su richiesta, in ordine a qualsiasi argomento relativo al trattamento di dati personali, in particolare prima che essi adottino regolamentazioni interne relative alla tutela dei diritti e delle libertà fondamentali riguardo al trattamento di dati personali;
e) sorveglia l'evoluzione delle tecnologie che presentano un interesse, se ed in quanto incidenti sulla protezione dei dati personali, in particolare l'evoluzione delle tecnologie dell'informazione e della comunicazione;
f) i) collabora con le autorità nazionali di controllo di cui all'articolo 28 della direttiva 95/46/CE dei paesi cui si applica tale direttiva se ed in quanto ciò risulti necessario per l'adempimento dei rispettivi obblighi, in particolare scambiando ogni informazione utile, chiedendo a dette autorità o organi di esercitare le loro funzioni o rispondendo a loro richieste;
ii) collabora altresì con gli organi di controllo della protezione dei dati istituiti in virtù del titolo VI del trattato sull'Unione europea, in particolare per rendere più coerente l'applicazione delle norme e procedure che sono rispettivamente incaricati di fare osservare;
g) partecipa alle attività del "Gruppo per la tutela delle persone con riguardo al trattamento dei dati personali", istituito dall'articolo 29 della direttiva 95/46/CE;
h) determina, motiva e rende pubbliche le deroghe, le garanzie, le autorizzazioni e le condizioni di cui all'articolo 10, paragrafo 2, lettera b), paragrafi 4, 5 e 6, all'articolo 12, paragrafo 2, all'articolo 19 e all'articolo 37, paragrafo 2;
i) tiene un registro dei trattamenti notificatigli ai sensi dell'articolo 27, paragrafo 2, e registrati a norma dell'articolo 27, paragrafo 5, e fornisce i mezzi necessari per accedere ai registri tenuti dai responsabili della protezione dei dati a norma dell'articolo 26;
j) procede ad un esame preventivo dei trattamenti notificatigli;
k) adotta il proprio regolamento interno.
Articolo 47
Competenze
1. Il garante europeo della protezione dei dati può:
a) offrire consulenza agli interessati nell'esercizio dei loro diritti;
b) rivolgersi al responsabile del trattamento in caso di asserita violazione delle disposizioni sul trattamento dei dati personali e, all'occorrenza, presentare proposte volte a porre rimedio a tale violazione e a migliorare la protezione degli interessati;
c) ordinare che siano soddisfatte le richieste di esercizio di determinati diritti allorché dette richieste siano state respinte in violazione degli articoli da 13 a 19;
d) rivolgere avvertimenti o moniti al responsabile del trattamento;
e) ordinare la rettifica, il blocco, la cancellazione o la distruzione di tutti i dati che siano stati trattati in violazione delle disposizioni sul trattamento dei dati personali e la notificazione di misure ai terzi ai quali i dati sono stati comunicati;
f) vietare trattamenti a titolo provvisorio o definitivo;
g) adire l'istituzione o l'organismo comunitario in questione e, se necessario, il Parlamento europeo, il Consiglio e la Commissione;
h) adire la Corte di giustizia delle Comunità europee alle condizioni previste dal trattato;
i) intervenire nelle cause dinanzi alla Corte di Giustizia delle Comunità europee.
2. Il garante europeo della protezione dei dati ha il potere di:
a) ottenere da un responsabile del trattamento o da un'istituzione o un organismo comunitario l'accesso a tutti i dati personali e a tutte le informazioni necessarie alle sue indagini;
b) accedere a tutti i locali in cui un responsabile del trattamento o un'istituzione o un organismo comunitario svolge le sue attività se si può ragionevolmente supporre che in essi viene svolta un'attività in applicazione del presente regolamento.
Articolo 48
Rapporto sulle attività
1. Il garante europeo della protezione dei dati presenta al Parlamento europeo, al Consiglio e alla Commissione un rapporto annuale sulla propria attività, rendendolo pubblico allo stesso tempo.
2. Il garante europeo trasmette il rapporto sulle attività alle altre istituzioni e agli altri organismi dell'Unione europea che possono formulare osservazioni in vista dell'eventuale discussione del rapporto stesso presso il Parlamento europeo, in particolare per quanto riguarda la descrizione dei provvedimenti adottati a seguito delle osservazioni del garante europeo della protezione dei dati ai sensi dell'articolo 31.
CAPO VI
DISPOSIZIONI FINALI
Articolo 49
Sanzioni
Il funzionario o altro agente delle Comunità europee che, volontariamente o per negligenza, non assolva agli obblighi previsti dal presente regolamento è passibile di provvedimenti disciplinari, secondo le norme e le procedure previste dallo statuto dei funzionari delle Comunità europee o dai regime applicabile agli altri agenti.
Articolo 50
Periodo transitorio
Le istituzioni e gli organismi comunitari provvedono a che i trattamenti in corso alla data di entrata in vigore del presente regolamento siano rese conformi allo stesso entro un anno a decorrere da tale data.
Articolo 51
Entrata in vigore
Il presente regolamento entra in vigore il ventesimo giorno successivo alla data della pubblicazione nella Gazzetta ufficiale delle Comunità europee.
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.
Fatto a Bruxelles, addì 18 dicembre 2000.