Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

Cantoni. Il 27 aprile 2016 il Parlamento europeo e il Consiglio dell’Unione europea hanno formalmente adottato la direttiva (UE) 2016/680.

2.1.2 Breve panoramica

La direttiva (UE) 2016/680 intende proteggere i dati personali trattati a fini di prevenzione, indagine, accertamento e perseguimento di reati o d’esecuzione di sanzioni penali, compresa la protezione e la prevenzione contro le minacce alla sicurezza pubblica. La normativa mira a garantire un livello elevato di protezione dei dati delle persone fisiche, agevolando nel contempo lo scambio di tali dati tra le autorità competenti negli Stati membri di Schengen. A differenza della decisione quadro 2008/977/GAI, la direttiva si applica sia ai trattamenti internazionali di dati sia a quelli effettuati dalle autorità giudiziarie e di polizia a livello strettamente nazionale. Il testo della direttiva (UE) 2016/680 si basa su quello del regolamento

(UE) 2016/679 (cfr. n. Error! Reference source not found.), al fine di applicare, per grandi linee, gli stessi principi generali. Prevede tuttavia determinati adeguamenti per trovare il giusto equilibrio tra il diritto della persona interessata alla protezione della sua sfera privata e le necessità delle autorità penali. Qui appresso sono presentate le novità più importanti.

La direttiva (UE) 2016/680 introduce l’obbligo di effettuare una distinzione tra le diverse categorie di persone interessate (art. 6) e prevede regole per tale distinzione e per la verifica della qualità dei dati. L’articolo 8 disciplina la liceità del trattamento. Il trattamento deve in linea di massima poggiare su una base legale. Altri motivi giustificativi, ad esempio il consenso della persona interessata, non sono applicabili ai trattamenti che rientrano nel campo d’applicazione della direttiva. L’articolo 11 sancisce il principio secondo cui una decisione basata unicamente su un trattamento automatizzato è vietata, salvo se autorizzata dal diritto nazionale e se è garantito il diritto della persona interessata di ottenere l’intervento umano da parte del titolare del trattamento.

Il capo III disciplina il diritto della persona interessata. L’articolo 16 paragrafo 3 stabilisce che, anziché cancellare i dati, il titolare del trattamento deve limitarne il trattamento quando l’esattezza dei dati personali è contestata dalla persona interessata e l’esattezza o

l’inesattezza non può essere accertata. L’articolo 17 dispone che in caso di limitazione del trattamento la persona interessata deve poter esercitare i suoi diritti anche tramite l’autorità di controllo. Secondo l’articolo 18 gli Stati membri di Schengen possono disporre che i diritti di cui agli articoli 13, 14 e 16 siano esercitati conformemente al diritto dello Stato membro qualora i dati personali figurino in una decisione giudiziaria, in un casellario o in un fascicolo giudiziario oggetto di trattamento nel corso di un'indagine e di un procedimento penale.

Il capo IV disciplina gli obblighi del titolare e del responsabile del trattamento. Introduce il principio della protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 19 e 20). L’articolo 24 prevede l’obbligo del titolare e del responsabile del trattamento di tenere un registro di tutte le categorie di attività di trattamento sotto la loro responsabilità. Prima di procedere a determinati trattamenti, il titolare del trattamento è inoltre tenuto a effettuare una valutazione d’impatto sulla protezione dei dati (art. 27) e consultare, se necessario, l’autorità di controllo (art. 28). Gli articoli 30 e 31 obbligano il titolare del trattamento a notificare determinati casi di violazione dei dati personali all’autorità di controllo e, se necessario, alla persona interessata.

Il capo V disciplina il trasferimento di dati personali verso Paesi terzi o organizzazioni internazionali. La Commissione europea è incaricata di valutare il livello di protezione garantito da uno Stato terzo, da un territorio o da uno o più settori specifici dello Stato terzo (articolo 36). Se la Commissione europea non ha constatato l’adeguatezza del livello di protezione nel Paese terzo, i dati possono ciononostante essere trasferiti se sono fornite garanzie appropriate per la loro protezione (art. 37) oppure in virtù di deroghe in situazioni particolari (art. 38). L’articolo 39 disciplina il trasferimento di dati personali a destinatari stabiliti in Paesi terzi qualora i dati non possano essere trasmessi alle autorità competenti mediante i canali usuali della cooperazione giudiziaria e di polizia.

Il capo VI obbliga gli Stati membri di Schengen a istituire un’autorità di controllo della protezione dei dati. Gli articoli 45, 46 e 47 disciplinano le competenze, i compiti e i poteri di tale