LEGGE 22 aprile 2021, n. 60

Entrata in vigore del provvedimento: 11/05/2021

La Camera dei deputati ed il Senato della Repubblica hanno approvato;

IL PRESIDENTE DELLA REPUBBLICA

Promulga

la seguente legge:

Art. 1

Autorizzazione alla ratifica

1.Il Presidente della Repubblica e' autorizzato a ratificare il Protocollo di emendamento alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, fatto a Strasburgo il 10 ottobre 2018.

Art. 2

Ordine di esecuzione

1.Piena ed intera esecuzione e' data al Protocollo di cui all'articolo 1, a decorrere dalla data della sua entrata in vigore, in conformita' a quanto disposto dall'articolo 37 del protocollo stesso.

Art. 3

Autorita' di controllo ai sensi dell'art. 19 del Protocollo

1.L'Autorita' di controllo di cui all'articolo 15 della Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, come modificato dall'articolo 19 del Protocollo di cui all'articolo 1 della presente legge, e' il Garante per la protezione dei dati personali.

Art. 4

Clausola di invarianza finanziaria

1.Le amministrazioni pubbliche interessate provvedono all'attuazione della presente legge con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente e senza nuovi o maggiori oneri a carico della finanza pubblica.

Art. 5

Entrata in vigore

1.La presente legge entra in vigore il giorno successivo a quello della sua pubblicazione nella Gazzetta Ufficiale.

MATTARELLA

Draghi, Presidente del Consiglio dei ministri

Di Maio, Ministro degli affari esteri e della cooperazione internazionale

Visto, il Guardasigilli: Cartabia

Protocol/Protocole

Allegato Parte di provvedimento in formato grafico

Protocollo-art. 1

Preambolo Gli Stati membri del Consiglio d'Europa e le Altre Parti della Convenzione per la protezione delle persone rispetto al trattamento automatizzato di dati personali (STE n° 108), aperta alla firma a Strasburgo il 28 gennaio 1981 (di seguito denominata "la Convenzione"). Vista la risoluzione n. 3 sulla protezione dei dati e la privacy nel terzo millennio adottata dalla 30ª Conferenza dei Ministri della Giustizia del Consiglio d'Europa (Istanbul, Turchia, 24-26 novembre 2010); Vista la Risoluzione 1843 (2011) dell'Assemblea parlamentare del Consiglio d'Europa sulla protezione della vita privata e dei dati personali su Internet e i media online e la Risoluzione 1986 (2014) sul miglioramento della protezione degli utenti e della sicurezza nel ciberspazio; Visto il parere 296 (2017) sul progetto di Protocollo che modifica la Convenzione per la protezione delle persone rispetto al trattamento automatizzato di dati personali (STE n. 108) e la sua motivazione, adottata dal Comitato permanente a nome dell'Assemblea parlamentare del Consiglio d'Europa il 24 novembre 2017; Considerando che sono emerse nuove sfide alla protezione delle persone rispetto al trattamento dei dati personali da quando e' stata adottata la Convenzione; Considerando la necessita' di garantire che la Convenzione continui a svolgere il suo ruolo preminente nella protezione delle persone in relazione al trattamento dei dati personali e, piu' in generale, nella protezione dei diritti umani e delle liberta' fondamentali, Hanno convenuto quanto segue: Articolo 1 1 Il primo considerando del Preambolo della Convenzione e' sostituito dal seguente: "Gli Stati membri del Consiglio d'Europa e gli altri firmatari della presente Convenzione," 2 Il terzo considerando del preambolo della Convenzione e' sostituito dal seguente: "Considerando che e' necessario garantire la dignita' umana e la protezione dei diritti umani e delle liberta' fondamentali di ogni individuo e, data la diversificazione, l'intensificazione e la globalizzazione del trattamento dei dati e dei flussi di dati personali, l'autonomia personale basata sul diritto di una persona di controllare il suo o i suoi dati personali e il trattamento di tali dati; " 3. Il quarto considerando del preambolo della Convenzione e' sostituito dal seguente: "Ricordando che il diritto alla protezione dei dati personali deve essere considerato in relazione al suo ruolo nella societa' e che deve essere riconciliato con altri diritti umani e liberta' fondamentali, compresa la liberta' di espressione;" 4 Il seguente considerando e' aggiunto dopo il quarto considerando del preambolo della Convenzione: "Considerando che la presente Convenzione consente di prendere in considerazione, nell'attuazione delle norme ivi stabilite, il principio del diritto di accesso ai documenti ufficiali;" 5 Il quinto considerando del preambolo della Convenzione e' soppresso. Sono aggiunti il nuovo quinto e il sesto considerando, che recitano come segue: "Riconoscendo che e' necessario promuovere a livello globale i valori fondamentali del rispetto della privacy e della protezione dei dati personali, contribuendo cosi' al libero flusso di informazioni tra le persone"; "Riconoscendo l'interesse di un rafforzamento della cooperazione internazionale tra le parti della Convenzione,"

Protocollo-art. 2

Articolo 2 Il testo dell'articolo 1 della Convenzione e' sostituito dal seguente "Lo scopo di questa Convenzione e' proteggere ogni individuo, indipendentemente dalla sua nazionalita' o residenza, in relazione al trattamento dei suoi dati personali, contribuendo in tal modo al rispetto dei suoi diritti umani e delle sue liberta' fondamentali, in particolare del diritto alla privacy".

Protocollo-art. 3

Articolo 3 1 La lettera b dell'articolo 2 della Convenzione e' sostituita dalla seguente: "b "trattamento dei dati " significa qualsiasi operazione o insieme di operazioni eseguite su dati personali, quali raccolta, conservazione, alterazione, reperimento, divulgazione, messa a disposizione, cancellazione o distruzione, oppure esecuzione di logiche e/ o operazioni aritmetiche su tali dati;" 2 La lettera c dell'articolo 2 della Convenzione e' sostituita dalla seguente: "c dove non viene utilizzato il trattamento automatizzato," elaborazione dei dati " significa un'operazione o una serie di operazioni eseguite su dati personali all'interno di un insieme strutturato di tali dati che sono accessibili o recuperabili in base a criteri specifici;" 3 La lettera d dell'articolo 2 della Convenzione e' sostituita dalla seguente: "d "titolare del trattamento": una persona fisica o giuridica, un'autorita' pubblica, un servizio, un'agenzia o qualsiasi altro organismo che, da solo o congiuntamente ad altri, ha potere decisionale in relazione al trattamento dei dati; " 4 Dopo la lettera d dell'articolo 2 della Convenzione sono aggiunte le seguenti nuove lettere: "e destinatario ": una persona fisica o giuridica, un'autorita' pubblica, un servizio, un'agenzia o qualsiasi altro organismo a cui i dati sono comunicati o resi disponibili; f "responsabile": una persona fisica o giuridica, un'autorita' pubblica, un servizio, un'agenzia o qualsiasi altro organismo che tratta dati personali per conto del titolare del trattamento."

Protocollo-art. 4

Articolo 4 1 Il paragrafo 1 dell'articolo 3 della Convenzione e' sostituito dal seguente: "1 Ciascuna delle Parti si impegna ad applicare la presente Convenzione al trattamento dei dati soggetti alla sua giurisdizione nei settori pubblico e privato, garantendo in tal modo il diritto di ogni individuo alla protezione dei propri dati personali." 2 Il paragrafo 2 dell'articolo 3 della Convenzione e' sostituito dal seguente: "2 La presente Convenzione non si applica al trattamento di dati effettuato da una persona nel corso di attivita' puramente personali o domestiche." 3 I paragrafi da 3 a 6 dell'articolo 3 della Convenzione sono soppressi.

Protocollo-art. 5

Articolo 5 Il Titolo del Capo II della Convenzione e' sostituito dal seguente: "Capitolo II - Principi di base per la protezione dei dati personali".

Protocollo-art. 6

Articolo 6 1 Il paragrafo 1 dell'articolo 4 della Convenzione e' sostituito dal seguente: "1 Ciascuna delle Parti adotta le misure necessarie per dare attuazione alle disposizioni della presente Convenzione e garantirne l'effettiva applicazione." 2 Il paragrafo 2 dell'articolo 4 della Convenzione e' sostituito dal seguente: "2 Queste misure saranno prese da ciascuna delle Parti ed entreranno in vigore al momento della ratifica o dell'adesione alla presente Convenzione." 3 Un nuovo paragrafo e' aggiunto dopo il paragrafo 2 dell'articolo 4 della Convenzione: "3 Ciascuna parte si impegna a: a consentire al Comitato della Convenzione di cui al Capo VI di valutare l'efficacia delle misure che ha adottato nella sua legislazione per attuare le disposizioni della presente Convenzione; e b contribuire attivamente a questo processo di valutazione".

Protocollo-art. 7

Articolo 7 1 Il Titolo dell'articolo 5 e' sostituito dal seguente: "Articolo 5 - Legittimita' dell'elaborazione dei dati e qualita' dei dati". 2 Il testo dell'articolo 5 della Convenzione e' sostituito dal seguente: "1 Il trattamento dei dati deve essere proporzionato allo scopo legittimo perseguito e deve riflettere in tutte le fasi del trattamento un giusto equilibrio tra tutti gli interessi in questione, siano essi pubblici o privati, e i diritti e le liberta' in gioco. 2 Ciascuna Parte dispone che il trattamento dei dati non puo' essere effettuato che sulla base del consenso libero, specifico, informato e inequivocabile dell'interessato o di un altro fondamento legittimo previsto a dalla legge. 3 I dati personali sottoposti a trattamento devono essere trattati in modo lecito. 4 I dati personali oggetto di trattamento devono essere: a elaborati correttamente ed in modo trasparente; b raccolti per scopi espliciti, specificati e legittimi e non trattati in modo incompatibile con tali scopi; l'ulteriore elaborazione a fini di archiviazione nell'interesse pubblico, a fini di ricerca scientifica o storica o a fini statistici e', fatti salvi gli opportuni controlli, compatibile con tali finalita'; c adeguati, pertinenti e non eccedenti rispetto alle finalita' per le quali sono trattati; d accurati e, se necessario, aggiornati; e conservati in una forma che consenta l'identificazione delle persone interessate per un periodo non superiore a quello necessario agli scopi per i quali tali dati sono trattati ".

Protocollo-art. 8

Articolo 8 Il testo dell'articolo 6 della Convenzione e' sostituito dal seguente: "1 L'elaborazione di: - dati genetici; - dati personali relativi a infrazioni, procedimenti e condanne penali e misure di sicurezza; - dati biometrici che identificano in modo univoco una persona; - dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, l'appartenenza sindacale, la religione o altre convinzioni, la salute o la vita sessuale, sono consentiti solo se sono previste garanzie di legge, a complemento di quelle della presente Convenzione. 2 Tali garanzie tutelano contro i rischi che il trattamento di dati sensibili puo' presentare per gli interessi, i diritti e le liberta' fondamentali dell'interessato, in particolare un rischio di discriminazione. "

Protocollo-art. 9

Articolo 9 Il testo dell'articolo 7 della Convenzione e' sostituito dal seguente: "1 Ciascuna Parte dispone che il titolare del trattamento e, ove previsto, il responsabile del trattamento, adottino adeguate misure di sicurezza contro rischi quali l'accesso accidentale o non autorizzato ai dati personali, la loro distruzione, perdita, uso, modifica o divulgazione. 2 Ciascuna Parte dispone che il titolare del trattamento notifichi, senza indugio, almeno all'autorita' di controllo competente ai sensi dell'articolo 15 della presente Convenzione, le violazioni dei dati che possono seriamente interferire con i diritti e le liberta' fondamentali delle persone interessate. "

Protocollo-art. 10

Articolo 10 Un nuovo articolo 8 e' aggiunto dopo l'articolo 7 della Convenzione come segue: "Articolo 8 - Trasparenza del trattamento 1 Ciascuna Parte dispone che il titolare del trattamento informi gli interessati di: a la sua identita' e residenza o stabilimento abituale; b la base giuridica e le finalita' del trattamento previsto; c le categorie di dati personali trattati; d i destinatari o le categorie di destinatari dei dati personali, se esistenti; e e i mezzi per esercitare i diritti di cui all'articolo 9, cosi' come ogni altra informazione necessaria al fine di garantire un trattamento equo e trasparente dei dati personali. 2 Il paragrafo 1 non si applica se l'interessato ha gia' le informazioni pertinenti. 3 Quando i dati personali non sono raccolti direttamente presso la persona interessata, il titolare del trattamento non e' tenuto a fornire tali informazioni quando il trattamento e' espressamente previsto dalla legge o cio' si riveli impossibile o comporti sforzi sproporzionati. "

Protocollo-art. 11

Articolo 11 1 L'articolo 8 della Convenzione e' rinumerato articolo 9 e il Titolo e' sostituito dal seguente: "Articolo 9 - Diritti dell'interessato". 2 Il testo dell'articolo 8 della Convenzione (nuovo articolo 9) e' sostituito dal seguente: "1 Ogni individuo ha diritto a: a non essere soggetto ad una decisione che lo riguardi in modo significativo basandosi unicamente su un trattamento automatizzato di dati senza che le sue opinioni vengano prese in considerazione; b ottenere, a richiesta, a intervalli ragionevoli e senza eccessivo ritardo o spesa, la conferma del trattamento dei dati personali che lo riguardano, la comunicazione in forma intelligibile dei dati trattati, tutte le informazioni disponibili sulla loro origine, sul periodo di conservazione e qualsiasi altra informazione che il titolare del trattamento e' tenuto a fornire al fine di garantire la trasparenza del trattamento ai sensi dell'articolo 8, paragrafo 1; c ottenere, su richiesta, conoscenza del ragionamento alla base dell'elaborazione dei dati quando i risultati di tale trattamento gli vengono applicati; d opporsi in qualsiasi momento, per motivi relativi alla sua situazione, al trattamento di dati personali che lo riguardano a meno che il titolare del trattamento non dimostri motivi legittimi per il trattamento che prevalgano sui suoi interessi, sui suoi diritti e sulle sue liberta' fondamentali; e ottenere, su richiesta, gratuitamente e senza eccessivo ritardo, rettifica o cancellazione, a seconda dei casi, di tali dati se questi sono, o sono stati, trattati in violazione delle disposizioni della presente Convenzione; f avere un rimedio ai sensi dell'articolo 12 nei casi in cui i suoi diritti sono stati violati ai sensi della presente Convenzione; g beneficiare, a prescindere dalla sua nazionalita' o residenza, dall'assistenza di un'autorita' di controllo ai sensi dell'articolo 15, nell'esercizio dei suoi diritti ai sensi della presente Convenzione. 2 Il paragrafo 1.a non si applica se la decisione e' autorizzata da una legge cui e' soggetto il titolare del trattamento e che stabilisce anche misure idonee a salvaguardare i diritti, le liberta' e gli interessi legittimi dell'interessato."

Protocollo-art. 12

Articolo 12 Un nuovo articolo 10 e' aggiunto dopo il nuovo articolo 9 della Convenzione come segue: "Articolo 10 - Obblighi aggiuntivi 1 Ciascuna Parte dispone che i titolari del trattamento e, se del caso, i responsabili del trattamento adottino tutte le misure appropriate per conformarsi agli obblighi della presente Convenzione e siano in grado di dimostrare, fatta salva la legislazione nazionale adottata conformemente all'articolo 11, paragrafo 3, in particolare all'autorita' di controllo competente di cui all'articolo 15, che il trattamento dei dati sotto il loro controllo e' conforme alle disposizioni della presente Convenzione. 2 Ciascuna Parte dispone che i titolari del trattamento e, se del caso, i responsabili del trattamento, esaminino il probabile impatto dell'elaborazione dei dati prevista sui diritti e le liberta' fondamentali delle persone interessate prima dell'inizio di tale trattamento e definiscano il trattamento dei dati in modo da prevenire o minimizzare il rischio di interferenze con tali diritti e liberta' fondamentali. 3 Ciascuna Parte dispone che i titolari del trattamento e, se del caso, i responsabili del trattamento, attuino misure tecniche e organizzative che tengano conto delle implicazioni del diritto alla protezione dei dati personali in tutte le fasi del trattamento dei dati. 4 Ciascuna Parte puo', tenendo conto dei rischi derivanti agli interessi, ai diritti e alle liberta' fondamentali delle persone interessate, adeguare l'applicazione delle disposizioni dei paragrafi 1, 2 e 3 della legge che da' attuazione alle disposizioni della presente Convenzione, secondo alla natura e al volume dei dati, alla natura, alla portata e alle finalita' del trattamento e, se del caso, alle dimensioni dei titolari del trattamento o dei responsabili.

Protocollo-art. 13

Articolo 13 Gli articoli da 9 a 12 della Convenzione diventeranno gli articoli da 11 a 14 della Convenzione.

Protocollo-art. 14

Articolo 14 Il testo dell'articolo 9 della Convenzione (nuovo articolo 11) e' sostituito dal seguente: "1 Sono consentite eccezioni alle disposizioni del presente Capitolo fatte salve le disposizioni dell'articolo 5, paragrafo 4, dell'articolo 7, paragrafo 2, dell'articolo 8, paragrafo 1 e dell'articolo 9, quando tale eccezione e' prevista dalla legge, rispetta l'essenza dei diritti e delle liberta' fondamentali e costituisce una misura necessaria e proporzionata in una societa' democratica per: a la protezione della sicurezza nazionale, della difesa, della sicurezza pubblica e di importanti interessi economici e finanziari dello Stato, l'imparzialita' e l'indipendenza del potere giudiziario o la prevenzione, l'investigazione e il perseguimento di reati e l'esecuzione di sanzioni penali e altri obiettivi essenziali di interesse pubblico generale; b la tutela della persona interessata o dei diritti e delle liberta' fondamentali altrui, in particolare la liberta' di espressione. 2 Le restrizioni all'esercizio delle disposizioni di cui agli articoli 8 e 9 possono essere previste dalla legge in relazione al trattamento dei dati a scopo di archiviazione nell'interesse pubblico, a fini di ricerca scientifica o storica o statistici quando non vi e' alcun rischio riconoscibile di violazione dei diritti e delle liberta' fondamentali degli interessati. 3 Oltre alle eccezioni di cui al paragrafo 1 del presente articolo, con riferimento alle attivita' di trattamento a fini di sicurezza nazionale e di difesa, ciascuna parte puo' prevedere, per legge e solo nei casi in cui costituisce una misura necessaria e proporzionata in una societa' democratica per raggiungere tale scopo, eccezioni all'articolo 4, paragrafo 3, all'articolo 14, paragrafi 5 e 6, e all'articolo 15, paragrafo 2, lettere a), b), c) e d). Cio' lascia impregiudicato il requisito che le attivita' di trattamento a fini di sicurezza nazionale e di difesa siano soggette a revisione e vigilanza indipendenti ed efficaci ai sensi della legislazione nazionale della rispettiva parte."

Protocollo-art. 15

Articolo 15 Il testo dell'articolo 10 della convenzione (nuovo articolo 12) e' sostituito dal seguente: "Ciascuna delle Parti si impegna a stabilire appropriate sanzioni giudiziarie e non giudiziarie e rimedi per le violazioni delle disposizioni della presente Convenzione.

Protocollo-art. 16