LEGGE 22 aprile 2021, n. 60
Ratifica ed esecuzione del Protocollo di emendamento alla Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati a carattere personale, fatto a Strasburgo il 10 ottobre 2018. (21G00068)
(GU n.110 del 10-5-2021)
Vigente al: 11-5-2021
La Camera dei deputati ed il Senato della Repubblica hanno
approvato;
IL PRESIDENTE DELLA REPUBBLICA
Promulga
la seguente legge:
Art. 1
Autorizzazione alla ratifica
1. Il Presidente della Repubblica e' autorizzato a ratificare il
Protocollo di emendamento alla Convenzione sulla protezione delle
persone rispetto al trattamento automatizzato di dati a carattere
personale, fatto a Strasburgo il 10 ottobre 2018.
Art. 2
Ordine di esecuzione
1. Piena ed intera esecuzione e' data al Protocollo di cui
all'articolo 1, a decorrere dalla data della sua entrata in vigore,
in conformita' a quanto disposto dall'articolo 37 del protocollo
stesso.
Art. 3
Autorita' di controllo ai sensi dell'art. 19 del Protocollo
1. L'Autorita' di controllo di cui all'articolo 15 della
Convenzione sulla protezione delle persone rispetto al trattamento
automatizzato di dati a carattere personale, come modificato
dall'articolo 19 del Protocollo di cui all'articolo 1 della presente
legge, e' il Garante per la protezione dei dati personali.
Art. 4
Clausola di invarianza finanziaria
1. Le amministrazioni pubbliche interessate provvedono
all'attuazione della presente legge con le risorse umane, strumentali
e finanziarie disponibili a legislazione vigente e senza nuovi o
maggiori oneri a carico della finanza pubblica.
Art. 5
Entrata in vigore
1. La presente legge entra in vigore il giorno successivo a quello
della sua pubblicazione nella Gazzetta Ufficiale.
La presente legge, munita del sigillo dello Stato, sara' inserita
nella Raccolta ufficiale degli atti normativi della Repubblica
italiana. E' fatto obbligo a chiunque spetti di osservarla e di farla
osservare come legge dello Stato.
Data a Roma, addi' 22 aprile 2021
MATTARELLA
Draghi, Presidente del Consiglio
dei ministri
Di Maio, Ministro degli affari
esteri e della cooperazione
internazionale
Visto, il Guardasigilli: Cartabia
Allegato
Parte di provvedimento in formato grafico
Preambolo
Gli Stati membri del Consiglio d'Europa e le Altre Parti della
Convenzione per la protezione delle persone rispetto al trattamento
automatizzato di dati personali (STE n° 108), aperta alla firma a
Strasburgo il 28 gennaio 1981 (di seguito denominata "la
Convenzione").
Vista la risoluzione n. 3 sulla protezione dei dati e la privacy
nel terzo millennio adottata dalla 30ª Conferenza dei Ministri della
Giustizia del Consiglio d'Europa (Istanbul, Turchia, 24-26 novembre
2010);
Vista la Risoluzione 1843 (2011) dell'Assemblea parlamentare del
Consiglio d'Europa sulla protezione della vita privata e dei dati
personali su Internet e i media online e la Risoluzione 1986 (2014)
sul miglioramento della protezione degli utenti e della sicurezza nel
ciberspazio;
Visto il parere 296 (2017) sul progetto di Protocollo che modifica
la Convenzione per la protezione delle persone rispetto al
trattamento automatizzato di dati personali (STE n. 108) e la sua
motivazione, adottata dal Comitato permanente a nome dell'Assemblea
parlamentare del Consiglio d'Europa il 24 novembre 2017;
Considerando che sono emerse nuove sfide alla protezione delle
persone rispetto al trattamento dei dati personali da quando e' stata
adottata la Convenzione;
Considerando la necessita' di garantire che la Convenzione continui
a svolgere il suo ruolo preminente nella protezione delle persone in
relazione al trattamento dei dati personali e, piu' in generale,
nella protezione dei diritti umani e delle liberta' fondamentali,
Hanno convenuto quanto segue:
Articolo 1
1 Il primo considerando del Preambolo della Convenzione e'
sostituito dal seguente:
"Gli Stati membri del Consiglio d'Europa e gli altri firmatari
della presente Convenzione,"
2 Il terzo considerando del preambolo della Convenzione e'
sostituito dal seguente:
"Considerando che e' necessario garantire la dignita' umana e la
protezione dei diritti umani e delle liberta' fondamentali di ogni
individuo e, data la diversificazione, l'intensificazione e la
globalizzazione del trattamento dei dati e dei flussi di dati
personali, l'autonomia personale basata sul diritto di una persona di
controllare il suo o i suoi dati personali e il trattamento di tali
dati; "
3. Il quarto considerando del preambolo della Convenzione e'
sostituito dal seguente:
"Ricordando che il diritto alla protezione dei dati personali deve
essere considerato in relazione al suo ruolo nella societa' e che
deve essere riconciliato con altri diritti umani e liberta'
fondamentali, compresa la liberta' di espressione;"
4 Il seguente considerando e' aggiunto dopo il quarto considerando
del preambolo della Convenzione:
"Considerando che la presente Convenzione consente di prendere in
considerazione, nell'attuazione delle norme ivi stabilite, il
principio del diritto di accesso ai documenti ufficiali;"
5 Il quinto considerando del preambolo della Convenzione e'
soppresso.
Sono aggiunti il nuovo quinto e il sesto considerando, che recitano
come segue:
"Riconoscendo che e' necessario promuovere a livello globale i
valori fondamentali del rispetto della privacy e della protezione dei
dati personali, contribuendo cosi' al libero flusso di informazioni
tra le persone";
"Riconoscendo l'interesse di un rafforzamento della cooperazione
internazionale tra le parti della Convenzione,"
Articolo 2 Il testo dell'articolo 1 della Convenzione e' sostituito dal seguente "Lo scopo di questa Convenzione e' proteggere ogni individuo, indipendentemente dalla sua nazionalita' o residenza, in relazione al trattamento dei suoi dati personali, contribuendo in tal modo al rispetto dei suoi diritti umani e delle sue liberta' fondamentali, in particolare del diritto alla privacy".
Articolo 3 1 La lettera b dell'articolo 2 della Convenzione e' sostituita dalla seguente: "b "trattamento dei dati " significa qualsiasi operazione o insieme di operazioni eseguite su dati personali, quali raccolta, conservazione, alterazione, reperimento, divulgazione, messa a disposizione, cancellazione o distruzione, oppure esecuzione di logiche e/ o operazioni aritmetiche su tali dati;" 2 La lettera c dell'articolo 2 della Convenzione e' sostituita dalla seguente: "c dove non viene utilizzato il trattamento automatizzato," elaborazione dei dati " significa un'operazione o una serie di operazioni eseguite su dati personali all'interno di un insieme strutturato di tali dati che sono accessibili o recuperabili in base a criteri specifici;" 3 La lettera d dell'articolo 2 della Convenzione e' sostituita dalla seguente: "d "titolare del trattamento": una persona fisica o giuridica, un'autorita' pubblica, un servizio, un'agenzia o qualsiasi altro organismo che, da solo o congiuntamente ad altri, ha potere decisionale in relazione al trattamento dei dati; " 4 Dopo la lettera d dell'articolo 2 della Convenzione sono aggiunte le seguenti nuove lettere: "e destinatario ": una persona fisica o giuridica, un'autorita' pubblica, un servizio, un'agenzia o qualsiasi altro organismo a cui i dati sono comunicati o resi disponibili; f "responsabile": una persona fisica o giuridica, un'autorita' pubblica, un servizio, un'agenzia o qualsiasi altro organismo che tratta dati personali per conto del titolare del trattamento."
Articolo 4 1 Il paragrafo 1 dell'articolo 3 della Convenzione e' sostituito dal seguente: "1 Ciascuna delle Parti si impegna ad applicare la presente Convenzione al trattamento dei dati soggetti alla sua giurisdizione nei settori pubblico e privato, garantendo in tal modo il diritto di ogni individuo alla protezione dei propri dati personali." 2 Il paragrafo 2 dell'articolo 3 della Convenzione e' sostituito dal seguente: "2 La presente Convenzione non si applica al trattamento di dati effettuato da una persona nel corso di attivita' puramente personali o domestiche." 3 I paragrafi da 3 a 6 dell'articolo 3 della Convenzione sono soppressi.
Articolo 5 Il Titolo del Capo II della Convenzione e' sostituito dal seguente: "Capitolo II - Principi di base per la protezione dei dati personali".
Articolo 6 1 Il paragrafo 1 dell'articolo 4 della Convenzione e' sostituito dal seguente: "1 Ciascuna delle Parti adotta le misure necessarie per dare attuazione alle disposizioni della presente Convenzione e garantirne l'effettiva applicazione." 2 Il paragrafo 2 dell'articolo 4 della Convenzione e' sostituito dal seguente: "2 Queste misure saranno prese da ciascuna delle Parti ed entreranno in vigore al momento della ratifica o dell'adesione alla presente Convenzione." 3 Un nuovo paragrafo e' aggiunto dopo il paragrafo 2 dell'articolo 4 della Convenzione: "3 Ciascuna parte si impegna a: a consentire al Comitato della Convenzione di cui al Capo VI di valutare l'efficacia delle misure che ha adottato nella sua legislazione per attuare le disposizioni della presente Convenzione; e b contribuire attivamente a questo processo di valutazione".
Articolo 7 1 Il Titolo dell'articolo 5 e' sostituito dal seguente: "Articolo 5 - Legittimita' dell'elaborazione dei dati e qualita' dei dati". 2 Il testo dell'articolo 5 della Convenzione e' sostituito dal seguente: "1 Il trattamento dei dati deve essere proporzionato allo scopo legittimo perseguito e deve riflettere in tutte le fasi del trattamento un giusto equilibrio tra tutti gli interessi in questione, siano essi pubblici o privati, e i diritti e le liberta' in gioco. 2 Ciascuna Parte dispone che il trattamento dei dati non puo' essere effettuato che sulla base del consenso libero, specifico, informato e inequivocabile dell'interessato o di un altro fondamento legittimo previsto a dalla legge. 3 I dati personali sottoposti a trattamento devono essere trattati in modo lecito. 4 I dati personali oggetto di trattamento devono essere: a elaborati correttamente ed in modo trasparente; b raccolti per scopi espliciti, specificati e legittimi e non trattati in modo incompatibile con tali scopi; l'ulteriore elaborazione a fini di archiviazione nell'interesse pubblico, a fini di ricerca scientifica o storica o a fini statistici e', fatti salvi gli opportuni controlli, compatibile con tali finalita'; c adeguati, pertinenti e non eccedenti rispetto alle finalita' per le quali sono trattati; d accurati e, se necessario, aggiornati; e conservati in una forma che consenta l'identificazione delle persone interessate per un periodo non superiore a quello necessario agli scopi per i quali tali dati sono trattati ".
Articolo 8 Il testo dell'articolo 6 della Convenzione e' sostituito dal seguente: "1 L'elaborazione di: - dati genetici; - dati personali relativi a infrazioni, procedimenti e condanne penali e misure di sicurezza; - dati biometrici che identificano in modo univoco una persona; - dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, l'appartenenza sindacale, la religione o altre convinzioni, la salute o la vita sessuale, sono consentiti solo se sono previste garanzie di legge, a complemento di quelle della presente Convenzione. 2 Tali garanzie tutelano contro i rischi che il trattamento di dati sensibili puo' presentare per gli interessi, i diritti e le liberta' fondamentali dell'interessato, in particolare un rischio di discriminazione. "
Articolo 9 Il testo dell'articolo 7 della Convenzione e' sostituito dal seguente: "1 Ciascuna Parte dispone che il titolare del trattamento e, ove previsto, il responsabile del trattamento, adottino adeguate misure di sicurezza contro rischi quali l'accesso accidentale o non autorizzato ai dati personali, la loro distruzione, perdita, uso, modifica o divulgazione. 2 Ciascuna Parte dispone che il titolare del trattamento notifichi, senza indugio, almeno all'autorita' di controllo competente ai sensi dell'articolo 15 della presente Convenzione, le violazioni dei dati che possono seriamente interferire con i diritti e le liberta' fondamentali delle persone interessate. "
Articolo 10 Un nuovo articolo 8 e' aggiunto dopo l'articolo 7 della Convenzione come segue: "Articolo 8 - Trasparenza del trattamento 1 Ciascuna Parte dispone che il titolare del trattamento informi gli interessati di: a la sua identita' e residenza o stabilimento abituale; b la base giuridica e le finalita' del trattamento previsto; c le categorie di dati personali trattati; d i destinatari o le categorie di destinatari dei dati personali, se esistenti; e e i mezzi per esercitare i diritti di cui all'articolo 9, cosi' come ogni altra informazione necessaria al fine di garantire un trattamento equo e trasparente dei dati personali. 2 Il paragrafo 1 non si applica se l'interessato ha gia' le informazioni pertinenti. 3 Quando i dati personali non sono raccolti direttamente presso la persona interessata, il titolare del trattamento non e' tenuto a fornire tali informazioni quando il trattamento e' espressamente previsto dalla legge o cio' si riveli impossibile o comporti sforzi sproporzionati. "
Articolo 11 1 L'articolo 8 della Convenzione e' rinumerato articolo 9 e il Titolo e' sostituito dal seguente: "Articolo 9 - Diritti dell'interessato". 2 Il testo dell'articolo 8 della Convenzione (nuovo articolo 9) e' sostituito dal seguente: "1 Ogni individuo ha diritto a: a non essere soggetto ad una decisione che lo riguardi in modo significativo basandosi unicamente su un trattamento automatizzato di dati senza che le sue opinioni vengano prese in considerazione; b ottenere, a richiesta, a intervalli ragionevoli e senza eccessivo ritardo o spesa, la conferma del trattamento dei dati personali che lo riguardano, la comunicazione in forma intelligibile dei dati trattati, tutte le informazioni disponibili sulla loro origine, sul periodo di conservazione e qualsiasi altra informazione che il titolare del trattamento e' tenuto a fornire al fine di garantire la trasparenza del trattamento ai sensi dell'articolo 8, paragrafo 1; c ottenere, su richiesta, conoscenza del ragionamento alla base dell'elaborazione dei dati quando i risultati di tale trattamento gli vengono applicati; d opporsi in qualsiasi momento, per motivi relativi alla sua situazione, al trattamento di dati personali che lo riguardano a meno che il titolare del trattamento non dimostri motivi legittimi per il trattamento che prevalgano sui suoi interessi, sui suoi diritti e sulle sue liberta' fondamentali; e ottenere, su richiesta, gratuitamente e senza eccessivo ritardo, rettifica o cancellazione, a seconda dei casi, di tali dati se questi sono, o sono stati, trattati in violazione delle disposizioni della presente Convenzione; f avere un rimedio ai sensi dell'articolo 12 nei casi in cui i suoi diritti sono stati violati ai sensi della presente Convenzione; g beneficiare, a prescindere dalla sua nazionalita' o residenza, dall'assistenza di un'autorita' di controllo ai sensi dell'articolo 15, nell'esercizio dei suoi diritti ai sensi della presente Convenzione. 2 Il paragrafo 1.a non si applica se la decisione e' autorizzata da una legge cui e' soggetto il titolare del trattamento e che stabilisce anche misure idonee a salvaguardare i diritti, le liberta' e gli interessi legittimi dell'interessato."
Articolo 12 Un nuovo articolo 10 e' aggiunto dopo il nuovo articolo 9 della Convenzione come segue: "Articolo 10 - Obblighi aggiuntivi 1 Ciascuna Parte dispone che i titolari del trattamento e, se del caso, i responsabili del trattamento adottino tutte le misure appropriate per conformarsi agli obblighi della presente Convenzione e siano in grado di dimostrare, fatta salva la legislazione nazionale adottata conformemente all'articolo 11, paragrafo 3, in particolare all'autorita' di controllo competente di cui all'articolo 15, che il trattamento dei dati sotto il loro controllo e' conforme alle disposizioni della presente Convenzione. 2 Ciascuna Parte dispone che i titolari del trattamento e, se del caso, i responsabili del trattamento, esaminino il probabile impatto dell'elaborazione dei dati prevista sui diritti e le liberta' fondamentali delle persone interessate prima dell'inizio di tale trattamento e definiscano il trattamento dei dati in modo da prevenire o minimizzare il rischio di interferenze con tali diritti e liberta' fondamentali. 3 Ciascuna Parte dispone che i titolari del trattamento e, se del caso, i responsabili del trattamento, attuino misure tecniche e organizzative che tengano conto delle implicazioni del diritto alla protezione dei dati personali in tutte le fasi del trattamento dei dati. 4 Ciascuna Parte puo', tenendo conto dei rischi derivanti agli interessi, ai diritti e alle liberta' fondamentali delle persone interessate, adeguare l'applicazione delle disposizioni dei paragrafi 1, 2 e 3 della legge che da' attuazione alle disposizioni della presente Convenzione, secondo alla natura e al volume dei dati, alla natura, alla portata e alle finalita' del trattamento e, se del caso, alle dimensioni dei titolari del trattamento o dei responsabili.
Articolo 13 Gli articoli da 9 a 12 della Convenzione diventeranno gli articoli da 11 a 14 della Convenzione.
Articolo 14 Il testo dell'articolo 9 della Convenzione (nuovo articolo 11) e' sostituito dal seguente: "1 Sono consentite eccezioni alle disposizioni del presente Capitolo fatte salve le disposizioni dell'articolo 5, paragrafo 4, dell'articolo 7, paragrafo 2, dell'articolo 8, paragrafo 1 e dell'articolo 9, quando tale eccezione e' prevista dalla legge, rispetta l'essenza dei diritti e delle liberta' fondamentali e costituisce una misura necessaria e proporzionata in una societa' democratica per: a la protezione della sicurezza nazionale, della difesa, della sicurezza pubblica e di importanti interessi economici e finanziari dello Stato, l'imparzialita' e l'indipendenza del potere giudiziario o la prevenzione, l'investigazione e il perseguimento di reati e l'esecuzione di sanzioni penali e altri obiettivi essenziali di interesse pubblico generale; b la tutela della persona interessata o dei diritti e delle liberta' fondamentali altrui, in particolare la liberta' di espressione. 2 Le restrizioni all'esercizio delle disposizioni di cui agli articoli 8 e 9 possono essere previste dalla legge in relazione al trattamento dei dati a scopo di archiviazione nell'interesse pubblico, a fini di ricerca scientifica o storica o statistici quando non vi e' alcun rischio riconoscibile di violazione dei diritti e delle liberta' fondamentali degli interessati. 3 Oltre alle eccezioni di cui al paragrafo 1 del presente articolo, con riferimento alle attivita' di trattamento a fini di sicurezza nazionale e di difesa, ciascuna parte puo' prevedere, per legge e solo nei casi in cui costituisce una misura necessaria e proporzionata in una societa' democratica per raggiungere tale scopo, eccezioni all'articolo 4, paragrafo 3, all'articolo 14, paragrafi 5 e 6, e all'articolo 15, paragrafo 2, lettere a), b), c) e d). Cio' lascia impregiudicato il requisito che le attivita' di trattamento a fini di sicurezza nazionale e di difesa siano soggette a revisione e vigilanza indipendenti ed efficaci ai sensi della legislazione nazionale della rispettiva parte."
Articolo 15 Il testo dell'articolo 10 della convenzione (nuovo articolo 12) e' sostituito dal seguente: "Ciascuna delle Parti si impegna a stabilire appropriate sanzioni giudiziarie e non giudiziarie e rimedi per le violazioni delle disposizioni della presente Convenzione.
Articolo 16 Il Titolo del Capo III e' sostituito dal seguente: "Capo III - Flussi transfrontalieri di dati personali".
Articolo 17 1 Il Titolo dell'articolo 12 della Convenzione (nuovo articolo 14) e' sostituito dal seguente: "Articolo 14 - Flussi transfrontalieri di dati personali". 2 Il testo dell'articolo 12 della Convenzione (nuovo articolo 14) e' sostituito dal seguente: "1 Una Parte non puo', al solo scopo di proteggere i dati personali, vietare o subordinare a speciale autorizzazione il trasferimento di tali dati a un destinatario soggetto alla giurisdizione di un'altra Parte della Convenzione. Tuttavia, una parte puo' farlo se sussiste un rischio reale e grave che il trasferimento ad un'altra Parte o da questa altra Parte a una non-Parte, porti a eludere le disposizioni della Convenzione. Una Parte puo' farlo anche se vincolata da norme di protezione armonizzate, condivise da Stati appartenenti a un'organizzazione internazionale regionale. 2 Quando il destinatario e' soggetto alla giurisdizione di uno Stato o di un'organizzazione internazionale che non e' Parte della presente Convenzione, il trasferimento di dati personali puo' avvenire soltanto laddove sia garantito un livello adeguato di protezione basato sulle disposizioni della presente Convenzione. 3 Un livello adeguato di protezione puo' essere garantito da: a una legge di tale Stato o organizzazione internazionale, compresi i trattati e gli accordi internazionali applicabili; o b garanzie standardizzate ad hoc o approvate, fornite da strumenti giuridicamente vincolanti ed esecutivi adottati e attuati dalle persone coinvolte nel trasferimento e nell'ulteriore trattamento. 4 Nonostante le disposizioni dei precedenti paragrafi, ciascuna Parte puo' prevedere che il trasferimento di dati personali possa aver luogo se: a l'interessato ha fornito un consenso esplicito, specifico e libero, dopo essere stato informato dei rischi in assenza di adeguate garanzie; o b l'interesse specifico dell'interessato lo richiede nel caso specifico; o c i prevalenti interessi legittimi, in particolare gli interessi pubblici importanti, sono previsti dalla legge e tale trasferimento costituisce una misura necessaria e proporzionata in una societa' democratica; o d sostituisce una misura necessaria e proporzionata in una societa' democratica per la liberta' di espressione. 5 Ciascuna Parte dispone che l'autorita' di controllo competente, ai sensi dell'articolo 15 della presente Convenzione, sia dotata di tutte le informazioni pertinenti relative ai trasferimenti di dati di cui al paragrafo 3, lettera b e, su richiesta, del paragrafo 4, lettere b e c. 6 Ciascuna Parte dispone inoltre che l'autorita' di controllo abbia il diritto di chiedere che la persona che trasferisce i dati dimostri l'efficacia delle garanzie o l'esistenza di interessi legittimi prevalenti e che l'autorita' di controllo possa, al fine di proteggere i diritti e le liberta' fondamentali degli interessati, vietare tali trasferimenti, sospenderli o sottoporli a condizioni ". 3 Il testo dell'articolo 12 della Convenzione (nuovo articolo 14) comprende le disposizioni dell'articolo 2 del Protocollo aggiuntivo del 2001 in materia di autorita' di controllo e flussi di dati transfrontalieri (STE n. 181) sui flussi transfrontalieri di dati personali verso un destinatario che e' non soggetto alla giurisdizione di una Parte della Convenzione.
Articolo 18 Un nuovo Capo IV e' aggiunto dopo il Capo III della Convenzione, come segue: "Capo IV - Autorita' di controllo".
Articolo 19 Un nuovo articolo 15 comprende le disposizioni dell'articolo 1 del Protocollo aggiuntivo del 2001 (STE n. 181) e si legge come segue: "Articolo 15 - Autorita' di controllo" 1 Ciascuna Parte provvede affinche' una o piu' autorita' siano responsabili di assicurare il rispetto delle disposizioni della presente Convenzione. 2 A tal fine, tali autorita': a hanno poteri di investigazione e di intervento; b svolgono le funzioni relative al trasferimento di dati di cui all'articolo 14, in particolare l'approvazione di misure di sicurezza standardizzate; c hanno il potere di emettere decisioni in merito alle violazioni delle disposizioni della presente Convenzione e puo', in particolare, imporre sanzioni amministrative; d hanno il potere di avviare procedimenti giudiziari o di portare all'attenzione delle competenti autorita' giudiziarie le violazioni delle disposizioni della presente Convenzione; e promuovono: i la pubblica consapevolezza delle loro funzioni e poteri, nonche' delle loro attivita'; ii la consapevolezza pubblica dei diritti degli interessati e l'esercizio di tali diritti; iii consapevolezza dei titolari del trattamento e dei loro responsabili ai sensi della presente Convenzione; un'attenzione specifica e' riservata ai diritti di protezione dei dati dei bambini e di altre persone vulnerabili. 3 Le competenti autorita' di controllo sono consultate su proposte di misure legislative o amministrative che prevedono il trattamento di dati personali. 4 Ciascuna autorita' di controllo competente cura le richieste e i reclami presentati dagli interessati in merito ai loro diritti di protezione dei dati e tiene informati gli interessati dei progressi. 5 Le autorita' di controllo agiscono in piena indipendenza e imparzialita' nell'esercizio delle loro funzioni e nell'esercizio delle loro competenze e in tal senso non sollecitano ne' accettano istruzioni. 6 Ciascuna Parte garantisce che alle autorita' di controllo siano fornite le risorse necessarie per l'efficace svolgimento delle loro funzioni e l'esercizio dei loro poteri. 7 Ciascuna autorita' di controllo prepara e pubblica una relazione periodica che illustra le sue attivita'. 8 I membri e il personale delle autorita' di controllo sono vincolati dagli obblighi di riservatezza in relazione alle informazioni riservate a cui hanno accesso o hanno avuto accesso, nell'esercizio delle loro funzioni e nell'esercizio delle loro competenze. 9 Le decisioni delle autorita' di controllo possono essere oggetto di ricorso per via giudiziaria. 10 Le autorita' di controllo non sono competenti per quanto riguarda il trattamento effettuato da organismi quando agiscono nell'esercizio delle loro funzloni giurisdizionali.
Articolo 20 1 I Capi da IV a VII della Convenzione sono rinumerati nei Capi da V a VIII della Convenzione. 2 Il Titolo del Capo V e' sostituito da "Capo V - Cooperazione e assistenza reciproca". 3 E' aggiunto un nuovo articolo 17 e gli articoli da 13 a 27 della Convenzione diventano gli articoli da 16 a 31 della Convenzione.
Articolo 21 1 Il Titolo dell'articolo 13 della Convenzione (nuovo articolo 16) e' sostituito dal seguente: "Articolo 16 - Designazione delle autorita' di controllo". 2 Il paragrafo 1 dell'articolo 13 della Convenzione (nuovo articolo 16) e' sostituito dal seguente: "1 Le Parti convengono di cooperare e di rendersi reciprocamente assistenza al fine di attuare la presente Convenzione." 3 Il paragrafo 2 dell'articolo 13 della Convenzione (nuovo articolo 16) e' sostituito dal seguente: "2 A tal fine: a ciascuna Parte designa una o piu' autorita' di controllo ai sensi dell'articolo 15 della presente Convenzione, il nome e l'indirizzo di ciascuna delle quali deve essere comunicato al Segretario Generale del Consiglio d'Europa; b ciascuna delle Parti che ha designato piu' di una autorita' di controllo specifica la competenza di ciascuna autorita' nella sua comunicazione di cui alla precedente lettera." 4 Il paragrafo 3 dell'articolo 13 della Convenzione (nuovo articolo 16) e' soppresso.
Articolo 22 Un nuovo articolo 17 e' aggiunto dopo il nuovo articolo 16 della Convenzione come segue: "Articolo 17 - Forme di cooperazione" 1 Le autorita' di controllo cooperano tra loro nella misura necessaria all'adempimento delle loro funzioni e all'esercizio delle loro competenze, in particolare per: a fornire assistenza reciproca scambiando informazioni pertinenti e utili e cooperando tra loro a condizione che, per quanto riguarda la protezione dei dati personali, siano rispettate tutte le norme e le garanzie della presente convenzione; b coordinando le loro indagini o interventi, o conducendo azioni congiunte; c fornire informazioni e documentazione sulla loro legislazione e prassi amministrativa relativa alla protezione dei dati. 2 Le informazioni di cui al paragrafo 1 non comprendono i dati personali oggetto di trattamento, a meno che tali dati non siano essenziali per la cooperazione o qualora la persona interessata abbia fornito un consenso esplicito, specifico, libero e informato alla loro fornitura. 3 Al fine di organizzare la loro cooperazione e svolgere i compiti di cui ai paragrafi precedenti, le autorita' di controllo delle parti formano una rete.
Articolo 23 1 Il Titolo dell'articolo 14 della Convenzione (nuovo articolo 18) e' sostituito dal seguente: "Articolo 18 - Assistenza agli interessati". 2 Il testo dell'articolo 14 della Convenzione (nuovo articolo 18) e' sostituito dal seguente: "1 Ciascuna Parte assistera' qualsiasi interessato, indipendentemente dalla sua nazionalita' o residenza, nell'esercizio dei suoi diritti ai sensi dell'articolo 9 della presente Convenzione. 2 Quando una persona interessata risiede nel territorio di un'altra Parte, gli viene offerta la possibilita' di presentare la richiesta tramite l'autorita' di controllo designata da tale Parte. 3 La richiesta di assistenza deve contenere tutti gli elementi necessari, riguardanti tra l'altro: a il nome, l'indirizzo e ogni altro dato pertinente che identifica l'interessato che effettua la richiesta; b il trattamento cui si riferisce la richiesta, o il corrispondente titolare del trattamento c lo scopo della richiesta."
Articolo 24 1 Il Titolo dell'articolo 15 della Convenzione (nuovo articolo 19) e' sostituito dal seguente: "Articolo 19 - Misure di salvaguardia". 2 Il testo dell'articolo 15 della Convenzione (nuovo articolo 19) e' sostituito dal seguente: "1 Un'autorita' di controllo che ha ricevuto informazioni da un'altra autorita' di controllo, che accompagna una richiesta o in risposta alla propria richiesta, non utilizza tali informazioni per fini diversi da quelli specificati nella richiesta. 2 In nessun caso l'autorita' di controllo puo' essere autorizzata a presentare una richiesta per conto di un interessato in modo autonomo e senza l'espressa approvazione dell'interessato."
Articolo 25 1 Il Titolo dell'articolo 16 della Convenzione (nuovo articolo 20) e' sostituito dal seguente: "Articolo 20 - Rifiuto delle richieste". 2 Il considerando dell'articolo 16 della Convenzione (nuovo articolo 20) e' sostituito dal seguente: "Un'autorita' di controllo cui e' rivolta una richiesta ai sensi dell'articolo 17 della presente Convenzione non puo' rifiutare di rispettarla a meno che:" 3 La Lettera a dell'articolo 16 della Convenzione (nuovo articolo 20) e' sostituito dalla seguente: a "Una richiesta non e' compatibile con i suoi poteri". 4 La Lettera c dell'articolo 16 della Convenzione (nuovo articolo 20) e' sostituita dalla seguente: c "Il rispetto della richiesta sarebbe incompatibile con la sovranita', la sicurezza nazionale o l'ordine pubblico della Parte dalla quale e' stata designata, o con i diritti e le liberta' fondamentali delle persone soggette alla giurisdizione di tale Parte".
Articolo 26 1 Il Titolo dell'articolo 17 della Convenzione (nuovo articolo 21) e' sostituito dal seguente: "Articolo 21 - Costi e procedure". 2 Il paragrafo 1 dell'articolo 17 della Convenzione (nuovo articolo 21) e' sostituito dal seguente: "1 La cooperazione e l'assistenza reciproca che le Parti si prestano a norma dell'articolo 17 e l'assistenza che forniscono alle persone interessate ai sensi degli articoli 9 e 18 non danno luogo al pagamento di eventuali costi o commissioni diversi da quelli sostenuti per esperti e interpreti. Questi ultimi costi o onorari sono a carico della parte che presenta la richiesta." 3 I termini "suo o sua" sostituiscono "suo" al paragrafo 2 dell'articolo 17 della Convenzione (nuovo articolo 21 ).
Articolo 27 Il Titolo del Capo V della Convenzione (nuovo Capo VI) e' sostituito dal seguente: "Capo VI- Comitato della Convenzione".
Articolo 28 1 Il termine "Comitato consultivo" nel paragrafo 1 dell'articolo 18 della Convenzione (nuovo articolo 22) e' sostituito da "Comitato della Convenzione". 2 Il paragrafo 3 dell'articolo 18 della Convenzione (nuovo articolo 22) e' sostituito dal seguente: "3 Il Comitato della Convenzione puo', con una decisione presa a maggioranza dei due terzi dei rappresentanti delle parti, invitare un osservatore a farsi rappresentare nelle sue riunioni ." 3 Un nuovo paragrafo 4 e' aggiunto dopo il paragrafo 3 dell'articolo 18 della Convenzione (nuovo articolo 22): "4 Ciascuna Parte che non sia membro del Consiglio d'Europa contribuisce al finanziamento delle attivita' del Comitato della Convenzione secondo le modalita' stabilite dal Comitato dei Ministri di concerto con quella Parte."
Articolo 29 1 Il termine "Comitato consultivo" nel considerando dell'articolo 19 della Convenzione (nuovo articolo 23) e' sostituito dal termine "Comitato della convenzione". 2 Il termine "proposte" nella lettera a dell'articolo 19 della Convenzione (nuovo articolo 23) e' sostituito dal termine "raccomandazioni". 3 I riferimenti a "Articolo 21" nella lettera b e "Articolo 21 paragrafo 3" nella lettera c dell'articolo 19 della Convenzione (nuovo articolo 23) sono sostituiti rispettivamente con i riferimenti a "Articolo 25" e "Articolo 25, paragrafo 3". 4 L'articolo 19, lettera d), della Convenzione (nuovo articolo 23) e' sostituito dal seguente: "d puo' esprimere un'opinione su qualsiasi questione relativa all'interpretazione o all'applicazione della presente convenzione". 5 Le seguenti lettere sono aggiunte dopo la lettera d dell'articolo 19 della Convenzione (nuovo articolo 23): "e prepara, prima di ogni nuova adesione alla Convenzione, un parere per il Comitato dei Ministri relativo al livello di protezione dei dati personali del candidato all'adesione e, ove necessario, raccomanda misure da adottare per raggiungere l'osservanza delle disposizioni della presente Convenzione; f su richiesta di uno Stato o di un'organizzazione internazionale, puo' valutare se il livello di protezione dei dati personali che il primo fornisce e' conforme alle disposizioni della presente Convenzione e, ove necessario, raccomanda misure da adottare per raggiungere tale conformita'; g puo' sviluppare o approvare modelli di controlli di sicurezza standardizzati di cui all'articolo 14; h riesamina l'attuazione della presente Convenzione da parte delle parti e raccomanda le misure da adottare nel caso in cui una parte non sia conforme alla presente Convenzione; i facilita, ove necessario, la soluzione amichevole di tutte le difficolta' connesse all'applicazione della presente Convenzione."
Articolo 30 Il testo dell'articolo 20 della Convenzione (nuovo articolo 24) e' sostituito dal seguente: "1 Il Comitato della Convenzione sara' convocato dal Segretario Generale del Consiglio d'Europa. La sua prima riunione si' terra' entro dodici mesi dall'entrata in vigore della presente Convenzione. Successivamente si riunira' almeno una volta all'anno, e in ogni caso quando un terzo dei rappresentanti delle Parti ne richiede la convocazione. 2 Dopo ciascuna delle sue riunioni, il Comitato della Convenzione sottopone al Comitato dei Ministri del Consiglio d'Europa una relazione sui suoi lavori e sul funzionamento della presente Convenzione. 3 Le modalita' di voto nel Comitato della Convenzione sono contenute negli elementi per il regolamento interno allegato al Protocollo CETS No. [223]. 4 Il Comitato della Convenzione stabilisce gli altri elementi del suo regolamento interno e stabilisce, in particolare, le procedure di valutazione e revisione di cui all'articolo 4, paragrafo 3, e dell'articolo 23, lettere e, f e h, in base a criteri oggettivi."
Articolo 31 1 I paragrafi da 1 a 4 dell'articolo 21 della Convenzione (nuovo articolo 25) sono sostituiti dal seguente: "1 Gli emendamenti alla presente Convenzione possono essere proposti da una Parte, dal Comitato dei Ministri del Consiglio d'Europa o dal Comitato della Convenzione. 2 Qualsiasi proposta di modifica deve essere comunicata dal Segretario Generale del Consiglio d'Europa alle Parti della presente Convenzione, agli altri Stati membri del Consiglio d'Europa, all'Unione europea e a ogni Stato non membro o organizzazione internazionale che e' stato invitato ad aderire alla presente Convenzione conformemente alle disposizioni dell'articolo 27. 3 Inoltre, ogni emendamento proposto da una Parte o dal Comitato dei Ministri sara' comunicato al Comitato della Convenzione, che presentera' al Comitato dei Ministri il suo parere su tale emendamento proposto. 4 Il Comitato dei Ministri esamina la modifica proposta e ogni parere presentato dal Comitato della Convenzione e puo' approvare l'emendamento." 5 Un ulteriore paragrafo 7 e' aggiunto dopo il paragrafo 6 dell'articolo 21 della Convenzione (nuovo articolo 25) come segue: "7 Inoltre, il Comitato dei Ministri puo', dopo aver consultato il Comitato della Convenzione, decidere all'unanimita' che un particolare emendamento entri in vigore allo scadere di un periodo di tre anni dalla data in cui e' stato aperto all'accettazione, a meno che una Parte notifichi al Segretario Generale del Consiglio d'Europa un'obiezione alla sua entrata in vigore. Se tale opposizione e' notificata, l'emendamento entra in vigore il primo giorno del mese successivo alla data in cui la Parte della presente Convenzione che ha notificato l'obiezione ha depositato il suo strumento di accettazione presso il Segretario Generale del Consiglio d'Europa. ".
Articolo 32 1 Il paragrafo 1 dell'articolo 22 della Convenzione (nuovo articolo 26) e' sostituito dal seguente: "1 La presente Convenzione sara' aperta alla firma degli Stati membri del Consiglio d'Europa e dell'Unione europea. Essa e' soggetta a ratifica, accettazione o approvazione. Gli strumenti di ratifica, accettazione o approvazione saranno depositati presso il Segretario Generale del Consiglio d'Europa." 2 I termini "Stato membro" di cui al paragrafo 3 dell'articolo 22 della Convenzione (nuovo articolo 26) sono sostituiti da "Parte".
Articolo 33 Il Titolo e il testo dell'articolo 23 della Convenzione (nuovo articolo 27) sono sostituiti dai seguenti: "Articolo 27 - Adesione di Stati non membri o organizzazioni internazionali. 1 Dopo l'entrata in vigore della presente Convenzione, il Comitato dei Ministri del Consiglio d'Europa, previa consultazione delle Parti della presente Convenzione e ottenendo il loro consenso unanime, e alla luce del parere preparato dal Comitato della Convenzione in conformita' dell'articolo 23.e, puo' invitare uno Stato non membro del Consiglio d'Europa o un'organizzazione internazionale ad aderire alla presente Convenzione con una decisione presa alla maggioranza prevista dall'articolo 20.d dello Statuto del Consiglio d'Europa e con voto unanime dei rappresentanti degli Stati contraenti che hanno il diritto di sedere nel Comitato dei Ministri. 2 Per ogni Stato o organizzazione internazionale che aderisca alla presente Convenzione conformemente al paragrafo 1, la Convenzione entrera' in vigore il primo giorno del mese successivo allo scadere di un periodo di tre mesi dalla data di deposito dello strumento di adesione presso il Segretario Generale del Consiglio d'Europa."
Articolo 34 I paragrafi 1 e 2 dell'articolo 24 della Convenzione (nuovo articolo 28) sono sostituiti dai seguenti: "1 Ogni Stato, l'Unione europea o altra organizzazione internazionale puo', al momento della firma, del deposito del proprio strumento di ratifica, accettazione, approvazione o adesione, specificare il territorio o i territori ai quali si applica la presente Convenzione. 2 Qualsiasi Stato, l'Unione europea o altra organizzazione internazionale puo', in qualsiasi momento successivo, mediante una dichiarazione indirizzata al Segretario Generale del Consiglio d'Europa, estendere l'applicazione della presente Convenzione a qualsiasi altro territorio specificato nella dichiarazione. Per quanto riguarda tale territorio, la Convenzione entrera' in vigore il primo giorno del mese successivo allo scadere di un periodo di tre mesi dalla data di ricevimento di tale dichiarazione da parte del Segretario Generale."
Articolo 35 1 Il termine "Stato" nel considerando dell'articolo 27 della Convenzione (nuovo articolo 31) e' sostituito da "Parte". 2 I riferimenti agli "articoli 22, 23 e 24" nella lettera c sono sostituiti dai riferimenti agli "articoli 26, 27 e 28".
Articolo 36
Firma, ratifica e adesione
1 Il presente protocollo e' aperto alla firma degli Stati
contraenti della Convenzione. Sara' soggetto a ratifica, accettazione
o approvazione. Gli strumenti di ratifica, accettazione o
approvazione saranno depositati presso il Segretario Generale del
Consiglio d'Europa.
2 Dopo l'apertura alla firma del presente Protocollo e prima della
sua entrata in vigore, ogni altro Stato esprime il proprio consenso
ad essere vincolato dal presente Protocollo entro la data di
adesione. Non puo' diventare una Parte della Convenzione senza
aderire contemporaneamente a questo Protocollo.
Articolo 37
Entrata in vigore
1 Il presente Protocollo entra in vigore il primo giorno del mese
successivo allo scadere di un periodo di tre mesi dalla data in cui
tutte le parti della Convenzione hanno espresso il loro consenso ad
essere vincolate dal protocollo, conformemente alle disposizioni del
paragrafo 1 dell'articolo 36.
2 Nel caso in cui il presente Protocollo non sia entrato in vigore
a norma del paragrafo 1, allo scadere di un periodo di cinque anni
dalla data alla quale e' stato aperto per la firma, il Protocollo
entra in vigore nei confronti degli Stati che hanno espresso il loro
consenso ad esserne vincolati conformemente al paragrafo 1, a
condizione che il Protocollo contenga almeno trentotto parti. Tra le
parti del protocollo, tutte le disposizioni della Convenzione
modificata hanno effetto immediatamente all'entrata in vigore.
3 In attesa dell'entrata in vigore del presente Protocollo e fatte
salve le disposizioni relative all'entrata in vigore e l'adesione di
Stati non membri o di organizzazioni internazionali, una parte alla
Convenzione puo', al momento della firma del presente Protocollo o in
qualslasi momento successivo, dichiarare che applichera' le
disposizioni del presente Protocollo a titolo provvisorio. In tali
casi, le disposizioni del presente Protocollo si applicano solo alle
altre Parti della Convenzione che hanno fatto una dichiarazione con
lo stesso effetto. Tale dichiarazione avra' effetto dal primo giorno
del terzo mese successivo alla data di ricezione da parte del
Segretario Generale del Consiglio d'Europa.
4 A decorrere dalla data di entrata in vigore del presente
Protocollo, il Protocollo addizionale alla Convenzione per la
protezione delle persone rispetto al trattamento automatizzato di
dati personali, relativo alle autorita' di controllo e ai flussi di
dati transfrontalieri (STE n° 181) e' abrogato.
5 Dalla data di entrata in vigore del presente Protocollo, le
modifiche alla Convenzione per la protezione delle persone rispetto
al trattamento automatizzato di dati personali, approvate dal
Comitato dei Ministri, a Strasburgo, il 15 giugno 1999, hanno perso
il loro scopo.
Articolo 38
Dichiarazioni relative alla Convenzione
A decorrere dalla data di' entrata in vigore del presente
Protocollo, per quanto riguarda una Parte che abbia inserito una o
piu' dichiarazioni in applicazione dell'articolo 3 della Convenzione,
tale dichiarazione sara' decaduta.
Articolo 39
Riserve
Nessuna riserva puo' essere fatta alle disposizioni del presente
Protocollo.
Articolo 40
Notifiche
Il Segretario Generale del Consiglio d'Europa notifichera' agli
Stati membri del Consiglio d'Europa e ad ogni altra Parte della
Convenzione:
a una qualsiasi firma;
b il deposito di qualsiasi strumento di ratifica, accettazione,
approvazione o adesione;
c la data di entrata in vigore del presente Protocollo in
conformita' all'articolo 37;
d ogni altro atto, notifica o comunicazione relativa al presente
Protocollo.
In fede i sottoscritti, debitamente autorizzati a tal fine, hanno
firmato il presente Protocollo.
Fatto a Strasburgo, il 1° ottobre 2018, in inglese e in francese,
entrambi i testi facenti ugualmente fede, in una sola copia che sara'
depositata negli archivi del Consiglio d'Europa. Il Segretario
Generale del Consiglio d'Europa trasmettera' copie autenticate a
ciascuno Stato membro del Consiglio d'Europa, ad altre Parti della
Convenzione ed a qualsiasi Stato invitato ad aderire alla
Convenzione.
Appendice al Protocollo: Elementi per il regolamento interno del Comitato della Convenzione 1 Ciascuna Parte ha diritto di voto e dispone di un solo voto. 2 La maggioranza dei due terzi dei rappresentanti delle Parti costituisce il quorum necessario per la validita' delle riunioni del Comitato della Convenzione. Nel caso in cui il Protocollo di modifica della Convenzione entri in vigore in conformita' dell'articolo 37, paragrafo 2, prima della sua entrata in vigore nei confronti di tutti gli Stati contraenti della Convenzione, il quorum per le riunioni del Comitato della Convenzione non deve essere inferiore a 34 Parti del Protocollo. 3 Le decisioni di cui all'articolo 23 sono prese a maggioranza di quattro quinti. Le decisioni di cui all'articolo 23, lettera h, sono prese a maggioranza di quattro quinti, compresa la maggioranza dei voti degli Stati Parti non membri di un'organizzazione regionale di integrazione che e' parte della Convenzione. 4 Qualora il Comitato della Convenzione prenda decisioni ai sensi dell'articolo 23, lettera h, la Parte sottoposta all'esame non ha diritto di voto. Poiche' tale decisione riguarda una questione di competenza di un'organizzazione regionale di integrazione, ne' l'organizzazione ne' i suoi Stati membri voteranno. 5 Le decisioni sulle questioni procedurali sono prese a maggioranza semplice. 6 Le organizzazioni di integrazione regionale, in settori di loro competenza, possono esercitare il loro diritto di voto nel Comitato della Convenzione con un numero di voti pari al numero dei loro Stati membri che sono Parti della Convenzione. Tale organizzazione non esercitera' il proprio diritto di voto se uno dei suoi Stati membri esercita il proprio diritto. 7 In caso di votazione, tutte le Parti devono essere informate sullo scopo e sulla tempistica della votazione stessa, nonche' se la votazione sara' esercitata dalle Parti individualmente o da un'organizzazione regionale di integrazione per conto dei suoi Stati membri. 8 Il Comitato della Convenzione puo' successivamente modificare il regolamento interno con una maggioranza di' due terzi delle Parti, ad eccezione delle procedure di voto che possono essere modificate soltanto all'unanimita' e a cui si applica l'articolo 25 della Convenzione.