CAPO V Trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali

Articolo 35

Principi generali per il trasferimento di dati personali

1.  Gli Stati membri dispongono che qualunque trasferimento, a cura delle autorità competenti, di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un'organizzazione internazionale, compresi trasferimenti successivi verso un altro paese terzo o un'altra organizzazione internazionale, abbia luogo, fatta salva la conformità alle disposizioni nazionali adottate a norma delle altre disposizioni della presente direttiva, soltanto se sono soddisfatte le condizioni di cui al presente capo, vale a dire:

2.  Gli Stati membri dispongono che i trasferimenti senza l'autorizzazione preventiva di un altro Stato membro conformemente al paragrafo 1, lettera c), siano consentiti soltanto se il trasferimento di dati personali è necessario per prevenire una minaccia grave e immediata alla sicurezza pubblica di uno Stato membro o di un paese terzo o agli interessi vitali di uno Stato membro e l'autorizzazione preliminare non può essere ottenuta tempestivamente. L'autorità competente a rilasciare l'autorizzazione preliminare è informata senza indugio.

3.  Tutte le disposizioni del presente capo sono applicate al fine di assicurare che il livello di protezione delle persone fisiche assicurato dalla presente direttiva non sia pregiudicato.

Articolo 36

Trasferimento sulla base di una decisione di adeguatezza

1.  Gli Stati membri dispongono che il trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale sia ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all'interno del paese terzo, o l'organizzazione internazionale in questione garantiscano un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche.

2.  Nel valutare l'adeguatezza del livello di protezione la Commissione prende in considerazione in particolare i seguenti elementi:

3.  La Commissione, previa valutazione dell'adeguatezza del livello di protezione, può decidere, mediante un atto di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale garantiscono un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo. L'atto di esecuzione prevede un meccanismo di riesame periodico, almeno ogni quattro anni, che tenga conto di tutti gli sviluppi pertinenti nel paese terzo o nell'organizzazione internazionale. L'atto di esecuzione specifica il proprio ambito di applicazione geografico e settoriale e, se del caso, identifica la o le autorità di controllo di cui al paragrafo 2, lettera b), del presente articolo. L'atto di esecuzione è adottato secondo la procedura d'esame di cui all'articolo 58, paragrafo 2.

4.  La Commissione controlla su base continuativa gli sviluppi nei paesi terzi e nelle organizzazioni internazionali che potrebbero incidere sul funzionamento delle decisioni adottate a norma del paragrafo 3.

5.  Se risulta dalle informazioni disponibili, in particolare in seguito al riesame di cui al paragrafo 3 del presente articolo, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale non garantiscono più un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, la Commissione revoca, modifica o sospende nella misura necessaria la decisione di cui al paragrafo 3 del presente articolo mediante atti di esecuzione senza effetto retroattivo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 58, paragrafo 2.

Per imperativi motivi di urgenza debitamente giustificati, la Commissione adotta atti di esecuzione immediatamente applicabili secondo la procedura di cui all'articolo 58, paragrafo 3.

6.  La Commissione avvia consultazioni con il paese terzo o l'organizzazione internazionale per porre rimedio alla situazione che ha motivato la decisione di cui al paragrafo 5.

7.  Gli Stati membri dispongono che una decisione ai sensi del paragrafo 5 lasci impregiudicato il trasferimento di dati personali verso il paese terzo, il territorio o uno o più settori specifici all'interno del paese terzo, o verso l'organizzazione internazionale in questione, a norma degli articoli 37 e 38.

8.  La Commissione pubblica nella Gazzetta ufficiale dell'Unione europea e sul suo sito web l'elenco dei paesi terzi, dei territori e settori specifici all'interno di un paese terzo, e delle organizzazioni internazionali per i quali ha deciso che è o non è più garantito un livello di protezione adeguato.

Articolo 37

Trasferimenti soggetti a garanzie adeguate

1.  In mancanza di una decisione ai sensi dell'articolo 36, paragrafo 3, gli Stati membri dispongono che sia ammesso un trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale se:

2.  Il titolare del trattamento informa l'autorità di controllo in merito alle categorie di trasferimenti di cui al paragrafo 1, lettera b).

3.  Qualora sia basato sul paragrafo 1, lettera b), un tale trasferimento deve essere documentato e, su richiesta, la documentazione deve essere messa a disposizione dell'autorità di controllo con l'indicazione della data e dell'ora del trasferimento, delle informazioni sull'autorità competente ricevente, della motivazione del trasferimento e dei dati personali trasferiti.

Articolo 38

Deroghe in specifiche situazioni

1.  In mancanza di una decisione di adeguatezza ai sensi dell'articolo 36 o di garanzie adeguate ai sensi dell'articolo 37, gli Stati membri provvedono affinché un trasferimento o una categoria di trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale possano aver luogo soltanto a condizione che il trasferimento sia necessario:

2.  I dati personali non sono trasferiti se l'autorità competente che opera il trasferimento determina che i diritti e le libertà fondamentali dell'interessato prevalgono sull'interesse pubblico al trasferimento di cui al paragrafo 1, lettere d) ed e).

3.  Qualora sia basato sul paragrafo 1, un tale trasferimento deve essere documentato e, su richiesta, la documentazione deve essere messa a disposizione dell'autorità di controllo con l'indicazione della data e dell'ora del trasferimento, delle informazioni sull'autorità competente ricevente, della motivazione del trasferimento e dei dati personali trasferiti.

Articolo 39

Trasferimenti di dati personali a destinatari stabiliti in paesi terzi

1.  In deroga all'articolo 35, paragrafo 1, lettera b), e fatti salvi eventuali accordi internazionali di cui al paragrafo 2 del presente articolo, il diritto dell'Unione o dello Stato membro può disporre che le autorità competenti di cui all'articolo 3, punto 7), lettera a), possano, in casi singoli e specifici, trasferire dati personali direttamente a destinatari stabiliti in paesi terzi soltanto se le altre disposizioni della presente direttiva sono rispettate e se sono soddisfatte tutte le seguenti condizioni:

2.  Per accordo internazionale di cui al paragrafo 1 si intende qualsiasi accordo internazionale bilaterale o multilaterale in vigore tra gli Stati membri e paesi terzi nel settore della cooperazione giudiziaria in materia penale e della cooperazione di polizia.

3.  L'autorità competente del trasferimento informa l'autorità di controllo in merito ai trasferimenti a norma del presente articolo.

4.  Qualora sia basato sul paragrafo 1, un tale trasferimento è documentato.

Articolo 40

Cooperazione internazionale per la protezione dei dati personali

In relazione ai paesi terzi e alle organizzazioni internazionali, la Commissione e gli Stati membri adottano misure appropriate per: