Allegato 1
Disciplina del trasferimento di dati personali tra le Istituzioni
competenti di cui all'art. 1 dell'Accordo tra la Repubblica
italiana e la Repubblica di Moldova in materia di sicurezza sociale
Considerati l'art. 46 (2) (a) del Regolamento (UE) 2016/679 del
Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla
protezione delle persone fisiche con riguardo al trattamento dei dati
personali nonche' alla libera circolazione di tali dati e che abroga
la Direttiva 95/46/CE (Regolamento Generale sulla Protezione dei
Dati) e l'art. 32 comma 7 della Legge n. 133/2011 della Repubblica di
Moldova in materia di protezione dei dati personali.
Ciascuna «Istituzione competente» di una Parte (in seguito
Istituzione), di cui all'art. 1 dell'Accordo tra la Repubblica
italiana e la Repubblica di Moldova in materia di sicurezza sociale
(in seguito Accordo), applichera' le garanzie specificate nelle
Clausole del presente allegato per il trasferimento di dati personali
ad una Istituzione competente dell'altra Parte. Tali garanzie sono
vincolanti per le Parti e prevalgono su eventuali obblighi
confliggenti esistenti nei rispettivi ordinamenti.
I. Definizioni
Ai fini delle presenti clausole s'intende per:
(a) «dati personali»: qualsiasi informazione riguardante una
persona fisica identificata o identificabile («Interessato») ai sensi
dell'Accordo. Si considera identificabile la persona fisica che puo'
essere identificata, direttamente o indirettamente, con particolare
riferimento a un identificativo come un nome, un numero
d'identificazione, dati relativi all'ubicazione, un identificativo in
rete o a uno o piu' elementi caratteristici della sua identita'
fisica, fisiologica, genetica, psichica, economica, culturale o
sociale.
(b) «dati particolari»: dati personali che rivelano l'origine
razziale o etnica, le opinioni politiche, le convinzioni religiose o
filosofiche, l'appartenenza sindacale, dati genetici o biometrici
intesi ad identificare in modo univoco una persona fisica, nonche'
dati relativi alla salute, alla vita sessuale o all'orientamento
sessuale della persona.
(c) «dati penali»: dati personali relativi a condanne penali e
reati o connesse misure di sicurezza.
(d) «dati comuni»: dati personali che non sono particolari
oppure penali.
(e) «trattamento»: qualsiasi operazione o insieme di operazioni
compiuti su dati personali, con o senza l'ausilio di processi
automatizzati, come la raccolta, la registrazione, l'organizzazione,
la strutturazione, la conservazione, l'adattamento o la modifica,
l'estrazione, la consultazione, l'uso, la comunicazione mediante
trasmissione, la diffusione o qualsiasi altra forma di messa a
disposizione, il raffronto o l'interconnessione, la limitazione, la
cancellazione o la distruzione.
(f) «trasferimento»: invio di dati personali da un'Istituzione
di una Parte ad un'Istituzione dell'altra Parte.
(g) «comunicazione ulteriore»: invio di dati personali da
un'Istituzione ricevente a un terzo dello stesso paese.
(h) «trasferimento ulteriore»: invio di dati personali da
un'Istituzione ricevente a un terzo in un Paese diverso dalle Parti.
(i) «profilazione»: qualsiasi trattamento automatizzato di dati
personali consistente nell'utilizzo di dati personali per valutare
determinati aspetti personali relativi a una persona fisica.
(j) «violazione di dati personali»: violazione di sicurezza che
comporta accidentalmente o in modo illecito la distruzione, la
perdita, la modifica, la divulgazione non autorizzata o l'accesso a
dati personali trasmessi, conservati o comunque trattati.
(k) «requisiti di legge applicabili»: il quadro normativo
vigente applicabile a ciascuna Istituzione, ivi compresa la normativa
sulla protezione dei dati personali.
(l) «segreto d'ufficio»: il generale obbligo di legge, vigente
per entrambe le Istituzioni, di non divulgare informazioni non
pubbliche ricevute in ragione dell'esercizio delle proprie funzioni
istituzionali.
(m) «diritti degli Interessati»:
i. «diritto a ricevere informazioni»: il diritto di un
Interessato a ricevere informazioni sul trattamento di dati personali
che lo riguardano in forma concisa, trasparente, intellegibile e
facilmente accessibile;
ii. «diritto di accesso»: il diritto di un Interessato di
ottenere la conferma che sia o meno in corso un trattamento di dati
personali che lo riguardano e, in tal caso, di ottenere l'accesso ai
propri dati personali ed alle caratteristiche del trattamento in
corso;
iii. «diritto di rettifica»: diritto di un Interessato di
ottenere la rettifica o l'integrazione dei dati personali inesatti
che lo riguardano, senza ingiustificato ritardo;
iv. «diritto di cancellazione»: il diritto di un Interessato
di ottenere la cancellazione dei propri dati personali quando questi
non sono piu' necessari rispetto alle finalita' per le quali sono
stati raccolti o altrimenti trattati, o quando i dati sono stati
raccolti o trattati illecitamente rispetto alle presenti Clausole ed
ai requisiti di legge applicabili;
v. «diritto di opposizione»: il diritto di un Interessato di
opporsi in qualsiasi momento, per motivi connessi alla sua situazione
particolare, al trattamento di dati personali che lo riguardano,
fatti salvi i casi in cui esistano motivi legittimi cogenti per il
trattamento che prevalgono sugli interessi avanzati dall'Interessato,
tra cui l'accertamento, l'esercizio o la difesa di un diritto in sede
giudiziaria;
vi. «diritto di limitazione del trattamento»: diritto di un
Interessato alla limitazione del trattamento dei propri dati
personali quando questi siano inesatti, il trattamento sia illecito,
un'Istituzione non necessiti piu' i dati personali rispetto alle
finalita' per le quali furono raccolti oppure l'Interessato sia in
attesa della valutazione di una sua richiesta di opposizione;
vii. «diritto di non essere sottoposto a decisioni
automatizzate, compresa la profilazione»: il diritto di un
Interessato a non essere sottoposto a una decisione basata unicamente
sul trattamento automatizzato, compresa la profilazione, che produca
effetti giuridici che lo riguardano o che incida in modo analogo
significativamente sulla sua persona.
II. Ambito di applicazione
Le presenti Clausole si applicano alle categorie di persone
fisiche citate all'art. 3 dell'Accordo con riferimento al trattamento
di tutti i dati personali necessari per assicurare le prestazioni
elencate all'art. 2 dello stesso Accordo.
III. Garanzie per la protezione dei dati personali
1. Limitazione delle finalita'
Le Istituzioni hanno come finalita' l'accertamento del diritto
alle prestazioni di sicurezza sociale cui all'art. 2 dell'Accordo e
l'erogazione di tali prestazioni. I dati personali saranno trasferiti
tra le Istituzioni al solo fine di perseguire tali finalita'. Le
Istituzioni non effettueranno comunicazioni o trasferimenti ulteriori
di dati personali per finalita' diverse da quelle sopra indicate,
avendo cura di acquisire garanzie appropriate affinche' i trattamenti
successivi siano limitati a tali finalita', tenuto conto di quanto
indicato al punto III.6.
2. Proporzionalita' e qualita' dei dati
L'Istituzione trasferente inviera' esclusivamente dati personali
adeguati, pertinenti e limitati a quanto necessario rispetto alle
finalita' per le quali sono trasferiti e successivamente trattati. Il
trasferimento dei dati particolari o penali e' ammesso solo se
risulta strettamente indispensabile per il perseguimento delle
finalita' dell'Accordo.
L'Istituzione trasferente assicurera' che, per quanto a sua
conoscenza, i dati personali che trasferisce sono esatti e, se
necessario, aggiornati. Qualora un'istituzione venga a conoscenza del
fatto che i dati personali che ha trasferito a un'altra Istituzione
sono inesatti, ne informera' l'Istituzione ricevente, che provvedera'
alle correzioni del caso.
3. Trasparenza
Ciascuna Istituzione fornira' un'informativa generale agli
Interessati su:
(a) identita' e dati di contatto del Titolare del trattamento
e, ove presente, del Responsabile della protezione dei dati;
(b) finalita', base giuridica e modalita' del trattamento dei
dati personali, ivi compreso il loro periodo di conservazione;
(c) i destinatari ai quali i suddetti dati possono essere
inviati come comunicazione o trasferimento ulteriore, avendo cura di
precisare le garanzie previste e le ragioni dell'invio;
(d) i diritti degli Interessati ai sensi delle presenti
Clausole e dei requisiti di legge applicabili, ivi incluse le
modalita' di esercizio di tali diritti;
(e) le informazioni su eventuali ritardi o restrizioni
applicabili con riguardo all'esercizio di tali diritti;
(f) i contatti per sollevare una controversia o far valere una
pretesa.
Ciascuna Istituzione diffondera' la suddetta informativa sul
proprio sito, unitamente all'Accordo. Una copia dell'informativa
sara' altresi' inserita nelle comunicazioni individuali agli
Interessati, cosi' come un rinvio al predetto sito.
4. Sicurezza e riservatezza
Ciascuna Istituzione mettera' in atto adeguate misure tecniche e
organizzative per proteggere i dati personali ricevuti da accessi
accidentali o illegali, distruzione, perdita, alterazione o
divulgazione non autorizzata. Le suddette misure includeranno
adeguate misure amministrative, tecniche e fisiche di sicurezza.
Queste misure dovranno comprendere la classificazione dei dati
personali in comuni, particolari e penali, la limitazione dei
soggetti ammessi ad accedere ai dati personali, l'archiviazione
sicura dei dati personali in funzione della loro tipologia e
l'adozione di politiche volte ad assicurare che i dati personali
siano mantenuti sicuri e riservati, anche ricorrendo a tecniche di
pseudonimizzazione o di cifratura. Per la gestione dei dati
particolari e penali dovranno essere adottate le misure di sicurezza
piu' rigorose, prevedendo, tra l'altro, accessi maggiormente
selettivi e la formazione specialistica degli addetti. Qualora
un'Istituzione ricevente venga a conoscenza di una violazione di dati
personali, ne informera' entro 48 ore l'Istituzione trasferente e
adottera' misure ragionevoli e appropriate per porvi rimedio e
minimizzarne i possibili effetti negativi per gli Interessati, ivi
inclusa la comunicazione ai predetti, senza ingiustificato ritardo,
dell'avvenuta violazione, qualora questa possa comportare un rischio
elevato per i loro diritti e le loro liberta'.
5. Modalita' per l'esercizio dei diritti
Ciascuna Istituzione adottera' misure appropriate affinche', su
richiesta di un Interessato, possa:
(1) confermare se tratta o meno dati personali che lo
riguardano e, in caso affermativo, dare accesso a tali dati, nonche'
fornire informazioni sul loro trattamento, ivi incluse informazioni
sulle finalita' del trattamento, le categorie di dati considerate,
l'origine ed i destinatari dei dati, il previsto periodo di
conservazione e le possibilita' di reclamo e ricorso;
(2) identificare tutti i dati personali del richiedente che ha
trasferito all'altra Istituzione ai sensi delle presenti Clausole;
(3) fornire informazioni generali, anche sul proprio sito, in
merito alle garanzie applicabili ai trasferimenti all'altra
Istituzione.
Ciascuna Istituzione dara' seguito in modo ragionevole e
tempestivo a una richiesta di un Interessato riguardante la
rettifica, la cancellazione, la limitazione del trattamento o
l'opposizione al trattamento dei propri dati personali oppure
l'esercizio del diritto a non essere sottoposto a decisioni
automatizzate. I recapiti di posta ordinaria o elettronica per
l'invio delle predette richieste dovranno essere indicati
nell'informativa generale agli Interessati, di cui al punto III.3.
sulla trasparenza. Un'Istituzione puo' adottare misure appropriate,
come addebitare un contributo spese ragionevole per coprire i costi
amministrativi della richiesta o rifiutare di darvi seguito, se
questa dovesse risultare manifestamente infondata o eccesiva.
Ciascuna Istituzione puo' ricorrere a procedure automatizzate per
perseguire piu' efficacemente le proprie finalita', a condizione di
illustrarne le ragioni e di fornire spiegazioni significative sulla
logica utilizzata. In tal caso, dovra' essere acquisito il previo ed
esplicito consenso degli Interessati oppure dovra' essere loro
riconosciuto il diritto a non essere sottoposti ad un processo
decisionale automatizzato. Ad ogni modo, gli Interessati hanno il
diritto di far correggere informazioni errate o incomplete sul
proprio conto e di chiedere la revisione di una decisione
automatizzata tramite un intervento umano.
I diritti degli Interessati possono essere limitati, in misura
necessaria e proporzionata in una societa' democratica, per
salvaguardare importanti obiettivi di interesse pubblico riconosciuti
dalle Parti nello spirito di reciprocita' proprio della cooperazione
internazionale. Rientrano in questo ambito la tutela dei diritti e
delle liberta' altrui, la sicurezza nazionale, la difesa, la
prevenzione, l'indagine, l'accertamento e il perseguimento di reati,
nonche' lo svolgimento di una funzione di controllo, ispezione o
regolamentazione connessa, anche occasionalmente, alle attivita'
esecutive e di vigilanza delle Istituzioni, operanti nell'esercizio
dei pubblici poteri di cui sono investite. Le predette limitazioni,
da disciplinare per legge, possono permanere solo finche' persiste la
ragione che le ha originate.
6. Comunicazione e trasferimento ulteriore di dati personali
6.1 Comunicazione ulteriore di dati personali
Un'Istituzione ricevente potra' procedere alla comunicazione
ulteriore di dati personali ad un terzo solo previa autorizzazione
scritta dell'Istituzione trasferente e purche' il terzo fornisca le
stesse garanzie previste dalle presenti Clausole. Nella richiesta di
autorizzazione scritta, l'Istituzione ricevente dovra' fornire
sufficienti informazioni sulla tipologia di dati che intende
comunicare, sul terzo ricevente, nonche' sulla base giuridica, le
ragioni e le finalita' della comunicazione.
Un'Istituzione ricevente potra' procedere, in via eccezionale,
alla comunicazione ulteriore di dati personali ad un terzo, senza la
previa autorizzazione dell'istituzione trasferente, solo se risulti
necessario per almeno uno dei seguenti motivi:
- tutela degli interessi vitali di un Interessato o di un'altra
persona fisica;
- accertamento, esercizio o difesa di un diritto in sede
amministrativa o giudiziaria;
- svolgimento di un'indagine o di un procedimento penale
strettamente connessi alle attivita' per le quali i dati personali
sono stati trasferiti.
Nei predetti casi, l'Istituzione ricevente informera' previamente
l'Istituzione trasferente della comunicazione ulteriore fornendo
elementi sui dati richiesti, l'organo richiedente e la pertinente
base giuridica. Qualora la previa informazione confligga con un
obbligo di confidenzialita', come nel caso di indagini in corso,
l'Istituzione ricevente dovra' informare l'Istituzione trasferente
dell'avvenuta comunicazione ulteriore non appena possibile. Nei
predetti casi, l'Istituzione trasferente dovra' tenere nota delle
notifiche in questione e comunicarle alla propria Autorita' di
controllo, di cui al punto III.8., su sua richiesta. L'Istituzione
ricevente si adoperera' affinche' sia contenuta la comunicazione
ulteriore, senza previa autorizzazione, di dati personali ricevuti ai
sensi delle presenti Clausole, in particolare facendo valere tutte le
esenzioni e le limitazioni applicabili.
6.2 Trasferimento ulteriore di dati personali
Un'Istituzione ricevente potra' procedere al trasferimento
ulteriore di dati personali ad un terzo unicamente previa
autorizzazione scritta dell'Istituzione trasferente e purche' il
terzo fornisca le stesse garanzie previste nelle predette Clausole.
Nella richiesta di autorizzazione scritta, l'Istituzione ricevente
dovra' fornire sufficienti informazioni sulla tipologia di dati che
intende comunicare, sul terzo ricevente, nonche' sulla base
giuridica, le ragioni e le finalita' del trasferimento ulteriore.
7. Durata di conservazione dei dati
Le Istituzioni conserveranno i dati personali per il tempo
previsto dai requisiti di legge applicabili, i quali dovranno
prevedere un arco temporale non superiore a quello necessario e
proporzionato in una societa' democratica per le finalita' per le
quali i dati sono trattati.
8. Tutela amministrativa e giudiziaria
Se un Interessato ritiene che un'Istituzione non abbia rispettato
le garanzie previste nelle presenti Clausole o che i suoi dati
personali siano stati oggetto di trattamento illecito, egli ha il
diritto di presentare un reclamo ad un'Autorita' di controllo
indipendente ed un ricorso dinanzi ad un'Autorita' giudiziaria, in
conformita' ai requisiti di legge applicabili nella giurisdizione in
cui e' stata compiuta la presunta violazione (1) . L'interessato ha,
altresi', il diritto al risarcimento degli eventuali danni subiti.
In caso di controversia o pretesa avanzati da un Interessato nei
confronti dell'Istituzione trasferente, dell'Istituzione ricevente o
di entrambe le Istituzioni con riguardo al trattamento dei dati
personali dell'Interessato, le Istituzioni si daranno reciproca
informazione di tali controversie o pretese e si adopereranno per
risolvere la controversia o la pretesa in via amichevole in modo
tempestivo.
Qualora un Interessato sollevi un rilievo e l'Istituzione
trasferente ritenga che l'Istituzione ricevente non abbia agito
compatibilmente con le garanzie previste nelle presenti Clausole,
l'Istituzione trasferente sospendera' il trasferimento di dati
personali all'Istituzione ricevente fino a quando non riterra' che
quest'ultima abbia risolto la problematica in modo soddisfacente.
L'Istituzione trasferente informera' sugli sviluppi della questione
l'Interessato e la propria Autorita' di controllo.
IV. Vigilanza
1. La vigilanza esterna sulla corretta applicazione delle
presenti Clausole e' assicurata dalle Autorita' di controllo
indipendenti menzionate al punto III.8.
2. Ciascuna Istituzione condurra' periodiche verifiche delle
proprie politiche e procedure in attuazione delle presenti Clausole e
della loro efficacia. A fronte di una ragionevole istanza da parte di
una Istituzione, l'Istituzione interpellata riesaminera' le proprie
politiche e procedure di trattamento dei dati personali per accertare
e confermare che le garanzie previste nelle presenti Clausole siano
state efficacemente attuate. Gli esiti del riesame saranno comunicati
all'Istituzione che ha chiesto il riesame.
3. Qualora un'Istituzione ricevente non sia in grado, per
qualunque motivo, di attuare efficacemente le garanzie previste nelle
presenti Clausole, ne informera' senza ritardo l'Istituzione
trasferente, nel qual caso questa sospendera' temporaneamente il
trasferimento di dati personali all'Istituzione ricevente fino a
quando quest'ultima non confermera' di essere nuovamente in grado di
agire compatibilmente con le predette garanzie. Al riguardo,
l'Istituzione ricevente e quella trasferente terranno informate le
rispettive Autorita' di controllo.
4. Qualora un'Istituzione trasferente ritenga che un'Istituzione
ricevente non abbia agito in modo compatibile con le garanzie
previste nelle presenti Clausole, l'Istituzione trasferente
sospendera' il trasferimento di dati personali all'Istituzione
ricevente fino a quando non riterra' che quest'ultima abbia risolto
la questione in modo soddisfacente. Al riguardo, l'Istituzione
trasferente terra' informata la propria Autorita' di controllo.
V. Revisione delle Clausole
1. Le Parti possono consultarsi per rivedere i termini delle
presenti Clausole in caso di cambiamenti sostanziali nei requisiti di
legge applicabili.
2. Tutti i dati personali gia' trasferiti ai sensi delle presenti
Clausole continueranno a essere trattati applicando le garanzie ivi
previste.
(1) In Italia l'Autorita' di controllo indipendente, ai sensi
dell'art. 77 dell'RGPD (UE) 2016/679, e' il Garante per la
protezione dei dati personali, la cui attivita' e' disciplinata
dagli artt. 140-bis e successivi del Codice in materia di
protezione dei dati personali (D.lgs. 196/2003 e ss.mm.ii.).
Sempre con riferimento all'Italia, l'Autorita' giudiziaria
competente, ai sensi dell'art. 79 dell'RGPD, e' l'Autorita'
giudiziaria ordinaria, come previsto dall'art. 152 del citato
Codice. Nella Repubblica di Moldova, il Centro Nazionale per la
Protezione dei Dati personali, ai sensi dell'art. 19 della Legge
n. 133/2011 sulla protezione dei dati personali, e' l'Organismo
di controllo per il trattamento dei dati personali, la cui
attivita' e' disciplinata dal Capitolo IV della predetta Legge.
Ai sensi dell'art. 18 della Legge n. 133/2011 sulla protezione
dei dati personali, ogni persona che ritiene di aver subito un
danno derivato dal un trattamento illecito dei dati personali o i
cui diritti e interessi garantiti dalla presente legge siano
stati violati, ha il diritto di rivolgersi ad un'Autorita'
giudiziaria per richiedere il risarcimento degli eventuali danni
materiali e morali subiti.