Indice

Disciplina del trasferimento di dati personali tra le Istituzioni competenti di cui all'art. 1 dell'Accordo tra la Repubblica Italiana e la Repubblica di Moldova in materia di sicurezza sociale

Considerati l'art. 46 (2) (a) del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonche' alla libera circolazione di tali dati e che abroga la Direttiva 95/46/CE (Regolamento Generale sulla Protezione dei Dati) e l' art. 32 comma 7 della Legge n. 133/2011  della Repubblica di Moldova in materia di protezione dei dati personali.

Ciascuna «Istituzione competente» di una Parte (in seguito Istituzione), di cui all'art. 1 dell'Accordo tra la Repubblica Italiana e la Repubblica di Moldova in materia di sicurezza sociale (in seguito Accordo), applichera' le garanzie specificate nelle Clausole del presente allegato per il trasferimento di dati personali ad una Istituzione competente dell'altra Parte. Tali garanzie sono vincolanti per le Parti e prevalgono su eventuali obblighi confliggenti esistenti nei rispettivi ordinamenti.

I. Definizioni Ai fini delle presenti clausole s'intende per:

(a) «dati personali»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («Interessato») ai sensi dell'Accordo. Si considera identificabile la persona fisica che puo' essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come un nome, un numero d'identificazione, dati relativi all'ubicazione, un identificativo in rete o a uno o piu' elementi caratteristici della sua identita' fisica, fisiologica, genetica, psichica, economica, culturale o sociale.

(b) «dati particolari»: dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, dati genetici o biometrici intesi ad identificare in modo univoco una persona fisica, nonche' dati relativi alla salute, alla vita sessuale o all'orientamento sessuale della persona.

(c) «dati penali»: dati personali relativi a condanne penali e reati o connesse misure di sicurezza.

(d) «dati comuni»: dati personali che non sono particolari oppure penali.

(e) «trattamento»: qualsiasi operazione o insieme di operazioni compiuti su dati personali, con o senza l'ausilio di processi automatizzati, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, la diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione.

(f) «trasferimento»: invio di dati personali da un'Istituzione di una Parte ad un'Istituzione dell'altra Parte.

(g) «comunicazione ulteriore»: invio di dati personali da un'Istituzione ricevente a un terzo dello stesso paese.

(h) «trasferimento ulteriore»: invio di dati personali da un'istituzione ricevente a un terzo in un paese diverso dalle Parti.

(i) «profilazione»: qualsiasi trattamento automatizzato di dati personali consistente nell'utilizzo di dati personali per valutare determinati aspetti personali relativi a una persona fisica.

(j) «violazione di dati personali»: violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali trasmessi, conservati o comunque trattati.

(k) «requisiti di legge applicabili»: il quadro normativo vigente applicabile a ciascuna Istituzione, ivi compresa la normativa sulla protezione dei dati personali.

(i) «segreto d'ufficio»: il generale obbligo di legge, vigente per entrambe le Istituzioni, di non divulgare informazioni non pubbliche ricevute in ragione dell'esercizio delle proprie funzioni istituzionali.

(m) «diritti degli Interessati»:

i. «diritto a ricevere informazioni»: il diritto di un Interessato a ricevere informazioni sul trattamento di dati personali che lo riguardano in forma concisa, trasparente, intellegibile e facilmente accessibile;

ii. «diritto di accesso»: il diritto di un Interessato di ottenere la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso ai propri dati personali ed alle caratteristiche del trattamento in corso;

iii. «diritto di rettifica»: diritto di un Interessato di ottenere la rettifica o l'integrazione dei dati personali inesatti che lo riguardano, senza ingiustificato ritardo;

iv. «diritto di cancellazione»: il diritto di un interessato di ottenere la cancellazione dei propri dati personali quando questi non sono piu' necessari rispetto alle finalita' per le quali sono stati raccolti o altrimenti trattati, o quando i dati sono stati raccolti o trattati illecitamente rispetto alle presenti Clausole ed ai requisiti di legge applicabili;

v. «diritto di opposizione»: il diritto di un Interessato di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento di dati personali che lo riguardano, fatti salvi i casi in cui esistano motivi legittimi cogenti per il trattamento che prevalgono sugli interessi avanzati dall'Interessato, tra cui l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;

vi. «diritto di limitazione del trattamento»: diritto di un Interessato alla limitazione del trattamento dei propri dati personali quando questi siano inesatti, il trattamento sia illecito, un'Istituzione non necessiti piu' i dati personali rispetto alle finalita' per le quali furono raccolti oppure l'Interessato sia in attesa della valutazione di una sua richiesta di opposizione;

vii. «diritto di non essere sottoposto a decisioni automatizzate, compresa la profilazione»: il diritto di un Interessato a non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

II. Ambito di applicazione Le presenti Clausole si applicano alle categorie di persone fisiche citate all'art. 3 dell'Accordo con riferimento al trattamento di tutti i dati personali necessari per assicurare le prestazioni elencate all'art. 2 dello stesso Accordo.

III. Garanzie per la protezione dei dati personali 1. Limitazione delle finalita' Le Istituzioni hanno come finalita' l'accertamento del diritto alle prestazioni di sicurezza sociale cui all'art. 2 dell'Accordo e l'erogazione di tali prestazioni. I dati personali saranno trasferiti tra le Istituzioni al solo fine di perseguire tali finalita'. Le Istituzioni non effettueranno comunicazioni o trasferimenti ulteriori di dati personali per finalita' diverse da quelle sopra indicate, avendo cura di acquisire garanzie appropriate affinche' i trattamenti successivi siano limitati a tali finalita', tenuto conto di quanto indicato al punto III.6.

2. Proporzionalita' e qualita' dei dati L'Istituzione trasferente inviera' esclusivamente dati personali adeguati, pertinenti e limitati a quanto necessario rispetto alle finalita' per le quali sono trasferiti e successivamente trattati. Il trasferimento dei dati particolari o penali e' ammesso solo se risulta strettamente indispensabile per il perseguimento delle finalita' dell'Accordo.

L'Istituzione trasferente assicurera' che, per quanto a sua conoscenza, i dati personali che trasferisce sono esatti e, se necessario, aggiornati. Qualora un'Istituzione venga a conoscenza del fatto che i dati personali che ha trasferito a un'altra Istituzione sono inesatti, ne informera' l'Istituzione ricevente, che provvedera' alle correzioni del caso.

3. Trasparenza Ciascuna Istituzione fornira' un'informativa generale agli Interessati su:

(a) identita' e dati di contatto del Titolare del trattamento e, ove presente, del Responsabile della protezione dei dati;

(b) finalita', base giuridica e modalita' del trattamento dei dati personali, ivi compreso il loro periodo di conservazione;

(c) i destinatari ai quali i suddetti dati possono essere inviati come comunicazione o trasferimento ulteriore, avendo cura di precisare le garanzie previste e le ragioni dell'invio;

(d) i diritti degli Interessati ai sensi delle presenti Clausole e dei requisiti di legge applicabili, ivi incluse le modalita' di esercizio di tali diritti;

(e) le informazioni su eventuali ritardi o restrizioni applicabili con riguardo all'esercizio di tali diritti;

(f) i contatti per sollevare una controversia o far valere una pretesa.

Ciascuna Istituzione diffondera' la suddetta informativa sul proprio sito, unitamente all'Accordo. Una copia dell'informativa sara' altresi' inserita nelle comunicazioni individuali agli Interessati, cosi' come un rinvio al predetto sito.

4. Sicurezza e riservatezza Ciascuna Istituzione mettera' in atto adeguate misure tecniche e organizzative per proteggere i dati personali ricevuti da accessi accidentali o illegali, distruzione, perdita, alterazione o divulgazione non autorizzata. Le suddette misure includeranno adeguate misure amministrative, tecniche e fisiche di sicurezza.

Queste misure dovranno comprendere la classificazione dei dati personali in comuni, particolari e penali, la limitazione dei soggetti ammessi ad accedere ai dati personali, l'archiviazione sicura dei dati personali in funzione della loro tipologia e l'adozione di politiche volte ad assicurare che i dati personali siano mantenuti sicuri e riservati, anche ricorrendo a tecniche di pseudonimizzazione o di cifratura. Per la gestione dei dati particolari e penali dovranno essere adottate le misure di sicurezza piu' rigorose, prevedendo, tra l'altro, accessi maggiormente selettivi e la formazione specialistica degli addetti.

Qualora un'istituzione ricevente venga a conoscenza di una violazione di dati personali, ne informera' entro 48 ore l'Istituzione trasferente e adottera' misure ragionevoli e appropriate per porvi rimedio e minimizzarne i possibili effetti negativi per gli Interessati, ivi inclusa la comunicazione ai predetti, senza ingiustificato ritardo, dell'avvenuta violazione, qualora questa possa comportare un rischio elevato per i loro diritti e le loro liberta'.

5. Modalita' per l'esercizio dei diritti Ciascuna Istituzione adottera' misure appropriate affinche', su richiesta di un Interessato, possa:

(1) confermare se tratta o meno dati personali che lo riguardano e, in caso affermativo, dare accesso a tali dati, nonche' fornire informazioni sul loro trattamento, ivi incluse informazioni sulle finalita' del trattamento, le categorie di dati considerate, l'origine ed i destinatari dei dati, il previsto periodo di conservazione e le possibilita' di reclamo e ricorso;

(2) identificare tutti i dati personali del richiedente che ha trasferito all'altra Istituzione ai sensi delle presenti Clausole;

(3) fornire informazioni generali, anche sul proprio sito, in merito alle garanzie applicabili ai trasferimenti all'altra Istituzione.

Ciascuna Istituzione dara' seguito in modo ragionevole e tempestivo a una richiesta di un Interessato riguardante la rettifica, la cancellazione, la limitazione del trattamento o l'opposizione al trattamento dei propri dati personali oppure l'esercizio del diritto a non essere sottoposto a decisioni automatizzate. I recapiti di posta ordinaria o elettronica per l'invio delle predette richieste dovranno essere indicati nell'informativa generale agli Interessati, di cui al punto III.3.

sulla trasparenza. Un'Istituzione puo' adottare misure appropriate, come addebitare un contributo spese ragionevole per coprire i costi amministrativi della richiesta o rifiutare di darvi seguito, se questa dovesse risultare manifestamente infondata o eccesiva.

Ciascuna Istituzione puo' ricorrere a procedure automatizzate per perseguire piu' efficacemente le proprie finalita', a condizione di illustrarne le ragioni e di fornire spiegazioni significative sulla logica utilizzata. In tal caso, dovra' essere acquisito il previo ed esplicito consenso degli Interessati oppure dovra' essere loro riconosciuto il diritto a non essere sottoposti ad un processo decisionale automatizzato. Ad ogni modo, gli Interessati hanno il diritto di far correggere informazioni errate o incomplete sul proprio conto e di chiedere la revisione di una decisione automatizzata tramite un intervento umano.

I diritti degli Interessati possono essere limitati, in misura necessaria e proporzionata in una societa' democratica, per salvaguardare importanti obiettivi di interesse pubblico riconosciuti dalle Parti nello spirito di reciprocita' proprio della cooperazione internazionale. Rientrano in questo ambito la tutela dei diritti e delle liberta' altrui, la sicurezza nazionale, la difesa, la prevenzione, l'indagine, l'accertamento e il perseguimento di reati, nonche' lo svolgimento di una funzione di controllo, ispezione o regolamentazione connessa, anche occasionalmente, alle attivita' esecutive e di vigilanza delle Istituzioni, operanti nell'esercizio dei pubblici poteri di cui sono investite. Le predette limitazioni, da disciplinare per legge, possono permanere solo finche' persiste la ragione che le ha originate.

6. Comunicazione e trasferimento ulteriore di dati personali 6.1 Comunicazione ulteriore di dati personali Un'Istituzione ricevente potra' procedere alla comunicazione ulteriore di dati personali ad un terzo solo previa autorizzazione scritta dell'Istituzione trasferente e purche' il terzo fornisca le stesse garanzie previste dalle presenti Clausole. Nella richiesta di autorizzazione scritta, l'Istituzione ricevente dovra' fornire sufficienti informazioni sulla tipologia di dati che intende comunicare, sul terzo ricevente, nonche' sulla base giuridica, le ragioni e le finalita' della comunicazione.

Un'Istituzione ricevente potra' procedere, in via eccezionale, alla comunicazione ulteriore di dati personali ad un terzo, senza la previa autorizzazione dell'Istituzione trasferente, solo se risulti necessario per almeno uno dei seguenti motivi:

tutela degli interessi vitali di un Interessato o di un'altra persona fisica;

accertamento, esercizio o difesa di un diritto in sede amministrativa o giudiziaria;

svolgimento di un'indagine o di un procedimento penale strettamente connessi alle attivita' per le quali i dati personali sono stati trasferiti.

Nei predetti casi, l'Istituzione ricevente informera' previamente l'Istituzione trasferente della comunicazione ulteriore fornendo elementi sui dati richiesti, l'organo richiedente e la pertinente base giuridica. Qualora la previa informazione confligga con un obbligo di confidenzialita', come nel caso di indagini in corso, l'istituzione ricevente dovra' informare l'Istituzione trasferente dell'avvenuta comunicazione ulteriore non appena possibile. Nei predetti casi, l'Istituzione trasferente dovra' tenere nota delle notifiche in questione e comunicarle alla propria Autorita' di controllo, di cui al punto III.8., su sua richiesta. L'Istituzione ricevente si adoperera' affinche' sia contenuta la comunicazione ulteriore, senza previa autorizzazione, di dati personali ricevuti ai sensi delle presenti Clausole, in particolare facendo valere tutte le esenzioni e le limitazioni applicabili.

6.2 Trasferimento ulteriore di dati personali Un'Istituzione ricevente potra' procedere al trasferimento ulteriore di dati personali ad un terzo unicamente previa autorizzazione scritta dell'Istituzione trasferente e purche' il terzo fornisca le stesse garanzie previste nelle predette Clausole.

Nella richiesta di autorizzazione scritta, l'Istituzione ricevente dovra' fornire sufficienti informazioni sulla tipologia di dati che intende comunicare, sul terzo ricevente, nonche' sulla base giuridica, le ragioni e le finalita' del trasferimento ulteriore.

7. Durata di conservazione dei dati Le Istituzioni conserveranno i dati personali per il tempo previsto dai requisiti di legge applicabili, i quali dovranno prevedere un arco temporale non superiore a quello necessario e proporzionato in una societa' democratica per le finalita' per le quali i dati sono trattati.

8. Tutela amministrativa e giudiziaria Se un Interessato ritiene che un'Istituzione non abbia rispettato le garanzie previste nelle presenti Clausole o che i suoi dati personali siano stati oggetto di trattamento illecito, egli ha il diritto di presentare un reclamo ad un'Autorita' di controllo indipendente ed un ricorso dinanzi ad un'Autorita' giudiziaria, in conformita' ai requisiti di legge applicabili nella giurisdizione in cui e' stata compiuta la presunta violazione (1) . L'interessato ha, altresi', il diritto al risarcimento degli eventuali danni subiti.

In caso di controversia o pretesa avanzati da un Interessato nei confronti dell'Istituzione trasferente, dell'Istituzione ricevente o di entrambe le Istituzioni con riguardo al trattamento dei dati personali dell'Interessato, le Istituzioni si daranno reciproca informazione di tali controversie o pretese e si adopereranno per risolvere la controversia o la pretesa in via amichevole in modo tempestivo.

Qualora un Interessato sollevi un rilievo e l'Istituzione trasferente ritenga che l'Istituzione ricevente non abbia agito compatibilmente con le garanzie previste nelle presenti Clausole, l'Istituzione trasferente sospendera' il trasferimento di dati personali all'istituzione ricevente fino a quando non riterra' che quest'ultima abbia risolto la problematica in modo soddisfacente.

L'Istituzione trasferente informera' sugli sviluppi della questione l'Interessato e la propria Autorita' di controllo.

IV. Vigilanza 1. La vigilanza esterna sulla corretta applicazione delle presenti Clausole e' assicurata dalle Autorita' di controllo indipendenti menzionate al punto III.8.

2. Ciascuna Istituzione condurra' periodiche verifiche delle proprie politiche e procedure in attuazione delle presenti Clausole e della loro efficacia. A fronte di una ragionevole istanza da parte di una Istituzione, l'Istituzione interpellata riesaminera' le proprie politiche e procedure di trattamento dei dati personali per accertare e confermare che le garanzie previste nelle presenti Clausole siano state efficacemente attuate. Gli esiti del riesame saranno comunicati all'Istituzione che ha chiesto il riesame.

3. Qualora un'Istituzione ricevente non sia in grado, per qualunque motivo, di attuare efficacemente le garanzie previste nelle presenti Clausole, ne informera' senza ritardo l'Istituzione trasferente, nel qual caso questa sospendera' temporaneamente il trasferimento di dati personali all'Istituzione ricevente fino a quando quest'ultima non confermera' di essere nuovamente in grado di agire compatibilmente con le predette garanzie. Al riguardo, l'Istituzione ricevente e quella trasferente terranno informate le rispettive Autorita' di controllo.

4. Qualora un'Istituzione trasferente ritenga che un'Istituzione ricevente non abbia agito in modo compatibile con le garanzie previste nelle presenti Clausole, l'Istituzione trasferente sospendera' il trasferimento di dati personali all'Istituzione ricevente fino a quando non riterra' che quest'ultima abbia risolto la questione in modo soddisfacente. Al riguardo, l'Istituzione trasferente terra' informata la propria Autorita' di controllo.

V. Revisione delle Clausole 1. Le Parti possono consultarsi per rivedere i termini delle presenti Clausole in caso di cambiamenti sostanziali nei requisiti di legge applicabili.

2. Tutti i dati personali gia' trasferiti ai sensi delle presenti Clausole continueranno a essere trattati applicando le garanzie ivi previste.

(1) In Italia l'Autorita' di controllo indipendente, ai sensi dell'art. 77 dell'RGPD (UE) 2016/679, e' il Garante per la protezione dei dati personali, la cui attivita' e' disciplinata dagli artt. 140-bis e successivi del Codice in materia di protezione dei dati personali ( D.lgs. 196/2003  e ss.mm.ii.).

Sempre con riferimento all'Italia, l'Autorita' giudiziaria competente, ai sensi dell'art. 79 dell'RGPD, e' l'Autorita' giudiziaria ordinaria, come previsto dall'art. 152 del citato Codice. Nella Repubblica di Moldova, il Centro Nazionale per la Protezione dei Dati personali, ai sensi dell' art. 19 della Legge n. 133/2011  sulla protezione dei dati personali, e' l'Organismo di controllo per il trattamento dei dati personali, la cui attivita' e' disciplinata dal Capitolo IV della predetta Legge.

Ai sensi dell' art. 18 della Legge n. 133/2011  sulla protezione dei dati personali, ogni persona che ritiene di aver subito un danno derivato da un trattamento illecito dei dati personali o i cui diritti e interessi garantiti dalla presente legge siano stati violati, ha il diritto di rivolgersi ad un'Autorita' giudiziaria per richiedere il risarcimento degli eventuali danni materiali e morali subiti.