# Fonte: Reg. UE 2016/679 (GDPR) - Testo italiano Garante Privacy **ID fonte**: `gdpr-it-garante-2018` **SHA256**: `16c0bb358414707b194678bdf80d7e4ba721a0d9cb0e76965569257b75be3e58` **URL pagina**: https://www.garanteprivacy.it/garante/document?ID=6264597 **URL download**: https://www.garanteprivacy.it/documents/10160/0/Regolamento+UE+2016+679.+Arricchito+con+riferimenti+ai+Considerando+Aggiornato+alle+rettifiche+pubblicate+sulla+Gazzetta+Ufficiale++dell%27Unione+europea+127+del+23+maggio+2018.pdf/1bd9bde0-d074-4ca8-b37d-82a3478fd5d3?version=1.9 **Data consultazione**: 2026-05-10 **Licenza**: testo regolamentare UE in pubblico dominio. Questo file riporta la trascrizione fedele degli articoli rilevanti per la skill, estratti dal PDF verificato tramite SHA256. I numeri di pagina si riferiscono al PDF del Garante (112 pagine totali, contando i form feed nell'output pdftotext). --- ## Articolo 30 - Registri delle attivita' di trattamento (C82) *Pagina 66 del PDF* 1. Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attivita' di trattamento svolte sotto la propria responsabilita'. Tale registro contiene tutte le seguenti informazioni: a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati; b) le finalita' del trattamento; c) una descrizione delle categorie di interessati e delle categorie di dati personali; d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali; e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate; f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati; g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1. 2. Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attivita' relative al trattamento svolte per conto di un titolare del trattamento, contenente: a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati; b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento; c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate; d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1. 3. I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico. 4. Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell'autorita' di controllo. 5. Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le liberta' dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10. --- ## Articolo 35 - Valutazione d'impatto sulla protezione dei dati (C84, C89-C93, C95) *Pagina 70 del PDF* 1. Quando un tipo di trattamento, allorche' prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'oggetto, il contesto e le finalita' del trattamento, puo' presentare un rischio elevato per i diritti e le liberta' delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali. Una singola valutazione puo' esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi. 2. Il titolare del trattamento, allorquando svolge una valutazione d'impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati, qualora ne sia designato uno. 3. La valutazione d'impatto sulla protezione dei dati di cui al paragrafo 1 e' richiesta in particolare nei casi seguenti: a) una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche; b) il trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, o di dati relativi a condanne penali e a reati di cui all'articolo 10; o c) la sorveglianza sistematica su larga scala di una zona accessibile al pubblico. 4. L'autorita' di controllo redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d'impatto sulla protezione dei dati ai sensi del paragrafo 1. L'autorita' di controllo comunica tali elenchi al comitato di cui all'articolo 68. 5. L'autorita' di controllo puo' inoltre redigere e rendere pubblico un elenco delle tipologie di trattamenti per le quali non e' richiesta una valutazione d'impatto sulla protezione dei dati. L'autorita' di controllo comunica tali elenchi al comitato. 6. Prima di adottare gli elenchi di cui ai paragrafi 4 e 5, l'autorita' di controllo competente applica il meccanismo di coerenza di cui all'articolo 63 se tali elenchi comprendono attivita' di trattamento finalizzate all'offerta di beni o servizi a interessati o al monitoraggio del loro comportamento in piu' Stati membri, o attivita' di trattamento che possono incidere significativamente sulla libera circolazione dei dati personali all'interno dell'Unione. 7. La valutazione contiene almeno: a) una descrizione sistematica dei trattamenti previsti e delle finalita' del trattamento, compreso, ove applicabile, l'interesse legittimo perseguito dal titolare del trattamento; b) una valutazione della necessita' e proporzionalita' dei trattamenti in relazione alle finalita'; c) una valutazione dei rischi per i diritti e le liberta' degli interessati di cui al paragrafo 1; e d) le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali e dimostrare la conformita' al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione. 8. Nel valutare l'impatto del trattamento effettuato dai relativi titolari o responsabili e' tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all'articolo 40, in particolare ai fini di una valutazione d'impatto sulla protezione dei dati. 9. Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati o dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la sicurezza dei trattamenti. 10. Qualora il trattamento effettuato ai sensi dell'articolo 6, paragrafo 1, lettere c) o e), trovi nel diritto dell'Unione o nel diritto dello Stato membro cui il titolare del trattamento e' soggetto una base giuridica, tale diritto disciplini il trattamento specifico o l'insieme di trattamenti in questione, e sia gia' stata effettuata una valutazione d'impatto sulla protezione dei dati nell'ambito di una valutazione d'impatto generale nel contesto dell'adozione di tale base giuridica, i paragrafi da 1 a 7 non si applicano, salvo che gli Stati membri ritengano necessario effettuare tale valutazione prima di procedere alle attivita' di trattamento. 11. Se necessario, il titolare del trattamento procede a un riesame per valutare se il trattamento dei dati personali sia effettuato conformemente alla valutazione d'impatto sulla protezione dei dati almeno quando insorgono variazioni del rischio rappresentato dalle attivita' relative al trattamento. --- ## Articolo 36 - Consultazione preventiva (C94-C96) *Pagina 71 del PDF* 1. Il titolare del trattamento, prima di procedere al trattamento, consulta l'autorita' di controllo qualora la valutazione d'impatto sulla protezione dei dati a norma dell'articolo 35 indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio. 2. Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, l'autorita' di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove applicabile, al responsabile del trattamento e puo' avvalersi dei poteri di cui all'articolo 58. Tale periodo puo' essere prorogato di sei settimane, tenendo conto della complessita' del trattamento previsto. L'autorita' di controllo informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione. La decorrenza dei termini puo' essere sospesa fino all'ottenimento da parte dell'autorita' di controllo delle informazioni richieste ai fini della consultazione. 3. Al momento di consultare l'autorita' di controllo ai sensi del paragrafo 1, il titolare del trattamento comunica all'autorita' di controllo: a) ove applicabile, le rispettive responsabilita' del titolare del trattamento, dei contitolari del trattamento e dei responsabili del trattamento, in particolare relativamente al trattamento nell'ambito di un gruppo imprenditoriale; b) le finalita' e i mezzi del trattamento previsto; c) le misure e le garanzie previste per proteggere i diritti e le liberta' degli interessati a norma del presente regolamento; d) ove applicabile, i dati di contatto del responsabile della protezione dei dati; e) la valutazione d'impatto sulla protezione dei dati di cui all'articolo 35; e f) ogni altra informazione richiesta dall'autorita' di controllo. 4. Gli Stati membri consultano l'autorita' di controllo durante l'elaborazione di una proposta di atto legislativo che deve essere adottato dai parlamenti nazionali o di misura regolamentare basata su detto atto legislativo relativamente al trattamento. 5. Nonostante il paragrafo 1, il diritto degli Stati membri puo' prescrivere che i titolari del trattamento consultino l'autorita' di controllo, e ne ottengano l'autorizzazione preliminare, in relazione al trattamento da parte di un titolare del trattamento per l'esecuzione, da parte di questi, di un compito di interesse pubblico, tra cui il trattamento con riguardo alla protezione sociale e alla sanita' pubblica. --- ## Articolo 83 - Condizioni generali per l'imposizione di sanzioni amministrative pecuniarie (estratto) *Per riferimento alle sanzioni citate nella skill* 4. La violazione delle disposizioni seguenti e' soggetta a sanzioni amministrative pecuniarie fino a 10 000 000 EUR, o per le imprese, fino al 2 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore: [...] a) gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli [...] 30 [...] 35, paragrafi da 1 a 7 [...].