Sulla scorta dell'impostazione seguita nella direttiva-madre, il regolamento sancisce una serie di deroghe alla regola generale, che subordina il trasferimento extra-UE al requisito di adeguatezza o quanto meno alla predisposizione di garanzie adeguate ai sensi dell'art. 46. Tali deroghe sono analiticamente disciplinate dall'art. 49:
a) sussiste il consenso esplicito dell'interessato, purché gli sia stata
impartita un'informazione adeguata sui rischi collegati al trasferimento;
b) il trasferimento è necessario all’esecuzione di un contratto
concluso tra l’interessato e il titolare del trattamento ovvero all’esecuzione di misure precontrattuali adottate su richiesta dell’interessato;
c) il trasferimento è necessario per la conclusione o l’esecuzione di un
contratto stipulato tra il titolare del trattamento e un'altra persona fisica o giuridica a favore dell’interessato;
d) ricorrono importanti motivi di interesse pubblico363;
e) il trasferimento servirà a consentire l'accertamento, l'esercizio o la
difesa di un diritto in sede giudiziaria;
f) vi è la necessità di tutelare gli interessi vitali dell'interessato o di
altre persone, qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso364;
363
Al riguardo il considerando 112 evoca l'ipotesi di uno <<scambio internazionale di dati tra autorità garanti della concorrenza, amministrazioni fiscali o doganali, autorità di controllo finanziario, servizi competenti in materia di sicurezza sociale o sanità pubblica, ad esempio in caso di ricerca di contatti per malattie contagiose o al fine di ridurre e/o eliminare il doping nello sport>>.
364
Sul punto il considerando 112 richiama in particolare la protezione della vita e dell'integrità fisica e precisa che <<Qualunque trasferimento a un'organizzazione internazionale umanitaria di dati personali di un interessato che si trovi nell’incapacità fisica o giuridica di prestare il proprio consenso ai fini dell'esecuzione di un compito derivante dalle convenzioni di Ginevra o al fine di rispettare il diritto internazionale umanitario applicabile nei conflitti armati potrebbe essere considerato necessario per importanti motivi di interesse pubblico o nell'interesse vitale dell'interessato>>.
190
g) il trasferimento è effettuato a partire da un registro che, a norma
del diritto dell'Unione o degli Stati membri, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, solo a condizione che sussistano i requisiti per la consultazione previsti dal diritto dell'Unione o degli Stati membri;
h) altrimenti, il trasferimento è ammesso soltanto se non è ripetitivo,
riguarda un numero limitato di interessati, è necessario per il perseguimento degli interessi legittimi preminenti del titolare del trattamento, sempre che non prevalgano gli interessi o i diritti e le libertà dell'interessato.
Se si opera un confronto con l'art. 26 della direttiva-madre, si coglie una sostanziale corrispondenza con la disciplina previgente, fatta salva la previsione di requisiti più rigorosi per la validità del consenso.
Soltanto la fattispecie di cui alla lettera h) rappresenta un elemento di effettiva novità e non trova un precedente normativo.
Tale ipotesi365 desta, prima facie, alcune perplessità, perché appare formulata in termini estremamente generici.
In primo luogo, a proposito del significato dell'attributo “ripetitivo”, non è chiaro se debba trattarsi di un trasferimento una tantum o sussista una ristretta possibilità di reiterazione.
In secondo luogo anche il riferimento al numero limitato degli interessati coinvolti risulta vago: qual è il parametro di riferimento per apprezzare il numero limitato degli interessati? Si dovrà far riferimento alla consistenza della popolazione statale o piuttosto ragionare su scala europea?
Infine, il presupposto dell'interesse legittimo affida in prima battuta al titolare del trattamento il bilanciamento tra le diverse situazioni soggettive in gioco.
365
Essa, peraltro, era stata espunta dal testo adottato in prima lettura dal Parlamento.
191
Il legislatore, consapevole di questi profili critici, ha precisato che l'ipotesi in questione è assolutamente residuale ed è destinata a operare, quando nessuno degli altri presupposti per il trasferimento all'estero di dati personali sia applicabile366.
Inoltre, al fine di evitare abusi, sono state contemplate particolari cautele nell'eventualità che il trasferimento si fondi su un interesse legittimo cogente del titolare del trattamento. Su quest'ultimo, infatti, incomberanno una serie di obblighi. Il titolare del trattamento sarà tenuto ad avvertire l'autorità di controllo, in modo da consentire alla medesima di ordinare, ove opportuno, la sospensione del flusso dei dati nell'esercizio dei suoi poteri correttivi367. Il titolare del trattamento dovrà altresì informare l'interessato del trasferimento e dei preminenti interessi legittimi perseguiti.
Prima di iniziare il trasferimento dei dati, il titolare del trattamento avrà l'obbligo di valutare tutte le circostanze del caso concreto; in particolare il considerando 113 lo esorta a vagliare con attenzione <<la natura dei dati personali, la finalità e la durata del trattamento o dei trattamenti proposti, nonché la situazione nel paese d’origine, nel paese terzo e nel paese di destinazione finale>>.
Infine, il regolamento impone al titolare del trattamento di apprestare garanzie adeguate per la tutela dei diritti e delle libertà fondamentali delle persone fisiche, con riguardo al trattamento dei loro dati personali, e di attestare la valutazione specifica della situazione e l'adozione di garanzie adeguate nel registro che il medesimo soggetto ha l'obbligo di tenere ai sensi dell'art. 30.
366
V. il considerando 113 e l'art. 49, par. 1, ultimo capoverso.
367
192