Articolo 58 GDPR - Poteri

1. Ogni autorità di controllo ha tutti i poteri di indagine seguenti:

a) ingiungere al titolare del trattamento e al responsabile del trattamento e, ove applicabile, al rappresentante del titolare del trattamento o del responsabile del trattamento, di fornirle ogni informazione di cui necessiti per l’esecuzione dei suoi compiti;

b) condurre indagini sotto forma di attività di revisione sulla protezione dei dati;

c) effettuare un riesame delle certificazioni rilasciate in conformità dell’articolo 42, paragrafo 7;

d) notificare al titolare del trattamento o al responsabile del trattamento le presunte violazioni del presente regolamento;

e) ottenere, dal titolare del trattamento o dal responsabile del trattamento, l’accesso a tutti i dati personali e a tutte le informazioni necessarie per l’esecuzione dei suoi compiti; e

f) ottenere accesso a tutti i locali del titolare del trattamento e del responsabile del trattamento, compresi tutti gli strumenti e mezzi di trattamento dei dati, in conformità con il diritto dell’Unione o il diritto processuale degli Stati membri.

2. Ogni autorità di controllo ha tutti i poteri correttivi seguenti:

a) rivolgere avvertimenti al titolare del trattamento o al responsabile del trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le disposizioni del presente regolamento;

b) rivolgere ammonimenti al titolare e del trattamento o al responsabile del trattamento ove i trattamenti abbiano violato le disposizioni del presente regolamento;

c) ingiungere al titolare del trattamento o al responsabile del trattamento di soddisfare le richieste dell’interessato di esercitare i diritti loro derivanti dal presente regolamento;

d) ingiungere al titolare del trattamento o al responsabile del trattamento di conformare i trattamenti alle disposizioni del presente regolamento, se del caso, in una determinata maniera ed entro un determinato termine;

e) ingiungere al titolare del trattamento di comunicare all’interessato una violazione dei dati personali;

f) imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento;

g) ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento a norma degli articoli 16, 17 e 18 e la notificazione di tali misure ai destinatari cui sono stati comunicati i dati personali ai sensi dell’articolo 17, paragrafo 2, e dell’articolo 19;

h) revocare la certificazione o ingiungere all’organismo di certificazione di ritirare la certificazione rilasciata a norma degli articoli 42 e 43, oppure ingiungere all’organismo di certificazione di non rilasciare la certificazione se i requisiti per la certificazione non sono o non sono più soddisfatti;

i) infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83, in aggiunta alle misure di cui al presente paragrafo, o in luogo di tali misure, in funzione delle circostanze di ogni singolo caso; e

j) ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un’organizzazione internazionale.

3. Ogni autorità di controllo ha tutti i poteri autorizzativi e consultivi seguenti:

a) fornire consulenza al titolare del trattamento, secondo la procedura di consultazione preventiva di cui all’articolo 36;

b) rilasciare, di propria iniziativa o su richiesta, pareri destinati al parlamento nazionale, al governo dello Stato membro, oppure, conformemente al diritto degli Stati membri, ad altri organismi e istituzioni e al pubblico su questioni riguardanti la protezione dei dati personali;

c) autorizzare il trattamento di cui all’articolo 36, paragrafo 5, se il diritto dello Stato membro richiede una siffatta autorizzazione preliminare;

d) rilasciare un parere sui progetti di codici di condotta e approvarli, ai sensi dell’articolo 40, paragrafo 5;

e) accreditare gli organismi di certificazione a norma dell’articolo 43;

f) rilasciare certificazioni e approvare i criteri di certificazione conformemente all’articolo 42, paragrafo 5;

g) adottare le clausole tipo di protezione dei dati di cui all’articolo 28, paragrafo 8, e all’articolo 46, paragrafo 2, lettera d);

h) autorizzare le clausole contrattuali di cui all’articolo 46, paragrafo 3, lettera a);

i) autorizzare gli accordi amministrativi di cui all’articolo 46, paragrafo 3, lettera b);

j) approvare le norme vincolanti d’impresa ai sensi dell’articolo 47.

4. L’esercizio da parte di un’autorità di controllo dei poteri attribuitile dal presente articolo è soggetto a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell’Unione e degli Stati membri conformemente alla Carta.

5. Ogni Stato membro dispone per legge che la sua autorità di controllo abbia il potere di intentare un’azione o di agire in sede giudiziale o, ove del caso, stragiudiziale in caso di violazione del presente regolamento per far rispettare le disposizioni dello stesso.

6. Ogni Stato membro può prevedere per legge che la sua autorità di controllo abbia ulteriori poteri rispetto a quelli di cui ai paragrafi 1, 2 e 3. L’esercizio di tali poteri non pregiudica l’operatività effettiva del capo VII.

Considerando pertinenti

Domande frequenti

Risposte brevi alle domande più frequenti su questa disposizione. Costituiscono informazioni generali e non una consulenza legale.

L’articolo 58 conferisce poteri di indagine al paragrafo 1, poteri correttivi al paragrafo 2 e poteri autorizzativi e consultivi al paragrafo 3. Ogni autorità deve disporre di tutti i poteri elencati in ciascuna categoria, e il paragrafo 6 consente agli Stati membri di prevedere per legge ulteriori poteri, purché il loro esercizio non pregiudichi l’operatività effettiva del capo VII.

Le lettere a) ed e) dell’articolo 58, paragrafo 1, consentono all’autorità di ingiungere al titolare del trattamento, al responsabile del trattamento e, ove applicabile, al loro rappresentante di fornire ogni informazione di cui necessiti e di ottenere l’accesso a tutti i dati personali e a tutte le informazioni necessarie per l’esecuzione dei suoi compiti. La lettera f) estende tale facoltà all’accesso a tutti i locali, compresi tutti gli strumenti e mezzi di trattamento dei dati, sia pure in conformità con il diritto dell’Unione o il diritto processuale degli Stati membri, e la lettera b) permette di condurre indagini sotto forma di attività di revisione sulla protezione dei dati.

Sì. La lettera f) dell’articolo 58, paragrafo 2, autorizza l’autorità a imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di trattamento, e la lettera j) le consente separatamente di ordinare la sospensione dei flussi di dati verso un destinatario in un paese terzo o un’organizzazione internazionale. La lettera d) offre un’alternativa meno drastica, l’ingiunzione di conformare i trattamenti alle disposizioni del regolamento, se del caso in una determinata maniera ed entro un determinato termine.

Entrambe le cose. La lettera i) dell’articolo 58, paragrafo 2, permette all’autorità di infliggere una sanzione amministrativa pecuniaria ai sensi dell’articolo 83 in aggiunta alle altre misure previste da quel paragrafo o in luogo di esse, in funzione delle circostanze di ogni singolo caso. La scelta tra il combinare e il sostituire le misure è quindi rimessa a una valutazione caso per caso.

L’articolo 58, paragrafo 4, assoggetta l’esercizio dei poteri a garanzie adeguate, inclusi il ricorso giurisdizionale effettivo e il giusto processo, previste dal diritto dell’Unione e degli Stati membri conformemente alla Carta. Il paragrafo 5 completa il quadro imponendo a ogni Stato membro di attribuire alla propria autorità il potere di intentare un’azione o di agire in sede giudiziale o, ove del caso, stragiudiziale in caso di violazione del regolamento.