Informativa sui rimborsi

Politica di reso, recesso e rimborso di elementcabin

Questa politica riguarda gli acquisti di arredamento effettuati dai consumatori sul negozio elementcabin per il mercato italiano. Descrive come comunicare un recesso, restituire un articolo e ottenere un rimborso, distinguendo il ripensamento dai rimedi per prodotti difettosi o non conformi. Le disposizioni inderogabili a tutela del consumatore prevalgono su eventuali condizioni meno favorevoli.

Contatti del negozio

• Nome del negozio: elementcabin.
• Sito: elementcabin.com.
• Indirizzo commerciale: 210 E Chappell St, Griffin, GA 30223, Stati Uniti.
• Email per resi, rimborsi, recesso e richieste relative ai dati personali: instantqwsxcdfr@elementcabin.com.
• Telefono: +1 770 741 5160.

L'indirizzo commerciale identifica il recapito del negozio e non deve essere confuso con il centro logistico destinatario di una restituzione. L'indirizzo operativo per il reso viene comunicato via email in relazione all'ordine.

Elaborazione dell'ordine e cancellazione prima della spedizione

Il tempo di elaborazione dell'ordine è di 1–3 giorni. Questo intervallo riguarda la preparazione e non coincide con il tempo di trasporto. Le informazioni di consegna riportate nell'ordine restano distinte dalla presente procedura di reso.

È possibile richiedere la cancellazione finché il prodotto non è stato spedito, contattando il negozio e identificando l'ordine. Se la spedizione è già partita, la richiesta viene gestita secondo le regole sul recesso applicabili, senza far perdere il diritto di ripensamento per il solo fatto che il pacco è in viaggio.

Periodo di recesso

Per gli acquisti a distanza il consumatore può comunicare il recesso entro 14 giorni dal ricevimento, senza doverne spiegare il motivo. Per più beni acquistati con un unico ordine e consegnati separatamente, il periodo decorre dal ricevimento dell'ultimo bene; per un bene consegnato in più pezzi o lotti, dall'ultimo pezzo o lotto.

Il giorno della consegna non viene conteggiato come primo giorno. Se la scadenza cade di sabato, domenica o in un giorno festivo, il termine è prorogato al successivo giorno lavorativo. È sufficiente inviare la comunicazione entro la scadenza: non è necessario che il prodotto sia già rientrato in magazzino.

Come comunicare il recesso

Invia una dichiarazione chiara della tua decisione all'email instantqwsxcdfr@elementcabin.com oppure utilizza la funzione elettronica di recesso del negozio. Puoi anche inviare una comunicazione scritta al recapito commerciale indicato sopra. L'impiego di un modulo specifico non è obbligatorio.

• Indica il nome usato per l'acquisto e un recapito email per la risposta.
• Identifica l'ordine e il prodotto, o i prodotti, per cui eserciti il recesso.
• Esprimi inequivocabilmente la volontà di recedere; la motivazione è facoltativa.
• Conserva copia della comunicazione e della prova del suo invio.

La gestione logistica del reso non costituisce un'autorizzazione preventiva al recesso. Il diritto è esercitato con una comunicazione tempestiva e inequivocabile; non dipende dall'approvazione discrezionale del negozio, da fotografie o dall'accettazione di un buono acquisto.

Funzione elettronica di recesso

Per i contratti conclusi online, l'articolo 54-bis del Codice del consumo prevede una funzione di recesso visibile e facilmente accessibile sull'interfaccia del negozio durante l'intero periodo utile. La funzione è distinta dalla semplice apertura di una richiesta di assistenza e dalle regole automatiche di reso dell'account cliente.

Nel percorso elettronico puoi fornire o confermare il tuo nome, i dati che identificano il contratto e il recapito elettronico per la ricevuta, quindi trasmettere la dichiarazione mediante il comando di conferma del recesso. La denominazione dei comandi deve esprimere chiaramente l'azione compiuta.

Riceverai senza indebito ritardo una conferma su supporto durevole, come un'email, con il contenuto della dichiarazione e la data e l'ora di trasmissione. Un problema tecnico non elimina la possibilità di esercitare il diritto attraverso gli altri canali indicati. La presente pagina informa sulla procedura e non sostituisce il funzionamento dell'interfaccia elettronica.

Account cliente e assistenza

Per seguire gli ordini e presentare richieste di reso puoi accedere all'account cliente all'indirizzo https://shopify.com/84590690552/account. La creazione o l'accesso a un account non sono condizioni necessarie per inviare una valida dichiarazione di recesso via email.

Se una richiesta non risulta selezionabile nell'account, contatta il negozio indicando il prodotto interessato. Una limitazione tecnica del portale non può escludere i diritti riconosciuti dalla legge, neppure per articoli scontati o classificati come vendita finale.

Indirizzo e istruzioni per la restituzione

Dopo la comunicazione, il negozio invia via email l'indirizzo di restituzione e le istruzioni operative appropriate al prodotto. Non spedire automaticamente la merce all'indirizzo commerciale: potrebbe non essere la destinazione logistica assegnata al tuo ordine.

Segnala tempestivamente il mancato ricevimento delle istruzioni. Un ritardo imputabile al negozio nell'invio dell'indirizzo o nell'organizzazione del trasporto non viene utilizzato per negare un recesso comunicato nei termini o per addebitare costi aggiuntivi al consumatore.

Termine di restituzione e costi

Dopo aver comunicato il recesso, restituisci i beni entro ulteriori 14 giorni, salvo che il negozio provveda al ritiro. Per rispettare questo termine conta la spedizione effettuata prima della sua scadenza. Conserva la ricevuta del vettore o un'altra prova idonea della restituzione.

Il reso è gratuito secondo la procedura organizzata da elementcabin. Non sono applicate commissioni di reso, costi di riassortimento o penali fisse. Per un mobile voluminoso, concorda via email la modalità di trasporto prima di prenotare autonomamente un servizio: il negozio comunicherà le istruzioni senza trasferire al cliente il costo del reso gratuito previsto da questa politica.

Preparazione del prodotto

Proteggi adeguatamente il mobile e raccogli accessori, ferramenta e parti ricevute. Se disponibile, usa l'imballaggio originale; in alternativa utilizza una protezione equivalente adatta al trasporto. L'assenza della confezione originale non comporta automaticamente la perdita del diritto di recesso.

Puoi esaminare il bene nella misura necessaria a comprenderne natura, caratteristiche e funzionamento. Un uso ulteriore può determinare una diminuzione di valore effettiva, che deve essere spiegata e valutata concretamente. Non viene applicata una trattenuta automatica per il solo disimballaggio o per un'ispezione ragionevole.

Per sedute e mobili da montare, limita le operazioni a quanto ragionevolmente necessario alla verifica e conserva le parti senza modificarle. Evita interventi irreversibili, forature, tagli o riparazioni non concordate. Queste indicazioni servono a proteggere il bene e non creano nuove esclusioni legali dal recesso.

Spese di spedizione iniziale in euro

Per gli ordini destinati all’Italia, la spedizione standard è gratuita per un importo dell’ordine pari o superiore a 49,00 EUR (€49). Per gli ordini di importo inferiore a 49,00 EUR, il costo della spedizione standard è di 9,90 EUR (€9,90). Gli importi e la soglia indicati sono espressi in euro, non in dollari statunitensi.

Queste condizioni riguardano la spedizione iniziale dell’acquisto e sono distinte dalla restituzione, che rimane gratuita secondo la procedura di reso del negozio. In caso di recesso dall’intero ordine, il rimborso delle spese di consegna riguarda quanto effettivamente pagato per la spedizione standard. Per un ordine che aveva beneficiato della spedizione gratuita non viene detratto retroattivamente il costo di 9,90 EUR dal rimborso.

Importi rimborsati

In caso di recesso dall'intero ordine vengono rimborsati i pagamenti ricevuti per i beni e le spese della consegna standard iniziale, se pagate. L'eventuale differenza per una consegna più costosa scelta espressamente dal cliente non deve essere rimborsata. Se la consegna iniziale era gratuita non viene aggiunto un importo di spedizione figurativo.

Per un recesso limitato ad alcuni articoli, il rimborso riguarda quanto effettivamente pagato per quelli restituiti. Il calcolo considera gli sconti realmente attribuiti e l'eventuale quota di consegna rimborsabile secondo legge; non introduce nuove penali o costi retroattivi.

Tempi e modalità del rimborso

Il tempo di elaborazione del rimborso è di 3–5 giorni da quando il rimborso è dovuto e può essere eseguito. Questo tempo operativo non prolunga i termini di legge. Per il recesso, il rimborso è effettuato senza indebito ritardo e comunque entro 14 giorni dalla comunicazione, fermo il diritto di sospensione consentito dalla legge.

Quando il negozio non ha offerto di ritirare direttamente i beni, può attendere il loro ricevimento oppure una prova della rispedizione, a seconda di quale evento avvenga prima. Se la prova è già disponibile, la sola attesa dell'ispezione in magazzino non giustifica un ulteriore rinvio automatico.

Il rimborso utilizza lo stesso mezzo di pagamento dell'acquisto, salvo diverso accordo espresso che non comporti costi per il consumatore. Non viene imposto un credito del negozio al posto del denaro dovuto. Il momento in cui l'accredito appare dipende anche dall'istituto di pagamento; se non lo visualizzi dopo l'elaborazione, contattaci per verificare l'operazione.

Articoli in promozione ed eventuali eccezioni

Uno sconto, una promozione o una dicitura di vendita finale non eliminano da soli il diritto legale di recesso. Le eventuali eccezioni devono rientrare nei casi previsti dalla legge ed essere comunicate prima dell'acquisto.

Per l'arredamento, un'eccezione può riguardare beni realmente realizzati su misura o chiaramente personalizzati ai sensi dell'articolo 59 del Codice del consumo. La semplice scelta di una variante standard del catalogo non viene qui qualificata automaticamente come personalizzazione. Nessuna eccezione al ripensamento esclude i rimedi per un difetto di conformità.

Prodotti danneggiati, errati o incompleti

Se ricevi un prodotto danneggiato, un articolo diverso da quello ordinato o un mobile con parti mancanti, scrivi al negozio descrivendo il problema. Quando disponibili, fotografie del bene, dell'etichetta del pacco e dell'imballaggio possono agevolare l'accertamento. Non inviare dati estranei alla pratica.

Una segnalazione rapida aiuta a gestire il trasporto e a limitare ulteriori danni, ma questa politica non impone un termine di 24 o 48 ore come condizione per la garanzia legale. L'accettazione del pacco senza riserva non cancella automaticamente i diritti per difetti o danni riscontrati in seguito.

Se il prodotto presenta un rischio di sicurezza, interrompine l'uso e contatta l'assistenza. Non effettuare modifiche per tentare di correggere il problema prima di aver concordato una soluzione appropriata.

Garanzia legale di conformità

Per i beni nuovi il venditore risponde dei difetti di conformità che si manifestano entro due anni dalla consegna. Il consumatore può richiedere il ripristino senza spese tramite riparazione o sostituzione, nei limiti di possibilità e proporzionalità previsti dal Codice del consumo.

Quando ricorrono i presupposti di legge, sono disponibili la riduzione proporzionale del prezzo o la risoluzione del contratto. Un difetto lieve non dà diritto alla risoluzione; resta a carico del venditore dimostrarne la lieve entità. I rimedi devono essere attuati senza notevoli inconvenienti per il consumatore.

I difetti manifestati entro un anno dalla consegna si presumono già esistenti a quella data, salvo prova contraria o incompatibilità con la natura del bene o del difetto. L'azione relativa ai difetti non dolosamente occultati si prescrive, in generale, in 26 mesi dalla consegna. Il periodo di 14 giorni del ripensamento non limita questi diritti.

Cambi e richieste relative a una parte dell'ordine

Per un cambio di colore o modello puoi contattare il negozio per verificare la soluzione disponibile. Non viene promesso un articolo sostitutivo prima della verifica della disponibilità. La richiesta di cambio non pregiudica la possibilità di esercitare tempestivamente il recesso; la sostituzione per non conformità segue invece la garanzia legale.

Se restituisci un solo articolo di un ordine multiplo, identifica chiaramente quello interessato e conserva gli altri. Se un prodotto è composto da più colli, comunica quali componenti hai ricevuto per concordare una restituzione corretta.

GDPR: dati trattati per resi e rimborsi

Per la gestione di queste pratiche, elementcabin, al recapito commerciale e all'email sopra indicati, tratta i dati identificativi e di contatto, i riferimenti dell'ordine, le comunicazioni e le informazioni necessarie a restituire il bene e rimborsare il pagamento. Le basi giuridiche sono l'esecuzione del contratto, gli obblighi legali e, ove pertinente, il legittimo interesse alla gestione delle contestazioni.

Fornire i dati strettamente necessari consente di identificare l'acquisto e dare seguito alla richiesta; senza tali elementi potrebbe non essere possibile completare la pratica. Non occorre acconsentire al marketing per esercitare il recesso o ottenere assistenza.

La gestione coinvolge, secondo necessità, il personale autorizzato e i fornitori di piattaforma, pagamento, trasporto e assistenza, inclusa Shopify per le funzionalità del negozio. I dati sono conservati per il tempo necessario alla pratica, agli obblighi documentali applicabili e alla tutela dei diritti, limitando gli accessi e le informazioni condivise.

Il recapito del negozio è negli Stati Uniti: questa politica non afferma che tutti i dati restino nell'Unione europea. Per trasferimenti soggetti al capo V del GDPR devono sussistere le garanzie applicabili. Le informazioni complete sui trasferimenti e sui trattamenti generali del sito vanno consultate nell'informativa privacy del negozio; questa sezione riguarda specificamente resi e rimborsi.

Diritti relativi ai dati personali

Scrivendo all'email del negozio puoi esercitare, quando applicabili, accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare un consenso senza effetti retroattivi. La cancellazione non impone di eliminare documenti ancora necessari per obblighi legali o per una controversia.

Le richieste ricevono riscontro entro un mese; nei casi consentiti il termine può essere esteso di altri due mesi, comunicandone il motivo entro il primo mese. Può essere richiesta una verifica dell'identità proporzionata. Hai diritto di presentare reclamo al Garante per la protezione dei dati personali, consultabile su www.garanteprivacy.it, o all'autorità competente ai sensi del GDPR.

Cookie e preferenze di consenso

Il sito utilizza strumenti tecnici necessari alla navigazione e alle operazioni del negozio. Cookie e tecnologie non necessari, ad esempio per pubblicità personalizzata o analisi soggette a consenso, richiedono una scelta preventiva valida. Il rifiuto di tali finalità non esclude il diritto a reso, rimborso o assistenza.

Nel pannello di consenso puoi accettare, rifiutare o gestire le finalità facoltative e modificare successivamente le preferenze. Continuare a navigare o scorrere una pagina non equivale a consenso. La revoca riguarda gli usi futuri e non rende illecito il trattamento svolto in precedenza sulla base di un consenso valido.

Il dettaglio dei cookie effettivamente attivi, delle rispettive durate e dei fornitori deve corrispondere al pannello e all'informativa cookie del sito. Questa politica non introduce un elenco presunto di tracciatori né sostituisce le informazioni specifiche sulle tecnologie realmente utilizzate.

Comunicazioni, reclami e tutela del consumatore

Per un reclamo invia il riferimento dell'ordine e la descrizione del problema all'email del negozio. Conserva la corrispondenza e i documenti relativi alla restituzione. Le comunicazioni sulla pratica non costituiscono un'iscrizione automatica a servizi pubblicitari.

La sede extra UE non priva il consumatore delle tutele inderogabili applicabili agli acquisti rivolti al mercato italiano. Restano disponibili gli strumenti di tutela previsti dalla legge, compreso il ricorso all'autorità giudiziaria competente. Non è richiesta una rinuncia ai diritti del consumatore per ottenere un rimborso dovuto.

Quadro normativo

La presente politica si interpreta in conformità al decreto legislativo 6 settembre 2005, n. 206, Codice del consumo, in particolare alle disposizioni sui contratti a distanza, sul recesso e sulla conformità dei beni; all'articolo 54-bis introdotto dal decreto legislativo 31 dicembre 2025, n. 209; al Regolamento (UE) 2016/679 e alla normativa italiana in materia di protezione dei dati e strumenti di tracciamento. Eventuali aggiornamenti non riducono retroattivamente i diritti relativi a ordini già conclusi.

Appendice normativa: diritti del consumatore e protezione dei dati

Questa appendice mette a disposizione estratti normativi per approfondire le regole richiamate nella politica del negozio. Le disposizioni riportate hanno funzione informativa: i loro riferimenti a servizi, tecnologie, autorità, categorie di dati o situazioni particolari non attestano che elementcabin svolga tali attività o utilizzi tali tecnologie. Le condizioni commerciali del negozio sono descritte nella parte precedente; l’esistenza di un obbligo legale non viene presentata come una certificazione o una garanzia commerciale aggiuntiva.

Gli estratti sono distinti dalle informazioni operative, non richiedono compilazione e non impongono nuovi adempimenti al cliente. Le norme si applicano secondo il loro ambito e i relativi presupposti. Per esempio, i richiami normativi a beni personalizzati, contenuti digitali o servizi non significano che tali prodotti siano offerti dal negozio; per i resi gratuiti resta valida la condizione più favorevole indicata nella politica. Le citazioni non sostituiscono i testi ufficiali e non modificano le disposizioni inderogabili.

Appendice A — Codice del consumo: contratti a distanza e conformità dei beni

Fonte: Normattiva, decreto legislativo 6 settembre 2005, n. 206, testo vigente consultato sul portale ufficiale. Riferimento: https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2005-09-06;206!vig= . Sono riprodotti gli articoli selezionati qui identificati; sono rimossi soltanto gli indicatori grafici di aggiornamento e le componenti di navigazione. Gli elenchi interni conservano la numerazione della fonte.

Codice del consumo — Articolo 45 — Definizioni

1. Ai fini delle Sezioni da I a IV del presente capo, si intende per: a) "consumatore": la persona fisica, di cui all'articolo 3, comma 1, lettera a); b) "professionista": il soggetto, di cui all'articolo 3, comma 1, lettera c); b-bis) "produttore": il fabbricante di un bene, l'importatore di un bene nel territorio dell'Unione europea o qualsiasi altra persona che si presenta come produttore apponendo sul bene il suo nome, marchio o altro segno distintivo; 57 c) "beni": 1) qualsiasi bene mobile materiale anche da assemblare, l'acqua, il gas e l'energia elettrica quando sono confezionati per la vendita in un volume delimitato o in quantità determinata; 2) qualsiasi bene mobile materiale che incorpora, o è interconnesso con, un contenuto digitale o un servizio digitale in modo tale che la mancanza di detto contenuto digitale o servizio digitale impedirebbe lo svolgimento delle funzioni proprie del bene, anche denominati "beni con elementi digitali"); 3) gli animali vivi; d) "beni prodotti secondo le indicazioni del consumatore": qualsiasi bene non prefabbricato prodotto in base a una scelta o decisione individuale del consumatore; d-bis) "dato personale": dato personale quale definito dall'articolo 4, punto 1), del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016; e) "contratto di vendita": qualsiasi contratto in base al quale il professionista trasferisce o si impegna a trasferire la proprietà di beni al consumatore, inclusi i contratti che hanno come oggetto sia beni che servizi; f) "contratto di servizi": qualsiasi contratto diverso da un contratto di vendita in base al quale il professionista fornisce o si impegna a fornire un servizio, compreso un servizio digitale, al consumatore; g) "contratto a distanza": qualsiasi contratto concluso tra il professionista e il consumatore nel quadro di un regime organizzato di vendita o di prestazione di servizi a distanza senza la presenza fisica e simultanea del professionista e del consumatore, mediante l'uso esclusivo di uno o più mezzi di comunicazione a distanza fino alla conclusione del contratto, compresa la conclusione del contratto stesso; h) "contratto negoziato fuori dei locali commerciali": qualsiasi contratto tra il professionista e il consumatore: 1) concluso alla presenza fisica e simultanea del professionista e del consumatore, in un luogo diverso dai locali del professionista; 2) per cui è stata fatta un'offerta da parte del consumatore, nelle stesse circostanze di cui al numero 1; 3) concluso nei locali del professionista o mediante qualsiasi mezzo di comunicazione a distanza immediatamente dopo che il consumatore è stato avvicinato personalmente e singolarmente in un luogo diverso dai locali del professionista, alla presenza fisica e simultanea del professionista e del consumatore; oppure; 4) concluso durante un viaggio promozionale organizzato dal professionista e avente lo scopo o l'effetto di promuovere e vendere beni o servizi al consumatore; i) "locali commerciali": 1) qualsiasi locale immobile adibito alla vendita al dettaglio in cui il professionista esercita la sua attività su base permanente; oppure; 2) qualsiasi locale mobile adibito alla vendita al dettaglio in cui il professionista esercita la propria attività a carattere abituale; l) "supporto durevole": ogni strumento che permetta al consumatore o al professionista di conservare le informazioni che gli sono personalmente indirizzate in modo da potervi accedere in futuro per un periodo di tempo adeguato alle finalità cui esse sono destinate e che permetta la riproduzione identica delle informazioni memorizzate; m) "contenuto digitale": i dati prodotti e forniti in formato digitale; n) "servizio finanziario": qualsiasi servizio di natura bancaria, creditizia, assicurativa, servizi pensionistici individuali, di investimento o di pagamento; o) "asta pubblica": metodo di vendita in cui beni o servizi sono offerti dal professionista ai consumatori che partecipano o cui è data la possibilità di partecipare all'asta di persona, mediante una trasparente procedura competitiva di offerte gestita da una casa d'aste e in cui l'aggiudicatario è vincolato all'acquisto dei beni o servizi; p) "garanzia": qualsiasi impegno di un professionista o di un produttore (il "garante"), assunto nei confronti del consumatore, in aggiunta agli obblighi di legge in merito alla garanzia di conformità, di rimborsare il prezzo pagato, sostituire, riparare, o intervenire altrimenti sul bene, qualora esso non corrisponda alle caratteristiche, o a qualsiasi altro requisito non relativo alla conformità, enunciati nella dichiarazione di garanzia o nella relativa pubblicità disponibile al momento o prima della conclusione del contratto; p-bis) "garanzia commerciale di durabilità": una garanzia commerciale di durabilità del produttore di cui all'articolo 135-quinquies, in base alla quale il produttore è responsabile direttamente nei confronti del consumatore per la riparazione o la sostituzione dei beni nell'arco di tutto il periodo di durata della garanzia commerciale di durabilità in conformità all'articolo 135-ter, se i beni non mantengono la propria durabilità; 57 p-ter) "durabilità": la capacità dei beni di mantenere le loro specifiche funzioni e prestazioni attraverso un uso normale; 57 p-quater) "indice di riparabilità": indice che esprime l'idoneità di un bene ad essere riparato sulla base di requisiti armonizzati stabiliti a livello dell'Unione europea; 57 p-quinquies) "aggiornamento del software": aggiornamento gratuito, compreso un aggiornamento di sicurezza, necessario per mantenere conformi all'articolo 130 e all'articolo 135-undecies i beni comprendenti elementi digitali, contenuti digitali e servizi digitali, compreso un aggiornamento di sicurezza, oppure un aggiornamento delle funzionalità; 57 q) "contratto accessorio": un contratto mediante il quale il consumatore acquista beni o servizi connessi a un contratto a distanza o negoziato fuori dei locali commerciali e in cui tali beni o servizi sono forniti dal professionista o da un terzo in base ad un accordo tra il terzo e il professionista. q-bis) "servizio digitale": 1) un servizio che consente al consumatore di creare, trasformare, archiviare i dati o di accedervi in formato digitale; oppure 2) un servizio che consente la condivisione di dati in formato digitale, caricati o creati dal consumatore e da altri utenti di tale servizio, o qualsiasi altra interazione con tali dati; q-ter) "mercato online": un servizio che utilizza un software, compresi siti web, parte di siti web o un'applicazione, gestito da o per conto del professionista, che permette ai consumatori di concludere contratti a distanza con altri professionisti o consumatori; q-quater) "fornitore di mercato online": qualsiasi professionista che fornisce un mercato online ai consumatori; q-quinquies) "compatibilità": la capacità del contenuto digitale o del servizio digitale di funzionare con hardware o software con cui sono normalmente utilizzati contenuti digitali o servizi digitali dello stesso tipo, senza che sia necessario convertire il contenuto digitale o il servizio digitale; q-sexies) "funzionalità": la capacità del contenuto digitale o del servizio digitale di svolgere tutte le sue funzioni in considerazione del suo scopo; q-septies) "interoperabilità": la capacità del contenuto digitale o del servizio digitale di funzionare con hardware o software diversi da quelli con cui sono normalmente utilizzati i contenuti digitali o i servizi digitali dello stesso tipo. (24)

Codice del consumo — Articolo 49 — Obblighi di informazione nei contratti a distanza e nei contratti negoziati fuori dei locali commerciali

1. Prima che il consumatore sia vincolato da un contratto a distanza o negoziato fuori dei locali commerciali o da una corrispondente offerta, il professionista fornisce al consumatore le informazioni seguenti, in maniera chiara e comprensibile: a) le caratteristiche principali dei beni o servizi, nella misura adeguata al supporto e ai beni o servizi; b) l'identità del professionista; c) l'indirizzo geografico dove il professionista è stabilito, il suo numero di telefono e il suo indirizzo elettronico. Inoltre, se il professionista fornisce qualsiasi altro mezzo di comunicazione elettronica che garantisca al consumatore di poter intrattenere con lui una corrispondenza scritta, che rechi la data e l'orario dei relativi messaggi, su un supporto durevole, il professionista deve fornire anche le informazioni relative a tale altro mezzo. Tutti questi mezzi di comunicazione forniti dal professionista devono consentire al consumatore di contattarlo rapidamente e di comunicare efficacemente con lui. Ove applicabile, il professionista fornisce anche l'indirizzo geografico e l'identità del professionista per conto del quale agisce; d) se diverso dall'indirizzo fornito in conformità della lettera c), l'indirizzo geografico della sede del professionista a cui il consumatore può indirizzare eventuali reclami e, se applicabile, quello del professionista per conto del quale agisce; e) il prezzo totale dei beni o dei servizi comprensivo delle imposte o, se la natura dei beni o servizi comporta l'impossibilità di calcolare ragionevolmente il prezzo in anticipo, le modalità di calcolo del prezzo e, se del caso, tutte le spese aggiuntive di spedizione, consegna o postali e ogni altro costo oppure, qualora tali spese non possano ragionevolmente essere calcolate in anticipo, l'indicazione che tali spese potranno essere addebitate al consumatore; nel caso di un contratto a tempo indeterminato o di un contratto comprendente un abbonamento, il prezzo totale include i costi totali per periodo di fatturazione; quando tali contratti prevedono l'addebitamento di una tariffa fissa, il prezzo totale equivale anche ai costi mensili totali; se i costi totali non possono essere ragionevolmente calcolati in anticipo, devono essere fornite le modalità di calcolo del prezzo; e-bis) se applicabile, l'informazione che il prezzo è stato personalizzato sulla base di un processo decisionale automatizzato, ferme le garanzie di cui all'articolo 22 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016; f) il costo dell'utilizzo del mezzo di comunicazione a distanza per la conclusione del contratto quando tale costo è calcolato su una base diversa dalla tariffa di base; g) le modalità di pagamento, consegna, incluse ove disponibili opzioni di consegna rispettose dell'ambiente, esecuzione, la data entro la quale il professionista si impegna a consegnare i beni o a prestare i servizi e, se del caso, il trattamento dei reclami da parte del professionista; 57 h) in caso di sussistenza di un diritto di recesso, le condizioni, i termini e le procedure per esercitare tale diritto conformemente all'articolo 54, comma 1, nonché il modulo tipo di recesso di cui all'allegato I, parte B e, se del caso, le informazioni circa l'esistenza e la collocazione della funzione di recesso di cui all'articolo 54-bis; (55) i) se applicabile, l'informazione che il consumatore dovrà sostenere il costo della restituzione dei beni in caso di recesso e in caso di contratti a distanza qualora i beni per loro natura non possano essere normalmente restituiti a mezzo posta; l) che, se il consumatore esercita il diritto di recesso dopo aver presentato una richiesta ai sensi dell'articolo 50, comma 3, o dell'articolo 51, comma 8, egli è responsabile del pagamento al professionista di costi ragionevoli, ai sensi dell'articolo 57, comma 3; m) se non è previsto un diritto di recesso ai sensi dell'articolo 59, l'informazione che il consumatore non beneficerà di un diritto di recesso o, se del caso, le circostanze in cui il consumatore perde il diritto di recesso; n) un promemoria dell'esistenza della garanzia legale di conformità per i beni e dei suoi elementi principali, compresa la durata minima di due anni ai sensi dell'articolo 133, in modo visibile, utilizzando l'avviso armonizzato di cui all'articolo 65-ter; 57 n-bis) se il produttore offre al consumatore una garanzia commerciale di durabilità senza costi aggiuntivi, che copre il bene nel suo complesso ed ha una durata superiore a due anni e mette tali informazioni a disposizione dell'operatore economico, l'informazione che tale bene beneficia di tale garanzia, l'indicazione della relativa durata e un promemoria dell'esistenza della garanzia legale di conformità, in modo visibile, mediante l'etichetta armonizzata di cui all'articolo 65-ter; 57 n-ter) un promemoria dell'esistenza della garanzia legale di conformità per il contenuto digitale e i servizi digitali; 57 n-quater) per i beni comprendenti elementi digitali, per i contenuti digitali o per i servizi digitali, se il produttore o il fornitore mette a disposizione dell'operatore economico tali informazioni, il periodo minimo, sia esso espresso mediante un termine o con riferimento a una data, per il quale il produttore o il fornitore fornisce aggiornamenti del software; 57 o) se applicabili, l'esistenza e le condizioni dell'assistenza postvendita al consumatore, dei servizi postvendita e delle garanzie commerciali; p) l'esistenza di codici di condotta pertinenti, come definiti all'articolo 18, comma 1, lettera f), del presente Codice, e come possa esserne ottenuta copia, se del caso; q) la durata del contratto, se applicabile, o, se il contratto è a tempo indeterminato o è un contratto a rinnovo automatico, le condizioni per recedere dal contratto; r) se applicabile, la durata minima degli obblighi del consumatore a norma del contratto; s) se applicabili, l'esistenza e le condizioni di depositi o altre garanzie finanziarie che il consumatore è tenuto a pagare o fornire su richiesta del professionista; t) se applicabile, la funzionalità dei beni con elementi digitali, del contenuto digitale e dei servizi digitali, comprese le misure applicabili di protezione tecnica; u) qualsiasi compatibilità e interoperabilità pertinente dei beni con elementi digitali, del contenuto digitale e dei servizi digitali, di cui il professionista sia a conoscenza o di cui ci si può ragionevolmente attendere che sia venuto a conoscenza, se applicabile; v) se applicabile, la possibilità di servirsi di un meccanismo extra-giudiziale di reclamo e ricorso cui il professionista è soggetto e le condizioni per avervi accesso. v-bis) se applicabile, l'indice di riparabilità dei beni; 57 v-ter) se la lettera v-bis) non è applicabile e a condizione che il produttore metta tali informazioni a disposizione del professionista, informazioni concernenti la disponibilità, il costo stimato e la procedura di ordinazione dei pezzi di ricambio necessari per mantenere la conformità del bene, informazioni sulla disponibilità di istruzioni per la riparazione e la manutenzione e informazioni sulle restrizioni alla riparazione. 57

2. Gli obblighi di informazione precontrattuali, di cui al comma 1, si applicano anche ai contratti per la fornitura di acqua, gas o elettricità, quando non sono messi in vendita in un volume limitato o in quantità determinata, di teleriscaldamento o di contenuto digitale non fornito su un supporto materiale.

3. Nel caso di un'asta pubblica, le informazioni di cui al comma 1, lettere b), c) e d), possono essere sostituite dai corrispondenti dati della casa d'aste.

4. Le informazioni di cui al comma 1, lettere h), i) e l), possono essere fornite mediante le istruzioni tipo sul recesso di cui all'allegato I, parte A. Il professionista ha adempiuto agli obblighi di informazione di cui al comma 1, lettere h), i) e l), se ha presentato dette istruzioni al consumatore, debitamente compilate. I riferimenti al periodo di recesso di quattordici giorni nelle istruzioni tipo sul recesso di cui all'allegato I, parte A, sono sostituiti da riferimenti a un periodo di recesso di trenta giorni nei casi di cui all'articolo 52, comma 1-bis.

5. Le informazioni di cui al comma 1 formano parte integrante del contratto a distanza o del contratto negoziato fuori dei locali commerciali e non possono essere modificate se non con accordo espresso delle parti.

6. Se il professionista non adempie agli obblighi di informazione sulle spese aggiuntive o gli altri costi di cui al comma 1, lettera e), o sui costi della restituzione dei beni di cui al comma 1, lettera i), il consumatore non deve sostenere tali spese o costi aggiuntivi.

7. Nel caso di utilizzazione di tecniche che consentono una comunicazione individuale, le informazioni di cui al comma 1 sono fornite, ove il consumatore lo richieda, in lingua italiana.

8. Gli obblighi di informazione stabiliti nella presente sezione si aggiungono agli obblighi di informazione contenuti nel decreto legislativo 26 marzo 2010, n. 59, e successive modificazioni, e nel decreto legislativo 9 aprile 2003, n. 70, e successive modificazioni, e non ostano ad obblighi di informazione aggiuntivi previsti in conformità a tali disposizioni.

9. Fatto salvo quanto previsto dal comma 8, in caso di conflitto tra una disposizione del decreto legislativo 26 marzo 2010, n. 59, e successive modificazioni, e del decreto legislativo 9 aprile 2003, n. 70, e successive modificazioni, sul contenuto e le modalità di rilascio delle informazioni e una disposizione della presente sezione, prevale quest'ultima.

10. L'onere della prova relativo all'adempimento degli obblighi di informazione di cui alla presente sezione incombe sul professionista. (24)

Codice del consumo — Articolo 51 — Requisiti formali per i contratti a distanza

1. Per quanto riguarda i contratti a distanza il professionista fornisce o mette a disposizione del consumatore le informazioni di cui all'articolo 49, comma 1, in modo appropriato al mezzo di comunicazione a distanza impiegato in un linguaggio semplice e comprensibile. Nella misura in cui dette informazioni sono presentate su un supporto durevole, esse devono essere leggibili.

2. Se un contratto a distanza che deve essere concluso con mezzi elettronici impone al consumatore l'obbligo di pagare, l'operatore economico gli comunica in modo chiaro ed evidente le informazioni di cui all'articolo 49, comma 1, lettere a), e), n-bis), q) e r), direttamente prima che il consumatore inoltri l'ordine. Il professionista garantisce che, al momento di inoltrare l'ordine, il consumatore riconosca espressamente che l'ordine implica l'obbligo di pagare. Se l'inoltro dell'ordine implica di azionare un pulsante o una funzione analoga, il pulsante o la funzione analoga riportano in modo facilmente leggibile soltanto le parole "ordine con obbligo di pagare" o una formulazione corrispondente inequivocabile indicante che l'inoltro dell'ordine implica l'obbligo di pagare il professionista. Se il professionista non osserva il presente comma, il consumatore non è vincolato dal contratto o dall'ordine. (57)

3. I siti di commercio elettronico indicano in modo chiaro e leggibile, al più tardi all'inizio del processo di ordinazione, se si applicano restrizioni relative alla consegna e quali mezzi di pagamento sono accettati.

4. Se il contratto è concluso mediante un mezzo di comunicazione a distanza che consente uno spazio o un tempo limitato per comunicare le informazioni, il professionista fornisce, su o mediante quello specifico mezzo e prima della conclusione del contratto, almeno le informazioni precontrattuali riguardanti le caratteristiche principali dei beni o servizi, l'identità del professionista, il prezzo totale, il diritto di recesso, la durata del contratto e, nel caso di contratti a tempo indeterminato, le condizioni di risoluzione del contratto, come indicato rispettivamente all'articolo 49, comma 1, lettere a), b), e), h) e q), eccetto il modulo di recesso tipo figurante all'allegato I, parte B, di cui alla lettera h). Le altre informazioni di cui all'articolo 49, comma 1, compreso il modello del modulo di recesso, sono fornite dal professionista in un modo appropriato conformemente al comma 1 del presente articolo.

5. Fatto salvo il comma 4, se il professionista telefona al consumatore al fine di concludere un contratto a distanza, all'inizio della conversazione con il consumatore egli deve rivelare la sua identità e, ove applicabile, l'identità della persona per conto della quale effettua la telefonata, nonché lo scopo commerciale della chiamata e l'informativa di cui all'articolo 10 del decreto del Presidente della Repubblica 7 settembre 2010, n. 178.

6. Quando un contratto a distanza deve essere concluso per telefono, il professionista deve confermare l'offerta al consumatore, il quale è vincolato solo dopo aver firmato l'offerta o dopo averla accettata per iscritto; in tali casi il documento informatico può essere sottoscritto con firma elettronica ai sensi dell'articolo 21 del decreto legislativo 7 marzo 2005, n. 82, e successive modificazioni. Dette conferme possono essere effettuate, se il consumatore acconsente, anche su un supporto durevole. In ogni caso il consenso non è valido se il consumatore non ha preliminarmente confermato la ricezione del documento contenente tutte le condizioni contrattuali, trasmesse su supporto cartaceo o altro supporto durevole disponibile e accessibile.

7. Il professionista fornisce al consumatore la conferma del contratto concluso su un mezzo durevole, entro un termine ragionevole dopo la conclusione del contratto a distanza e al più tardi al momento della consegna dei beni oppure prima che l'esecuzione del servizio abbia inizio. Tale conferma comprende: a) tutte le informazioni di cui all'articolo 49, comma 1, a meno che il professionista non abbia già fornito l'informazione al consumatore su un mezzo durevole prima della conclusione del contratto a distanza; e b) se del caso, la conferma del previo consenso espresso e dell'accettazione del consumatore conformemente all'articolo 59, lettera o).

8. Se un consumatore vuole che la prestazione dei servizi ovvero la fornitura di acqua, gas o elettricità, quando non sono messi in vendita in un volume limitato o in quantità determinata, o di teleriscaldamento inizi durante il periodo di recesso previsto all'articolo 52, comma 2, e il contratto impone al consumatore l'obbligo di pagare, il professionista esige che il consumatore ne faccia richiesta esplicita e chiede inoltre al consumatore di riconoscere che, una volta che il contratto sarà stato interamente eseguito dal professionista, il consumatore non avrà più il diritto di recesso.

8-bis. Al fine di rafforzare la tutela dei clienti finali domestici e il loro diritto di scelta delle condizioni economiche, decorsi sessanta giorni dalla data di entrata in vigore della presente disposizione, è vietato effettuare sollecitazioni commerciali per telefono, anche mediante l'invio di messaggi a consumatori, finalizzate alla proposta o alla conclusione di contratti di fornitura di energia elettrica e gas. Il professionista può contattare il consumatore per telefono, anche mediante l'invio di messaggi, qualora vi sia stata una richiesta effettuata direttamente al professionista stesso attraverso interfacce informatiche di quest'ultimo oppure nel caso in cui il contatto sia stato effettuato nei confronti dei propri clienti di energia elettrica e gas che abbiano espresso specifico consenso a ricevere proposte commerciali. È onere del professionista dimostrare la validità del contatto.

8-ter. I contatti telefonici di cui al comma 8-bis sono effettuati dal professionista da un numero che lo identifica univocamente. I contratti stipulati a seguito di contatto effettuato in violazione di quanto previsto dal comma 8-bis e dal presente comma sono nulli. Il consumatore può avvalersi degli strumenti di risoluzione alternativa delle controversie di cui alla parte V, titolo II-bis, e del servizio di conciliazione dell'Autorità di regolazione per energia, reti e ambiente.

8-quater. Gli utenti possono segnalare al Garante per la protezione dei dati personali e all'Autorità per le garanzie nelle comunicazioni (AGCOM) i casi di chiamata effettuata in violazione di quanto previsto dai commi 8-bis e 8-ter, indicando il numero da cui proviene la chiamata. Qualora l'AGCOM, nell'ambito dell'attività istruttoria svolta d'ufficio o a seguito della segnalazione di cui al primo periodo, accerti che la chiamata proviene da numeri diversi da quelli assegnati al professionista, ordina al gestore telefonico competente l'immediata sospensione dell'utilizzo delle linee allo stesso assegnate. Il Garante per la protezione dei dati personali, nell'ambito della propria attività istruttoria, può chiedere all'AGCOM, in presenza di un numero significativo di segnalazioni di chiamate effettuate senza previo consenso, di procedere alla sospensione di cui al secondo periodo.

9. Il presente articolo lascia impregiudicate le disposizioni relative alla conclusione di contratti elettronici e all'inoltro di ordini per via elettronica conformemente agli articoli 12, commi 2 e 3, e 13 del decreto legislativo 9 aprile 2003, n. 70, e successive modificazioni. (24)

Codice del consumo — Articolo 52 — Diritto di recesso

1. Fatte salve le eccezioni di cui all'articolo 59, il consumatore dispone di un periodo di quattordici giorni per recedere da un contratto a distanza o negoziato fuori dei locali commerciali senza dover fornire alcuna motivazione e senza dover sostenere costi diversi da quelli previsti all'articolo 56, comma 2, e all'articolo 57.

1-bis. Il periodo di recesso di quattordici giorni di cui al comma 1 è prolungato a trenta giorni, per i contratti conclusi nel contesto di visite non richieste di un professionista presso l'abitazione di un consumatore oppure di escursioni organizzate da un professionista con lo scopo o con l'effetto di promuovere o vendere prodotti ai consumatori. La disposizione di cui al presente comma non si applica ai contratti conclusi nel contesto di visite domiciliari da parte di un professionista, richieste da un consumatore e non organizzate dal medesimo in forma collettiva

2. Fatto salvo l'articolo 53, il periodo di recesso di cui al comma 1 del presente articolo termina dopo quattrodici giorni, o, nei casi di cui al comma 1-bis, dopo trenta giorni a decorrere: a) nel caso dei contratti di servizi, dal giorno della conclusione del contratto; b) nel caso di contratti di vendita, dal giorno in cui il consumatore o un terzo, diverso dal vettore e designato dal consumatore, acquisisce il possesso fisico dei beni o: 1) nel caso di beni multipli ordinati dal consumatore mediante un solo ordine e consegnati separatamente, dal giorno in cui il consumatore o un terzo, diverso dal vettore e designato dal consumatore, acquisisce il possesso fisico dell'ultimo bene; 2) nel caso di consegna di un bene costituito da lotti o pezzi multipli, dal giorno in cui il consumatore o un terzo, diverso dal vettore e designato dal consumatore, acquisisce il possesso fisico dell'ultimo lotto o pezzo; 3) nel caso di contratti per la consegna periodica di beni durante un determinato periodo di tempo, dal giorno in cui il consumatore o un terzo, diverso dal vettore e designato dal consumatore, acquisisce il possesso fisico del primo bene; c) nel caso di contratti per la fornitura di acqua, gas o elettricità, quando non sono messi in vendita in un volume limitato o in quantità determinata, di teleriscaldamento o di contenuto digitale non fornito su un supporto materiale, dal giorno della conclusione del contratto.

3. Le parti del contratto possono adempiere ai loro obblighi contrattuali durante il periodo di recesso. Tuttavia, nel caso di contratti negoziati fuori dei locali commerciali, il professionista non può accettare, a titolo di corrispettivo, effetti cambiari che abbiano una scadenza inferiore a quindici giorni dalla conclusione del contratto per i contratti di servizi o dall'acquisizione del possesso fisico dei beni per i contratti di vendita e non può presentarli allo sconto prima di tale termine.

3-bis. Nel caso di cui al comma 1-bis, il professionista non può accettare, a titolo di corrispettivo, effetti cambiari che abbiano una scadenza inferiore a trentuno giorni dalla conclusione del contratto per i contratti di servizi o all'acquisizione del possesso fisico dei beni per i contratti di vendita e non può presentarli allo sconto prima di tale termine.

Codice del consumo — Articolo 53 — Non adempimento dell'obbligo d'informazione sul diritto di recesso

1. Se in violazione dell'articolo 49, comma 1, lettera h), il professionista non fornisce al consumatore le informazioni sul diritto di recesso, il periodo di recesso termina dodici mesi dopo la fine del periodo di recesso iniziale, come determinato a norma dell'articolo 52, comma 2.

2. Se il professionista fornisce al consumatore le informazioni di cui al comma 1 del presente articolo entro dodici mesi dalla data di cui all'articolo 52, comma 2, il periodo di recesso termina quattordici giorni dopo il giorno in cui il consumatore riceve le informazioni. Nel caso di contratti conclusi nel contesto di visite non richieste di un professionista presso l'abitazione di un consumatore oppure di escursioni organizzate da un professionista con lo scopo o con l'effetto di promuovere o vendere prodotti ai consumatori di cui all'articolo 52, comma 1-bis, tale periodo termina trenta giorni dopo il giorno in cui il consumatore riceve le informazioni.

Codice del consumo — Articolo 54 — Esercizio del diritto di recesso

1. Prima della scadenza del periodo di recesso, il consumatore informa il professionista della sua decisione di esercitare il diritto di recesso dal contratto. A tal fine il consumatore può: a) utilizzare il modulo tipo di recesso di cui all'allegato I, parte B; oppure b) presentare una qualsiasi altra dichiarazione esplicita della sua decisione di recedere dal contratto.

2. Il consumatore ha esercitato il proprio diritto di recesso entro il periodo di recesso di cui all'articolo 52, comma 2, e all'articolo 53 se la comunicazione relativa all'esercizio del diritto di recesso è inviata dal consumatore prima della scadenza del periodo di recesso.

3. Il professionista, oltre alle possibilità di cui al comma 1, può offrire al consumatore l'opzione di compilare e inviare elettronicamente il modulo di recesso tipo riportato all'allegato I, parte B, o una qualsiasi altra dichiarazione esplicita sul sito web del professionista. In tali casi il professionista comunica senza indugio al consumatore una conferma di ricevimento, su un supporto durevole, del recesso esercitato.

4. L'onere della prova relativa all'esercizio del diritto di recesso conformemente al presente articolo incombe sul consumatore.

Codice del consumo — Articolo 54-bis — Esercizio del diritto di recesso dai contratti a distanza conclusi mediante un'interfaccia online

1. Per i contratti a distanza conclusi mediante un'interfaccia online, il professionista consente al consumatore di recedere dal contratto anche utilizzando una funzione di recesso.

2. La funzione di recesso consente al consumatore di inviare una dichiarazione di recesso online che informa il professionista della sua decisione di recedere dal contratto. Tale dichiarazione di recesso online consente al consumatore di fornire o confermare facilmente le seguenti informazioni: a) il suo nome; b) le informazioni che identificano il contratto dal quale intende recedere; c) le informazioni relative al mezzo elettronico tramite il quale la conferma del recesso sarà inviata al consumatore.

3. La funzione di recesso è indicata in modo facilmente leggibile con le parole: "recedere dal contratto qui" o con un'altra formulazione equivalente altrettanto inequivocabile. Tale funzione è resa disponibile in maniera continuativa per tutto il periodo in cui può essere esercitato il diritto di recesso, figura in modo ben visibile sull'interfaccia online ed è facilmente accessibile al consumatore.

4. Una volta che il consumatore ha compilato la dichiarazione di recesso online a norma del comma 2, il professionista gli consente di presentarla mediante una funzione di conferma.

5. La funzione di conferma è indicata in modo facilmente leggibile con le parole: "conferma recesso" o con un'altra formulazione altrettanto inequivocabile.

6. Una volta che il consumatore ha attivato la funzione di conferma, il professionista invia al consumatore, senza indebito ritardo, un avviso di ricevimento del recesso su un supporto durevole, comprensivo del suo contenuto e della data e dell'ora della sua trasmissione.

7. Il diritto di recesso si considera esercitato dal consumatore entro il termine di recesso previsto se la dichiarazione di recesso online è trasmessa dallo stesso consumatore prima della scadenza del termine di recesso. 55

Codice del consumo — Articolo 55 — Effetti del recesso

Art. 55 Effetti del recesso 1. L'esercizio del diritto di recesso pone termine agli obblighi delle parti: a) di eseguire il contratto a distanza o negoziato fuori dei locali commerciali; oppure b) di concludere un contratto a distanza o negoziato fuori dei locali commerciali nei casi in cui un'offerta sia stata fatta dal consumatore. 24 ------------- AGGIORNAMENTO (24) Il D.Lgs. 21 febbraio 2014, n. 21 ha disposto (con l'art. 2, comma 1) che le modifiche apportate al presente articolo si applicano ai contratti conclusi dopo il 13 giugno 2014.

Codice del consumo — Articolo 56 — Obblighi del professionista nel caso di recesso

1. Il professionista rimborsa tutti i pagamenti ricevuti dal consumatore, eventualmente comprensivi delle spese di consegna, senza indebito ritardo e comunque entro quattordici giorni dal giorno in cui è informato della decisione del consumatore di recedere dal contratto ai sensi dell'articolo 54. Il professionista esegue il rimborso di cui al primo periodo utilizzando lo stesso mezzo di pagamento usato dal consumatore per la transazione iniziale, salvo che il consumatore abbia espressamente convenuto altrimenti e a condizione che questi non debba sostenere alcun costo quale conseguenza del rimborso. Nell'ipotesi in cui il pagamento sia stato effettuato per mezzo di effetti cambiari, qualora questi non siano stati ancora presentati all'incasso, deve procedersi alla loro restituzione. È nulla qualsiasi clausola che preveda limitazioni al rimborso nei confronti del consumatore delle somme versate in conseguenza dell'esercizio del diritto di recesso.

2. Fatto salvo il comma 1, il professionista non è tenuto a rimborsare i costi supplementari, qualora il consumatore abbia scelto espressamente un tipo di consegna diversa dal tipo meno costoso di consegna offerto dal professionista.

3. Salvo che il professionista abbia offerto di ritirare egli stesso i beni, con riguardo ai contratti di vendita, il professionista può trattenere il rimborso finchè non abbia ricevuto i beni oppure finchè il consumatore non abbia dimostrato di aver rispedito i beni, a seconda di quale situazione si verifichi per prima.

3-bis. Per quanto riguarda i dati personali del consumatore, il professionista rispetta gli obblighi applicabili a norma del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016.

3-ter. Il professionista si astiene dall'utilizzare qualsiasi contenuto, diverso dai dati personali, che è stato fornito o creato dal consumatore durante l'utilizzo del contenuto digitale o del servizio digitale fornito dal professionista, salvo quando tale contenuto: a) è privo di utilità al di fuori del contesto del contenuto digitale o del servizio digitale fornito dal professionista; b) riguarda unicamente l'attività del consumatore durante l'utilizzo del contenuto digitale o del servizio digitale fornito dal professionista; c) è stato aggregato dal professionista ad altri dati e non può essere disaggregato o può esserlo soltanto con sforzi sproporzionati; d) è stato generato congiuntamente dal consumatore e da altre persone, e se altri consumatori possono continuare a farne uso.

3-quater. Fatta eccezione per le situazioni di cui al comma 3-ter, lettera a), b) o c), il professionista, su richiesta del consumatore, mette a disposizione di questi qualsiasi contenuto, diverso dai dati personali, fornito o creato dal consumatore durante l'utilizzo del contenuto digitale o del servizio digitale fornito dal professionista.

3-quinquies. Il consumatore ha il diritto di recuperare dal professionista tali contenuti digitali gratuitamente e senza impedimenti, entro un lasso di tempo ragionevole e in un formato di uso comune e leggibile da dispositivo automatico.

3-sexies. In caso di recesso dal contratto, il professionista può impedire qualsiasi ulteriore utilizzo del contenuto digitale o del servizio digitale da parte del consumatore, in particolare rendendogli inaccessibile tale contenuto o servizio digitale o disattivando il suo account utente, fatto salvo quanto previsto al comma 3-quater.

Codice del consumo — Articolo 57 — Obblighi del consumatore nel caso di recesso

1. A meno che il professionista abbia offerto di ritirare egli stesso i beni, il consumatore restituisce i beni o li consegna al professionista o a un terzo autorizzato dal professionista a ricevere i beni, senza indebito ritardo e in ogni caso entro quattordici giorni dalla data in cui ha comunicato al professionista la sua decisione di recedere dal contratto ai sensi dell'articolo 54. Il termine è rispettato se il consumatore rispedisce i beni prima della scadenza del periodo di quattordici giorni. Il consumatore sostiene solo il costo diretto della restituzione dei beni, purché il professionista non abbia concordato di sostenerlo o abbia omesso di informare il consumatore che tale costo è a carico del consumatore. Nel caso di contratti negoziati fuori dei locali commerciali in cui i beni sono stati consegnati al domicilio del consumatore al momento della conclusione del contratto, il professionista ritira i beni a sue spese qualora i beni, per loro natura, non possano essere normalmente restituiti a mezzo posta.

2. Il consumatore è responsabile unicamente della diminuzione del valore dei beni risultante da una manipolazione dei beni diversa da quella necessaria per stabilire la natura, le caratteristiche e il funzionamento dei beni. Il consumatore non è in alcun caso responsabile per la diminuzione del valore dei beni se il professionista ha omesso di informare il consumatore del suo diritto di recesso a norma dell'articolo 49, comma 1, lettera h).

2-bis. In caso di recesso dal contratto, il consumatore si astiene dall'utilizzare il contenuto digitale o il servizio digitale e dal metterlo a disposizione di terzi.

3. Qualora un consumatore eserciti il diritto di recesso dopo aver presentato una richiesta in conformità dell'articolo 50, comma 3, o dell'articolo 51, comma 8, il consumatore versa al professionista un importo proporzionale a quanto è stato fornito fino al momento in cui il consumatore ha informato il professionista dell'esercizio del diritto di recesso, rispetto a tutte le prestazioni previste dal contratto. L'importo proporzionale che il consumatore deve pagare al professionista è calcolato sulla base del prezzo totale concordato nel contratto. Se detto prezzo totale è eccessivo, l'importo proporzionale è calcolato sulla base del valore di mercato di quanto è stato fornito.

4. Il consumatore non sostiene alcun costo per: a) la prestazione di servizi o la fornitura di acqua, gas o elettricità, quando non sono messi in vendita in un volume limitato o in quantità determinata, o di teleriscaldamento, in tutto o in parte, durante il periodo di recesso quando: 1) il professionista ha omesso di fornire informazioni in conformità all'articolo 49, comma 1, lettere h) ed l); oppure 2) il consumatore non ha espressamente chiesto che la prestazione iniziasse durante il periodo di recesso in conformità all'articolo 50, comma 3, e dell'articolo 51, comma 8; oppure b) la fornitura, in tutto o in parte, del contenuto digitale che non è fornito su un supporto materiale quando: 1) il consumatore non ha dato il suo previo consenso espresso circa l'inizio della prestazione prima della fine del periodo di quattordici o trenta giorni di cui all'articolo 52; 2) il consumatore non ha riconosciuto di perdere il diritto di recesso quando ha espresso il suo consenso; oppure 3) il professionista ha omesso di fornire la conferma conformemente all'articolo 50, comma 2, o all'articolo 51, comma 7.

5. Fatto salvo quanto previsto nell'articolo 56, comma 2, e nel presente articolo, l'esercizio del diritto di recesso non comporta alcuna responsabilità per il consumatore. (24)

Codice del consumo — Articolo 58 — Effetti dell'esercizio del diritto di recesso sui contratti accessori

1. Fatto salvo quanto previsto dal decreto legislativo 1° settembre 1993, n. 385, e successive modificazioni, in materia di contratti di credito ai consumatori, se il consumatore esercita il suo diritto di recesso da un contratto a distanza o concluso fuori dei locali commerciali a norma degli articoli da 52 a 57, eventuali contratti accessori sono risolti di diritto, senza costi per il consumatore, ad eccezione di quelli previsti dall'articolo 56, comma 2, e dall'articolo 57. 55 (24)

Codice del consumo — Articolo 59 — Eccezioni al diritto di recesso

1. Il diritto di recesso di cui agli articoli da 52 a 58 per i contratti a distanza e i contratti negoziati fuori dei locali commerciali è escluso relativamente a: a) i contratti di servizi dopo la completa prestazione del servizio ma, se il contratto impone al consumatore l'obbligo di pagare, solo se l'esecuzione è iniziata con il previo consenso espresso del consumatore e l'accettazione del fatto che perderà il proprio diritto di recesso a seguito della completa esecuzione del contratto da parte del professionista; b) la fornitura di beni o servizi il cui prezzo è legato a fluttuazioni nel mercato finanziario che il professionista non è in grado di controllare e che possono verificarsi durante il periodo di recesso; c) la fornitura di beni confezionati su misura o chiaramente personalizzati; d) la fornitura di beni che rischiano di deteriorarsi o scadere rapidamente; e) la fornitura di beni sigillati che non si prestano ad essere restituiti per motivi igienici o connessi alla protezione della salute e sono stati aperti dopo la consegna; f) la fornitura di beni che, dopo la consegna, risultano, per loro natura, inscindibilmente mescolati con altri beni; g) la fornitura di bevande alcoliche, il cui prezzo sia stato concordato al momento della conclusione del contratto di vendita, la cui consegna possa avvenire solo dopo trenta giorni e il cui valore effettivo dipenda da fluttuazioni sul mercato che non possono essere controllate dal professionista; h) i contratti in cui il consumatore ha specificamente richiesto una visita da parte del professionista ai fini dell'effettuazione di lavori urgenti di riparazione o manutenzione. Se, in occasione di tale visita, il professionista fornisce servizi oltre a quelli specificamente richiesti dal consumatore o beni diversi dai pezzi di ricambio necessari per effettuare la manutenzione o le riparazioni, il diritto di recesso si applica a tali servizi o beni supplementari; i) la fornitura di registrazioni audio o video sigillate o di software informatici sigillati che sono stati aperti dopo la consegna; l) la fornitura di giornali, periodici e riviste ad eccezione dei contratti di abbonamento per la fornitura di tali pubblicazioni; m) i contratti conclusi in occasione di un'asta pubblica; n) la fornitura di alloggi per fini non residenziali, il trasporto di beni, i servizi di noleggio di autovetture, i servizi di catering o i servizi riguardanti le attività del tempo libero qualora il contratto preveda una data o un periodo di esecuzione specifici; o) i contratti per la fornitura di contenuto digitale mediante un supporto non materiale se l'esecuzione è iniziata e, se il contratto impone al consumatore l'obbligo di pagare, qualora: 1) il consumatore abbia dato il suo previo consenso espresso a iniziare la prestazione durante il periodo di diritto di recesso; 2) il consumatore abbia riconosciuto di perdere così il proprio diritto di recesso; 3) il professionista abbia fornito la conferma conformemente all'articolo 50, comma 2, o all'articolo 51, comma 7.

1-bis. Le eccezioni al diritto di recesso di cui al comma 1, lettere a), b), c) ed e), non si applicano ai contratti conclusi nel contesto di visite non richieste di un professionista presso l'abitazione di un consumatore oppure di escursioni organizzate da un professionista con lo scopo o con l'effetto di promuovere o vendere prodotti ai consumatori.

1-ter. Nei contratti di servizio che impongono al consumatore l'obbligo di pagare quando il consumatore abbia specificamente richiesto una visita da parte del professionista ai fini dell'effettuazione di lavori di riparazione, il consumatore perde il diritto di recesso dopo che il servizio è stato interamente prestato, purché l'esecuzione abbia avuto inizio con il previo consenso espresso del consumatore medesimo.

Codice del consumo — Articolo 61 — Consegna

1. Salva diversa pattuizione delle parti del contratto di vendita, il professionista è obbligato a consegnare i beni al consumatore senza ritardo ingiustificato e al più tardi entro trenta giorni dalla data di conclusione del contratto.

2. L'obbligazione di consegna è adempiuta mediante il trasferimento della disponibilità materiale o comunque del controllo dei beni al consumatore.

3. Se il professionista non adempie all'obbligo di consegna dei beni entro il termine pattuito ovvero entro il termine di cui al comma 1, il consumatore lo invita ad effettuare la consegna entro un termine supplementare appropriato alle circostanze. Se il termine supplementare così concesso scade senza che i beni gli siano stati consegnati, il consumatore è legittimato a risolvere il contratto, salvo il diritto al risarcimento dei danni.

4. Il consumatore non è gravato dall'onere di concedere al professionista il termine supplementare di cui al comma 3 se: a) il professionista si è espressamente rifiutato di consegnare i beni, ovvero; b) se il rispetto del termine pattuito dalle parti per la consegna del bene deve considerarsi essenziale, tenuto conto di tutte le circostanze che hanno accompagnato la conclusione del contratto, ovvero; c) se il consumatore ha informato il professionista, prima della conclusione del contratto, che la consegna entro o ad una data determinata è essenziale.

5. Nei casi previsti dal comma 4, se non riceve in consegna il bene entro il termine pattuito con il professionista ovvero entro il termine di cui al comma 1, il consumatore è legittimato a risolvere immediatamente il contratto, salvo il diritto al risarcimento dei danni.

6. Nel caso di risoluzione posta in essere dal consumatore a norma dei commi 3 e 5, il professionista è tenuto a rimborsargli senza indebito ritardo tutte le somme versate in esecuzione del contratto.

7. È fatta salva la possibilità per il consumatore di far valere i diritti di cui al Capo XIV del Titolo II del Libro IV del codice civile.

Codice del consumo — Articolo 62 — Tariffe per l'utilizzo di mezzi di pagamento

1. Ai sensi dell'articolo 3, comma 4, del decreto legislativo 27 gennaio 2010, n. 11, i professionisti non possono imporre ai consumatori, in relazione all'uso di determinati strumenti di pagamento, spese per l'uso di detti strumenti, ovvero nei casi espressamente stabiliti, tariffe che superino quelle sostenute dal professionista.

2. L'istituto di emissione della carta di pagamento riaccredita al consumatore i pagamenti in caso di addebitamento eccedente rispetto al prezzo pattuito ovvero in caso di uso fraudolento della propria carta di pagamento da parte del professionista o di un terzo. L'istituto di emissione della carta di pagamento ha diritto di addebitare al professionista le somme riaccreditate al consumatore.

Codice del consumo — Articolo 63 — Passaggio del rischio

1. Nei contratti che pongono a carico del professionista l'obbligo di provvedere alla spedizione dei beni il rischio della perdita o del danneggiamento dei beni, per causa non imputabile al venditore, si trasferisce al consumatore soltanto nel momento in cui quest'ultimo, o un terzo da lui designato e diverso dal vettore, entra materialmente in possesso dei beni.

2. Tuttavia, il rischio si trasferisce al consumatore già nel momento della consegna del bene al vettore qualora quest'ultimo sia stato scelto dal consumatore e tale scelta non sia stata proposta dal professionista, fatti salvi i diritti del consumatore nei confronti del vettore.

Codice del consumo — Articolo 64 — Comunicazione telefonica

Art. 64 Comunicazione telefonica 1. Qualora il professionista utilizza una linea telefonica allo scopo di essere contattato dal consumatore per telefono in merito al contratto concluso, il consumatore non è tenuto a pagare più della tariffa di base quando contatta il professionista, fermo restando il diritto dei fornitori dei servizi di comunicazione elettronica di applicare una tariffa per dette telefonate. 24 ------------- AGGIORNAMENTO (24) Il D.Lgs. 21 febbraio 2014, n. 21 ha disposto (con l'art. 2, comma 1) che le modifiche apportate al presente articolo si applicano ai contratti conclusi dopo il 13 giugno 2014.

Codice del consumo — Articolo 65 — Pagamenti supplementari

Art. 65 Pagamenti supplementari 1. Prima che il consumatore sia vincolato dal contratto o dall'offerta, il professionista chiede il consenso espresso del consumatore per qualsiasi pagamento supplementare oltre alla remunerazione concordata per l'obbligo contrattuale principale del professionista. Se il professionista non ottiene il consenso espresso del consumatore ma l'ha dedotto utilizzando opzioni prestabilite che il consumatore deve rifiutare per evitare il pagamento supplementare, il consumatore ha diritto al rimborso di tale pagamento. 24 ------------- AGGIORNAMENTO (24) Il D.Lgs. 21 febbraio 2014, n. 21 ha disposto (con l'art. 2, comma 1) che le modifiche apportate al presente articolo si applicano ai contratti conclusi dopo il 13 giugno 2014.

Codice del consumo — Articolo 66-bis — Foro competente

Art. 66-bis Foro competente 1. Per le controversie civili inerenti all'applicazione delle Sezioni da I a IV del presente capo la competenza territoriale inderogabile è del giudice del luogo di residenza o di domicilio del consumatore, se ubicati nel territorio dello Stato. 24 ------------- AGGIORNAMENTO (24) Il D.Lgs. 21 febbraio 2014, n. 21 ha disposto (con l'art. 2, comma 1) che le modifiche apportate al presente articolo si applicano ai contratti conclusi dopo il 13 giugno 2014.

Codice del consumo — Articolo 66-ter — Carattere imperativo

1. Se il diritto applicabile al contratto è quello di uno Stato membro dell'Unione europea, i consumatori residenti in Italia non possono rinunciare ai diritti conferiti loro dalle disposizioni delle Sezioni da I a IV del presente Capo.

2. Eventuali clausole contrattuali che escludano o limitino, direttamente o indirettamente, i diritti derivanti dalle disposizioni delle Sezioni da I a IV del presente Capo, non vincolano il consumatore.

Codice del consumo — Articolo 66-quater — Informazione e ricorso extragiudiziale

1. Le comunicazioni e i documenti relativi ai contratti negoziati fuori dai locali commerciali e ai contratti a distanza, ivi compresi i moduli, i formulari, le note d'ordine, la pubblicità o le comunicazioni sui siti Internet, devono contenere un riferimento al presente Capo.

2. L'operatore può adottare appositi codici di condotta, secondo le modalità di cui all'articolo 27-bis.

3. Per la risoluzione delle controversie sorte dall'esatta applicazione dei contratti disciplinati dalle disposizioni delle sezioni da I a IV del presente capo è possibile ricorrere alle procedure di risoluzione extragiudiziale delle controversie, di cui alla parte V, titolo II-bis, del presente codice.

Codice del consumo — Articolo 128 — Ambito di applicazione e definizioni

1. Il presente capo disciplina taluni aspetti dei contratti di vendita conclusi tra consumatore e venditore fra i quali la conformità dei beni al contratto, i rimedi in caso di difetto di conformità, le modalità di esercizio di tali rimedi e le garanzie convenzionali. A tali fini, ai contratti di vendita sono equiparati i contratti di permuta e di somministrazione nonché quelli di appalto, d'opera e tutti gli altri contratti comunque finalizzati alla fornitura di beni da fabbricare o produrre.

2. Ai fini del presente capo si intende per: a) contratto di vendita: qualsiasi contratto in base al quale il venditore trasferisce o si impegna a trasferire la proprietà di beni al consumatore e il consumatore ne paga o si impegna a pagare il prezzo; b) consumatore: la persona fisica di cui all'articolo 3, comma 1, lettera a); c) venditore: qualsiasi persona fisica o giuridica, pubblica o privata, che nell'esercizio della propria attività imprenditoriale o professionale, anche tramite altra persona che agisca in suo nome o per suo conto, utilizza i contratti di cui al comma 1, primo periodo, ivi compreso il fornitore di piattaforme se agisce per finalità che rientrano nel quadro della sua attività e quale controparte contrattuale del consumatore per la fornitura di contenuto digitale o di servizi digitali; d) produttore: il fabbricante di un bene, l'importatore di un bene nel territorio dell'Unione o qualsiasi altra persona che si presenta come produttore apponendo sul bene il suo nome, marchio o altro segno distintivo; e) bene: 1) qualsiasi bene mobile materiale anche da assemblare; l'acqua, il gas e l'energia elettrica quando sono confezionati per la vendita in un volume delimitato o in quantità determinata; 2) qualsiasi bene mobile materiale che incorpora, o è interconnesso con, un contenuto digitale o un servizio digitale in modo tale che la mancanza di detto contenuto digitale o servizio digitale impedirebbe lo svolgimento delle funzioni proprie del bene ("beni con elementi digitali"); 3) gli animali vivi; f) contenuto digitale: i dati prodotti e forniti in formato digitale; g) servizio digitale: 1) un servizio che consente al consumatore di creare, trasformare, memorizzare i dati o di accedervi in formato digitale; oppure 2) un servizio che consente la condivisione di dati in formato digitale caricati o creati dal consumatore o da altri utenti di tale servizio o qualsiasi altra interazione con tali dati; h) compatibilità: la capacità del bene di funzionare con hardware o software con cui sono normalmente utilizzati i beni del medesimo tipo, senza che sia necessario convertire i beni, l'hardware o il software; i) funzionalità: la capacità del bene di svolgere tutte le sue funzioni in considerazione del suo scopo; l) interoperabilità: la capacità del bene di funzionare con hardware o software diversi da quelli con cui sono normalmente utilizzati i beni dello stesso tipo; m) supporto durevole: ogni strumento che permetta al consumatore o al venditore di conservare le informazioni che gli sono personalmente indirizzate, in modo da potervi accedere in futuro per un periodo di tempo adeguato alle finalità cui esse sono destinate e che permetta la riproduzione identica delle informazioni memorizzate; n) garanzia convenzionale: qualsiasi impegno di un venditore o di un produttore (il "garante"), assunto nei confronti del consumatore, in aggiunta agli obblighi di legge in merito alla garanzia di conformità, di rimborsare il prezzo pagato, sostituire, riparare, o intervenire altrimenti sul bene, qualora esso non corrisponda alle caratteristiche, o a qualsiasi altro requisito non relativo alla conformità, enunciati nella dichiarazione di garanzia o nella relativa pubblicità disponibile al momento o prima della conclusione del contratto; o) durabilità: la capacità dei beni di mantenere le loro specifiche funzioni e prestazioni attraverso un uso normale; p) senza spese: senza i costi necessari per rendere conformi i beni, con particolare riferimento alle spese di spedizione, di trasporto, di mano d'opera e di materiali; q) asta pubblica: metodo di vendita in cui i beni o servizi sono offerti dal venditore ai consumatori che partecipano, o ai quali è data la possibilità di partecipare personalmente all'asta, la quale si svolge mediante una trasparente procedura competitiva gestita da una casa d'aste e in cui l'aggiudicatario è tenuto all'acquisto dei beni o servizi.

3. Le disposizioni del presente capo non si applicano ai contratti di fornitura di un contenuto digitale o di un servizio digitale, i quali rientrano nel campo di applicazione delle disposizioni di attuazione della direttiva (UE) 2019/770 del Parlamento europeo e del Consiglio, del 20 maggio 2019, relativa a determinati aspetti dei contratti di fornitura di contenuti digitali o servizi digitali. Esse si applicano ai contenuti digitali o ai servizi digitali incorporati o interconnessi con beni, ai sensi del comma 2, lettera e), numero 2), i quali sono forniti con il bene in forza del contratto di vendita, indipendentemente dal fatto che i predetti contenuti digitali o servizi digitali siano forniti dal venditore o da terzi. Quando è dubbio se la fornitura di un contenuto o di un servizio digitale incorporato o interconnesso faccia parte del contratto di vendita, si presume che tale fornitura rientri nel contratto di vendita.

4. Le disposizioni del presente capo non si applicano inoltre: a) al supporto materiale che funge esclusivamente da vettore del contenuto digitale; b) ai beni oggetto di vendita forzata o comunque venduti dalle autorità giudiziarie, anche mediante delega ai notai, o secondo altre modalità previste dalla legge.

5. Le disposizioni del presente capo si applicano alla vendita di beni usati, tenuto conto del tempo del pregresso utilizzo, limitatamente ai difetti non derivanti dall'uso normale della cosa, anche nel caso in cui siano venduti in aste pubbliche qualora non siano state messe a disposizione dei consumatori informazioni chiare e complete circa l'inapplicabilità delle disposizioni del presente capo.

Codice del consumo — Articolo 129 — Conformità dei beni al contratto

1. Il venditore fornisce al consumatore beni che soddisfano i requisiti di cui ai commi 2 e 3, nonché le previsioni degli articoli 130 e 131 in quanto compatibili, fatto salvo quanto previsto dall'articolo 132.

2. Per essere conforme al contratto di vendita, il bene deve possedere i seguenti requisiti soggettivi, ove pertinenti: a) corrispondere alla descrizione, al tipo, alla quantità e alla qualità contrattuali e possedere la funzionalità, la compatibilità, l'interoperabilità e le altre caratteristiche come previste dal contratto di vendita; b) essere idoneo ad ogni utilizzo particolare voluto dal consumatore, che sia stato da questi portato a conoscenza del venditore al più tardi al momento della conclusione del contratto di vendita e che il venditore abbia accettato; c) essere fornito assieme a tutti gli accessori, alle istruzioni, anche inerenti all'installazione, previsti dal contratto di vendita; e d) essere fornito con gli aggiornamenti come previsto dal contratto di vendita.

3. Oltre a rispettare i requisiti soggettivi di conformità, per essere conforme al contratto di vendita il bene deve possedere i seguenti requisiti oggettivi, ove pertinenti:

a) essere idoneo agli scopi per i quali si impiegano di norma beni dello stesso tipo, tenendo eventualmente conto di altre disposizioni dell'ordinamento nazionale e del diritto dell'Unione, delle norme tecniche o, in mancanza di tali norme tecniche, dei codici di condotta dell'industria applicabili allo specifico settore;

b) ove pertinente, possedere la qualità e corrispondere alla descrizione di un campione o modello che il venditore ha messo a disposizione del consumatore prima della conclusione del contratto;

c) ove pertinente essere consegnato assieme agli accessori, compresi imballaggio, istruzioni per l'installazione o altre istruzioni, che il consumatore può ragionevolmente aspettarsi di ricevere; e,

d) essere della quantità e possedere le qualità e altre caratteristiche, anche in termini di durabilità, funzionalità, compatibilità e sicurezza, ordinariamente presenti in un bene del medesimo tipo e che il consumatore può ragionevolmente aspettarsi, tenuto conto della natura del bene e delle dichiarazioni pubbliche fatte dal o per conto del venditore, o da altre persone nell'ambito dei precedenti passaggi della catena di transazioni commerciali, compreso il produttore, in particolare nella pubblicità o nell'etichetta.

Codice del consumo — Articolo 130 — Obblighi del venditore e condotta del consumatore

1. Il venditore non è vincolato dalle dichiarazioni pubbliche di cui all'articolo 129, comma 3, lettera d), quando, anche alternativamente, dimostra che: a) non era a conoscenza della dichiarazione pubblica in questione e non poteva conoscerla con l'ordinaria diligenza; b) la dichiarazione pubblica è stata adeguatamente corretta entro il momento della conclusione del contratto con le stesse modalità, o con modalità simili a quelle con le quali è stata resa; c) la decisione di acquistare il bene non è stata influenzata dalla dichiarazione pubblica.

2. Nel caso di beni con elementi digitali, il venditore è obbligato a tenere informato il consumatore sugli aggiornamenti disponibili, anche di sicurezza, necessari al fine di mantenere la conformità di tali beni, e a fornirglieli, nel periodo di tempo: a) che il consumatore può ragionevolmente aspettarsi, date la tipologia e la finalità dei beni e degli elementi digitali, e tenendo conto delle circostanze e della natura del contratto, se il contratto di vendita prevede un unico atto di fornitura del contenuto digitale o del servizio digitale; oppure b) indicato all'articolo 133, commi 2 o 3, a seconda dei casi, se il contratto di vendita prevede una fornitura continuativa del contenuto digitale o del servizio digitale nell'arco di un periodo di tempo.

3. Se il consumatore non installa entro un congruo termine gli aggiornamenti forniti a norma del comma 2, il venditore non è responsabile per qualsiasi difetto di conformità derivante unicamente dalla mancanza dell'aggiornamento pertinente, a condizione che: a) il venditore abbia informato il consumatore della disponibilità dell'aggiornamento e delle conseguenze della mancata installazione dello stesso da parte del consumatore; e b) la mancata, o errata, installazione dell'aggiornamento da parte del consumatore non sia dovuta a carenze delle istruzioni di installazione fornite dal venditore al consumatore.

4. Non vi è difetto di conformità ai sensi dell'articolo 129, comma 3, e dell'articolo 130, comma 2, se, al momento della conclusione del contratto di vendita, il consumatore era stato specificamente informato del fatto che una caratteristica particolare del bene si discostava dai requisiti oggettivi di conformità previsti da tali norme e il consumatore ha espressamente e separatamente accettato tale scostamento al momento della conclusione del contratto di vendita.

Codice del consumo — Articolo 131 — Errata installazione dei beni

Art. 131 (Errata installazione dei beni). 1. L'eventuale difetto di conformità che deriva dall'errata installazione del bene è considerato difetto di conformità del bene se: a) l'installazione è prevista dal contratto di vendita ed è stata eseguita dal venditore o sotto la sua responsabilità; oppure b) l'installazione, da eseguirsi a carico del consumatore, è stata effettuata dal consumatore e l'errata installazione dipende da carenze nelle istruzioni di installazione fornite dal venditore o, per i beni con elementi digitali, fornite dal venditore o dal fornitore del contenuto digitale o del servizio digitale. 42 ---------------- AGGIORNAMENTO (42) Il D.Lgs. 4 novembre 2021, n. 170 ha disposto (con l'art. 2, comma 1) che la presente modifica acquista efficacia a decorrere dal 1° gennaio 2022 e si applica ai contratti conclusi successivamente a tale data.

Codice del consumo — Articolo 132 — Diritti dei terzi

Art. 132 (Diritti dei terzi). 1. I rimedi di cui all'articolo 135-bis si estendono ai casi di impedimento o limitazione d'uso del bene venduto in conformità a quanto previsto dagli articoli 129 e 130, conseguenti ad una restrizione derivante dalla violazione di diritti dei terzi, in particolare di diritti di proprietà intellettuale, fatte salve altre disposizioni previste dall'ordinamento giuridico in tema di nullità, annullamento o altre ipotesi di scioglimento del contratto. 42 ---------------- AGGIORNAMENTO (42) Il D.Lgs. 4 novembre 2021, n. 170 ha disposto (con l'art. 2, comma 1) che la presente modifica acquista efficacia a decorrere dal 1° gennaio 2022 e si applica ai contratti conclusi successivamente a tale data.

Codice del consumo — Articolo 133 — Responsabilità del venditore

1. Il venditore è responsabile nei confronti del consumatore di qualsiasi difetto di conformità esistente al momento della consegna del bene eseguita ai sensi dell'articolo 61 e che si manifesta entro due anni da tale momento. Fermo quanto previsto dall'articolo 130, comma 2, il presente comma si applica anche ai beni con elementi digitali.

2. Nel caso di beni con elementi digitali, quando il contratto di vendita prevede la fornitura continuativa del contenuto digitale o del servizio digitale per un periodo di tempo, il venditore è responsabile anche per qualsiasi difetto di conformità del contenuto digitale o del servizio digitale che si verifica o si manifesta entro due anni dal momento della consegna dei beni con elementi digitali. Se il contratto prevede una fornitura continuativa per più di due anni, il venditore risponde di qualsiasi difetto di conformità del contenuto digitale o del servizio digitale che si verifica o si manifesta nel periodo di tempo durante il quale il contenuto digitale o il servizio digitale deve essere fornito a norma del contratto di vendita.

3. L'azione diretta a far valere i difetti non dolosamente occultati dal venditore si prescrive, in ogni caso, nel termine di ventisei mesi dalla consegna del bene; il consumatore, che sia convenuto per l'esecuzione del contratto, può tuttavia far valere sempre i diritti di cui all'articolo 135-bis.

4. Nel caso di beni usati le parti possono limitare la durata della responsabilità di cui ai commi 1 e 2 e il termine di prescrizione di cui al comma 3 ad un periodo di tempo non inferiore ad un anno.

Codice del consumo — Articolo 134 — Diritto di regresso

1. Il venditore finale, quando è responsabile nei confronti del consumatore a causa di un difetto di conformità imputabile ad un'azione o ad un'omissione di una persona nell'ambito dei passaggi precedenti della medesima catena contrattuale distributiva, inclusa l'omissione di fornire gli aggiornamenti per i beni con elementi digitali a norma dell'articolo 130, comma 2, ha diritto di regresso nei confronti della persona o delle persone responsabili nella catena di transazioni commerciali.

2. Il venditore finale che abbia ottemperato ai rimedi esperiti dal consumatore può agire in regresso, entro un anno dall'esecuzione della prestazione, nei confronti del soggetto o dei soggetti responsabili per ottenere la reintegrazione di quanto prestato.

Codice del consumo — Articolo 135 — Onere della prova

1. Salvo prova contraria, si presume che qualsiasi difetto di conformità che si manifesta entro un anno dal momento in cui il bene è stato consegnato esistesse già a tale data, a meno che tale ipotesi sia incompatibile con la natura del bene o con la natura del difetto di conformità. Il presente comma si applica anche ai beni con elementi digitali.

2. Per i beni con elementi digitali per i quali il contratto di vendita prevede la fornitura continuativa del contenuto digitale o del servizio digitale per un periodo di tempo, l'onere della prova riguardo al fatto che il contenuto digitale o il servizio digitale era conforme entro il periodo di tempo di cui all'articolo 133, comma 2, spetta al venditore per qualsiasi difetto di conformità che si manifesta entro il termine indicato da tale articolo.

Codice del consumo — Articolo 135-bis — Rimedi

1. In caso di difetto di conformità del bene, il consumatore ha diritto al ripristino della conformità, o a ricevere una riduzione proporzionale del prezzo, o alla risoluzione del contratto sulla base delle condizioni stabilite nei seguenti commi.

2. Ai fini del ripristino della conformità del bene, il consumatore può scegliere tra riparazione e sostituzione, purché il rimedio prescelto non sia impossibile o, rispetto al rimedio alternativo, non imponga al venditore costi sproporzionati, tenuto conto di tutte le circostanze e, in particolare, delle seguenti: a) il valore che il bene avrebbe in assenza del difetto di conformità; b) l'entità del difetto di conformità; e c) la possibilità di esperire il rimedio alternativo senza notevoli inconvenienti per il consumatore.

3. Il venditore può rifiutarsi di rendere conformi i beni se la riparazione e la sostituzione sono impossibili o se i costi che il venditore dovrebbe sostenere sono sproporzionati, tenuto conto di tutte le circostanze, comprese quelle di cui al comma 2, lettere a) e b).

4. Il consumatore ha diritto ad una riduzione proporzionale del prezzo o alla risoluzione del contratto di vendita ai sensi dell'articolo 135-quater nel caso in cui: a) il venditore non ha effettuato la riparazione o la sostituzione oppure non ha effettuato la riparazione o la sostituzione, ove possibile, ai sensi dell'articolo 135-ter, commi 1, 2 e 3, oppure ha rifiutato di rendere conformi i beni ai sensi del comma 3; b) si manifesta un difetto di conformità, nonostante il tentativo del venditore di ripristinare la conformità del bene; c) il difetto di conformità è talmente grave da giustificare l'immediata riduzione del prezzo o la risoluzione del contratto di vendita; oppure d) il venditore ha dichiarato o risulta chiaramente dalle circostanze, che non procederà al ripristino della conformità del bene entro un periodo ragionevole o senza notevoli inconvenienti per il consumatore.

5. Il consumatore non ha il diritto di risolvere il contratto se il difetto di conformità è solo di lieve entità. L'onere della prova della lieve entità del difetto è a carico del venditore.

6. Il consumatore può rifiutarsi di eseguire il pagamento di qualsiasi parte di prezzo fino a quando il venditore non abbia adempiuto agli obblighi previsti dal presente capo. Restano ferme le disposizioni del codice civile che disciplinano l'eccezione di inadempimento e il concorso del fatto del consumatore.

Codice del consumo — Articolo 135-ter — Riparazione o sostituzione

1. La riparazione o la sostituzione sono effettuate: a) senza spese; b) entro un congruo periodo di tempo dal momento in cui il venditore è stato informato dal consumatore del difetto di conformità; e c) senza notevoli inconvenienti per il consumatore, tenuto conto della natura del bene e dello scopo per il quale il consumatore ha voluto il bene.

2. Qualora si debba rimediare al difetto di conformità mediante riparazione o sostituzione dei beni, il consumatore deve metterli a disposizione del venditore. Il venditore riprende i beni sostituiti a proprie spese.

3. Qualora la riparazione richieda la rimozione del bene installato in modo conforme alla natura e allo scopo dello stesso prima che si manifesti il difetto di conformità, o qualora si riveli necessario sostituire il bene, l'obbligo di riparare o sostituire il bene comprende la rimozione del bene non conforme e l'installazione del bene sostitutivo o riparato, oppure l'obbligo di sostenere le spese di rimozione o installazione.

4. Il consumatore non è tenuto a pagare per il normale uso del bene sostituito nel periodo precedente la sostituzione.

Codice del consumo — Articolo 135-quater — Riduzione del prezzo e risoluzione del contratto

1. La riduzione del prezzo è proporzionale alla diminuzione di valore del bene ricevuto dal consumatore rispetto al valore che avrebbe avuto se fosse stato conforme.

2. Il consumatore esercita il diritto alla risoluzione del contratto di vendita mediante una dichiarazione diretta al venditore contenente la manifestazione di volontà di risolvere il contratto di vendita.

3. Se il difetto di conformità riguarda solo alcuni dei beni consegnati a norma del contratto di vendita e sussiste una causa di risoluzione del contratto di vendita ai sensi dell'articolo 135-bis, il consumatore può risolvere il contratto limitatamente ai beni non conformi e a quelli acquistati insieme ai beni non conformi, qualora non sia ragionevolmente presumibile la sussistenza di un interesse del consumatore a mantenere nella propria disponibilità i beni non affetti da vizi.

4. Se il consumatore risolve interamente il contratto di vendita o, conformemente al comma 3, limitatamente ad alcuni dei beni consegnati in forza del contratto di vendita:

a) il consumatore restituisce il bene al venditore, a spese di quest'ultimo, e

b) il venditore rimborsa al consumatore il prezzo pagato per il bene al ricevimento del bene o delle prove fornite dal consumatore in ordine al fatto di aver restituito o spedito il bene.

Codice del consumo — Articolo 135-quinquies — Garanzie convenzionali

1. La garanzia convenzionale vincola chi la offre secondo le modalità indicate nella dichiarazione di garanzia medesima e nella relativa pubblicità disponibile al momento o prima della conclusione del contratto. Secondo le condizioni stabilite nel presente articolo e fatte salve eventuali altre disposizioni applicabili del diritto dell'Unione o nazionale, quando un produttore offre al consumatore una garanzia convenzionale concernente la durabilità di determinati beni nell'arco di un determinato periodo di tempo, il produttore è direttamente responsabile nei confronti del consumatore durante l'intero periodo di durata della garanzia per la riparazione o la sostituzione dei beni in conformità dell'articolo 135-ter. Nella dichiarazione di garanzia convenzionale di durabilità il produttore può offrire al consumatore condizioni più favorevoli. Se le condizioni stabilite nella dichiarazione di garanzia convenzionale sono meno vantaggiose per il consumatore rispetto alle condizioni stabilite nella relativa pubblicità, la garanzia convenzionale vincola secondo le condizioni stabilite nella pubblicità relativa alla garanzia convenzionale, a meno che la pubblicità associata sia stata corretta prima della conclusione del contratto secondo le stesse modalità, o con modalità simili a quelle in cui è stata resa.

2. La dichiarazione di garanzia convenzionale è fornita al consumatore su supporto durevole al più tardi al momento della consegna dei beni. La dichiarazione di garanzia convenzionale è redatta in un linguaggio semplice e comprensibile. Essa comprende i seguenti elementi: a) una dichiarazione chiara che il consumatore dispone per legge, a titolo gratuito, di rimedi per i difetti di conformità nei confronti del venditore e che tali rimedi non sono pregiudicati dalla garanzia convenzionale; b) nome e indirizzo del garante; c) la procedura che il consumatore deve seguire per far valere la garanzia convenzionale; d) la designazione dei beni cui si applica la garanzia convenzionale; e e) le condizioni della garanzia convenzionale.

3. La garanzia deve essere redatta in lingua italiana con caratteri non meno evidenti di quelli di eventuali altre lingue.

4. Il mancato rispetto di quanto previsto dal comma 2 non pregiudica l'efficacia vincolante della garanzia convenzionale per il garante.

Codice del consumo — Articolo 135-sexies — Carattere imperativo delle disposizioni

1. Salvo quanto altrimenti disposto dal presente capo, è nullo ogni patto, anteriore alla comunicazione al venditore del difetto di conformità, volto ad escludere o limitare a danno del consumatore, anche in modo indiretto, i diritti riconosciuti dal presente capo. La nullità può essere fatta valere solo dal consumatore e può essere rilevata d'ufficio dal giudice.

2. Il venditore può sempre offrire al consumatore condizioni contrattuali di maggior tutela rispetto a quanto previsto dalle disposizioni del presente capo.

3. È nulla ogni clausola contrattuale che, prevedendo l'applicabilità al contratto di una legislazione di uno Stato non appartenente all'Unione europea, abbia l'effetto di privare il consumatore della protezione assicurata dal presente capo, laddove il contratto presenti uno stretto collegamento con il territorio di uno Stato membro dell'Unione europea.

Codice del consumo — Articolo 135-septies — Tutela in base ad altre disposizioni

1. Per quanto non previsto dal presente capo, si applicano le disposizioni del codice civile in tema di formazione, validità ed efficacia dei contratti, comprese le conseguenze della risoluzione del contratto e il diritto al risarcimento del danno.

2. Per gli aspetti disciplinati dal presente capo non si applicano altre disposizioni aventi l'effetto di garantire al consumatore un diverso livello di tutela.

Appendice B — GDPR: principi, diritti, sicurezza, trasferimenti e rimedi

Fonte: Garante per la protezione dei dati personali, Regolamento (UE) 2016/679, versione arricchita con riferimenti ai considerando e aggiornata alle rettifiche pubblicate nella Gazzetta ufficiale dell’Unione europea n. 127 del 23 maggio 2018. Pagina della fonte: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/6264597 . La riproduzione è informativa e non ufficiale; hanno valore ufficiale i testi pubblicati nella Gazzetta ufficiale dell’Unione europea. Negli estratti sono omessi i rinvii redazionali ai considerando e le intestazioni di pagina, conservando il contenuto degli articoli selezionati.

Le norme seguenti descrivono diritti e obblighi generali nel rispettivo ambito di applicazione. Non costituiscono una dichiarazione che il negozio raccolga dati particolari, adotti decisioni automatizzate, disponga di un responsabile della protezione dei dati o abbia ottenuto certificazioni. I riferimenti a trasferimenti internazionali non identificano da soli il meccanismo applicabile a uno specifico trattamento. Per i trattamenti effettivi del sito rimangono pertinenti le informazioni specifiche rese dal titolare.

Regolamento (UE) 2016/679 — Articolo 1 — Oggetto e finalità

1. Il presente regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati.

2. Il presente regolamento protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali.

3. La libera circolazione dei dati personali nell'Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.

Regolamento (UE) 2016/679 — Articolo 2 — Ambito di applicazione materiale

1. Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.

2. Il presente regolamento non si applica ai trattamenti di dati personali:

a) effettuati per attività che non rientrano nell'ambito di applicazione del diritto dell'Unione;

b) effettuati dagli Stati membri nell'esercizio di attività che rientrano nell'ambito di applicazione del titolo V, capo 2, TUE;

c) effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico;

d) effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.

3. Per il trattamento dei dati personali da parte di istituzioni, organi, uffici e agenzie dell'Unione, si applica il regolamento (CE) n. 45/2001. Il regolamento (CE) n. 45/2001 e gli altri atti giuridici dell'Unione applicabili a tale trattamento di dati personali devono essere adeguati ai principi e alle norme del presente regolamento conformemente all'articolo 98.

4. Il presente regolamento non pregiudica pertanto l'applicazione della direttiva 2000/31/CE, in particolare le norme relative alla responsabilità dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva.

Regolamento (UE) 2016/679 — Articolo 3 — Ambito di applicazione territoriale

1. Il presente regolamento si applica al trattamento dei dati personali effettuato nell'ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell'Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione.

2. Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell'Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell'Unione, quando le attività di trattamento riguardano:

a) l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatorietà di un pagamento dell'interessato; oppure

b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione.

3. Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell'Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico.

Regolamento (UE) 2016/679 — Articolo 4 — Definizioni

Ai fini del presente regolamento s'intende per:

1) «dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;

2) «trattamento»: qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;

3) «limitazione di trattamento»: il contrassegno dei dati personali conservati con l'obiettivo di limitarne il trattamento in futuro;

4) «profilazione»: qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati personali per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, l'ubicazione o gli spostamenti di detta persona fisica;

5) «pseudonimizzazione»: il trattamento dei dati personali in modo tale che i dati personali non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure tecniche e organizzative intese a garantire che tali dati personali non siano attribuiti a una persona fisica identificata o identificabile;

6) «archivio»: qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico;

7) «titolare del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri;

8) «responsabile del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;

9) «destinatario»: la persona fisica o giuridica, l'autorità pubblica, il servizio o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. Tuttavia, le autorità pubbliche che possono ricevere comunicazione di dati personali nell'ambito di una specifica indagine conformemente al diritto dell'Unione o degli Stati membri non sono considerate destinatari; il trattamento di tali dati da parte di dette autorità pubbliche è conforme alle norme applicabili in materia di protezione dei dati secondo le finalità del trattamento;

10) «terzo»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che non sia l'interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile;

11) «consenso dell'interessato»: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell'interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento;

12) «violazione dei dati personali»: la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati;

13) «dati genetici»: i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall'analisi di un campione biologico della persona fisica in questione;

14) «dati biometrici»: i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l'identificazione univoca, quali l'immagine facciale o i dati dattiloscopici;

15) «dati relativi alla salute»: i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute;

16) «stabilimento principale»:

a) per quanto riguarda un titolare del trattamento con stabilimenti in più di uno Stato membro, il luogo della sua amministrazione centrale nell'Unione, salvo che le decisioni sulle finalità e i mezzi del trattamento di dati personali siano adottate in un altro stabilimento del titolare del trattamento nell'Unione e che quest'ultimo stabilimento abbia facoltà di ordinare l'esecuzione di tali decisioni, nel qual caso lo stabilimento che ha adottato siffatte decisioni è considerato essere lo stabilimento principale;

b) con riferimento a un responsabile del trattamento con stabilimenti in più di uno Stato membro, il luogo in cui ha sede la sua amministrazione centrale nell'Unione o, se il responsabile del trattamento non ha un'amministrazione centrale nell'Unione, lo stabilimento del responsabile del trattamento nell'Unione in cui sono condotte le principali attività di trattamento nel contesto delle attività di uno stabilimento del responsabile del trattamento nella misura in cui tale responsabile è soggetto a obblighi specifici ai sensi del presente regolamento;

17) «rappresentante»: la persona fisica o giuridica stabilita nell'Unione che, designata dal titolare del trattamento o dal responsabile del trattamento per iscritto ai sensi dell'articolo 27, li rappresenta per quanto riguarda gli obblighi rispettivi a norma del presente regolamento;

18) «impresa»: la persona fisica o giuridica, indipendentemente dalla forma giuridica rivestita, che eserciti un'attività economica, comprendente le società di persone o le associazioni che esercitano regolarmente un'attività economica;

19) «gruppo imprenditoriale»: un gruppo costituito da un'impresa controllante e dalle imprese da questa controllate;

20) «norme vincolanti d'impresa»: le politiche in materia di protezione dei dati personali applicate da un titolare del trattamento o responsabile del trattamento stabilito nel territorio di uno Stato membro al trasferimento o al complesso di trasferimenti di dati personali a un titolare del trattamento o responsabile del trattamento in uno o più paesi terzi, nell'ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un'attività economica comune;

21) «autorità di controllo»: l'autorità pubblica indipendente istituita da uno Stato membro ai sensi dell'articolo 51;

22) «autorità di controllo interessata»: un'autorità di controllo interessata dal trattamento di dati personali in quanto:

a) il titolare del trattamento o il responsabile del trattamento è stabilito sul territorio dello Stato membro di tale autorità di controllo;

b) gli interessati che risiedono nello Stato membro dell'autorità di controllo sono o sono probabilmente influenzati in modo sostanziale dal trattamento; oppure

c) un reclamo è stato proposto a tale autorità di controllo;

23) «trattamento transfrontaliero»:

a) trattamento di dati personali che ha luogo nell'ambito delle attività di stabilimenti in più di uno Stato membro di un titolare del trattamento o responsabile del trattamento nell'Unione ove il titolare del trattamento o il responsabile del trattamento siano stabiliti in più di uno Stato membro; oppure

b) trattamento di dati personali che ha luogo nell'ambito delle attività di un unico stabilimento di un titolare del trattamento o responsabile del trattamento nell'Unione, ma che incide o probabilmente incide in modo sostanziale su interessati in più di uno Stato membro;

24) «obiezione pertinente e motivata»: un'obiezione al progetto di decisione sul fatto che vi sia o meno una violazione del presente regolamento, oppure che l'azione prevista in relazione al titolare del trattamento o responsabile del trattamento sia conforme al presente regolamento, la quale obiezione dimostra chiaramente la rilevanza dei rischi posti dal progetto di decisione riguardo ai diritti e alle libertà fondamentali degli interessati e, ove applicabile, alla libera circolazione dei dati personali all'interno dell'Unione;

25) «servizio della società dell'informazione»: il servizio definito all'articolo 1, paragrafo 1, lettera b), della direttiva (UE) 2015/1535 del Parlamento europeo e del Consiglio (19);

26) «organizzazione internazionale»: un'organizzazione e gli organismi di diritto internazionale pubblico a essa subordinati o qualsiasi altro organismo istituito da o sulla base di un accordo tra due o più Stati.

Regolamento (UE) 2016/679 — Articolo 5 — Principi applicabili al trattamento di dati personali

1. I dati personali sono:

a) trattati in modo lecito, corretto e trasparente nei confronti dell'interessato («liceità, correttezza e trasparenza»);

b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all'articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali («limitazione della finalità»);

c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);

d) esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati («esattezza»);

e) conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all'articolo 89, paragrafo 1, fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell'interessato («limitazione della conservazione»);

f) trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali («integrità e riservatezza»).

2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»).

Regolamento (UE) 2016/679 — Articolo 6 — Liceità del trattamento

1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:

a) l'interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità;

b) il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso;

c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;

d) il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica;

e) il trattamento è necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se l'interessato è un minore. La lettera f) del primo comma non si applica al trattamento di dati effettuato dalle autorità pubbliche nell'esecuzione dei loro compiti.

2. Gli Stati membri possono mantenere o introdurre disposizioni più specifiche per adeguare l'applicazione delle norme del presente regolamento con riguardo al trattamento, in conformità del paragrafo 1, lettere c) ed e), determinando con maggiore precisione requisiti specifici per il trattamento e altre misure atte a garantire un trattamento lecito e corretto anche per le altre specifiche situazioni di trattamento di cui al capo IX.

3. La base su cui si fonda il trattamento dei dati di cui al paragrafo 1, lettere c) ed e), deve essere stabilita:

a) dal diritto dell'Unione; o

b) dal diritto dello Stato membro cui è soggetto il titolare del trattamento. La finalità del trattamento è determinata in tale base giuridica o, per quanto riguarda il trattamento di cui al paragrafo 1, lettera e), è necessaria per l'esecuzione di un compito svolto nel pubblico interesse o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento. Tale base giuridica potrebbe contenere disposizioni specifiche per adeguare l'applicazione delle norme del presente regolamento, tra cui: le condizioni generali relative alla liceità del trattamento da parte del titolare del trattamento; le tipologie di dati oggetto del trattamento; gli interessati; i soggetti cui possono essere comunicati i dati personali e le finalità per cui sono comunicati; le limitazioni della finalità, i periodi di conservazione e le operazioni e procedure di trattamento, comprese le misure atte a garantire un trattamento lecito e corretto, quali quelle per altre specifiche situazioni di trattamento di cui al capo IX. Il diritto dell'Unione o degli Stati membri persegue un obiettivo di interesse pubblico ed è proporzionato all'obiettivo legittimo perseguito.

4. Laddove il trattamento per una finalità diversa da quella per la quale i dati personali sono stati raccolti non sia basato sul consenso dell'interessato o su un atto legislativo dell'Unione o degli Stati membri che costituisca una misura necessaria e proporzionata in una società democratica per la salvaguardia degli obiettivi di cui all'articolo 23, paragrafo 1, al fine di verificare se il trattamento per un'altra finalità sia compatibile con la finalità per la quale i dati personali sono stati inizialmente raccolti, il titolare del trattamento tiene conto, tra l'altro:

a) di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell'ulteriore trattamento previsto;

b) del contesto in cui i dati personali sono stati raccolti, in particolare relativamente alla relazione tra l'interessato e il titolare del trattamento;

c) della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali ai sensi dell'articolo 9, oppure se siano trattati dati relativi a condanne penali e a reati ai sensi dell'articolo 10;

d) delle possibili conseguenze dell'ulteriore trattamento previsto per gli interessati;

e) dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione.

Regolamento (UE) 2016/679 — Articolo 7 — Condizioni per il consenso

1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali.

2. Se il consenso dell'interessato è prestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta di consenso è presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Nessuna parte di una tale dichiarazione che costituisca una violazione del presente regolamento è vincolante.

3. L'interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di prestare il proprio consenso, l'interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato.

4. Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l'eventualità, tra le altre, che l'esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto.

Regolamento (UE) 2016/679 — Articolo 11 — Trattamento che non richiede l'identificazione

1. Se le finalità per cui un titolare del trattamento tratta i dati personali non richiedono o non richiedono più l'identificazione dell'interessato, il titolare del trattamento non è obbligato a conservare, acquisire o trattare ulteriori informazioni per identificare l'interessato al solo fine di rispettare il presente regolamento.

2. Qualora, nei casi di cui al paragrafo 1 del presente articolo, il titolare del trattamento possa dimostrare di non essere in grado di identificare l'interessato, ne informa l'interessato, se possibile. In tali casi, gli articoli da 15 a 20 non si applicano tranne quando l'interessato, al fine di esercitare i diritti di cui ai suddetti articoli, fornisce ulteriori informazioni che ne consentano l'identificazione.

Regolamento (UE) 2016/679 — Articolo 12 — Informazioni, comunicazioni e modalità trasparenti per l'esercizio dei diritti

dell'interessato

1. Il titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all'articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro, in particolare nel caso di informazioni destinate specificamente ai minori. Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. Se richiesto dall'interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l'identità dell'interessato.

2. Il titolare del trattamento agevola l'esercizio dei diritti dell'interessato ai sensi degli articoli da 15 a 22. Nei casi di cui all'articolo 11, paragrafo 2, il titolare del trattamento non può rifiutare di soddisfare la richiesta dell'interessato al fine di esercitare i suoi diritti ai sensi degli articoli da 15 a 22, salvo che il titolare del trattamento dimostri che non è in grado di identificare l'interessato.

3. Il titolare del trattamento fornisce all'interessato le informazioni relative all'azione intrapresa riguardo a una richiesta ai sensi degli articoli da 15 a 22 senza ingiustificato ritardo e, comunque, al più tardi entro un mese dal ricevimento della richiesta stessa. Tale termine può essere prorogato di due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. Il titolare del trattamento informa l'interessato di tale proroga, e dei motivi del ritardo, entro un mese dal ricevimento della richiesta. Se l'interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversa indicazione dell'interessato.

4. Se non ottempera alla richiesta dell'interessato, il titolare del trattamento informa l'interessato senza ritardo, e al più tardi entro un mese dal ricevimento della richiesta, dei motivi dell'inottemperanza e della possibilità di proporre reclamo a un'autorità di controllo e di proporre ricorso giurisdizionale.

5. Le informazioni fornite ai sensi degli articoli 13 e 14 ed eventuali comunicazioni e azioni intraprese ai sensi degli articoli da 15 a 22 e dell'articolo 34 sono gratuite. Se le richieste dell'interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:

a) addebitare un contributo spese ragionevole tenendo conto dei costi amministrativi sostenuti per fornire le informazioni o la comunicazione o intraprendere l'azione richiesta; oppure

b) rifiutare di soddisfare la richiesta. Incombe al titolare del trattamento l'onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.

6. Fatto salvo l'articolo 11, qualora il titolare del trattamento nutra ragionevoli dubbi circa l'identità della persona fisica che presenta la richiesta di cui agli articoli da 15 a 21, può richiedere ulteriori informazioni necessarie per confermare l'identità dell'interessato.

7. Le informazioni da fornire agli interessati a norma degli articoli 13 e 14 possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d'insieme del trattamento previsto. Se presentate elettronicamente, le icone sono leggibili da dispositivo automatico.

8. Alla Commissione è conferito il potere di adottare atti delegati conformemente all'articolo 92 al fine di stabilire le informazioni da presentare sotto forma di icona e le procedure per fornire icone standardizzate.

Regolamento (UE) 2016/679 — Articolo 13 — Informazioni da fornire qualora i dati personali siano raccolti presso

l'interessato

1. In caso di raccolta presso l'interessato di dati che lo riguardano, il titolare del trattamento fornisce all'interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:

a) l'identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;

b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;

c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;

d) qualora il trattamento si basi sull'articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;

e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;

f) ove applicabile, l'intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un'organizzazione internazionale e l'esistenza o l'assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all'articolo 46 o 47, o all'articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono state rese disponibili.

2. In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all'interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:

a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

b) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento l'accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;

c) qualora il trattamento sia basato sull'articolo 6, paragrafo 1, lettera a), oppure sull'articolo 9, paragrafo 2, lettera a), l'esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;

d) il diritto di proporre reclamo a un'autorità di controllo;

e) se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l'interessato ha l'obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;

f) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.

3. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all'interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente di cui al paragrafo 2.

4. I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l'interessato dispone già delle informazioni.

Regolamento (UE) 2016/679 — Articolo 15 — Diritto di accesso dell'interessato

1. L'interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l'accesso ai dati personali e alle seguenti informazioni:

a) le finalità del trattamento;

b) le categorie di dati personali in questione;

c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali;

d) quando possibile, il periodo di conservazione dei dati personali previsto oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;

e) l'esistenza del diritto dell'interessato di chiedere al titolare del trattamento la rettifica o la cancellazione dei dati personali o la limitazione del trattamento dei dati personali che lo riguardano o di opporsi al loro trattamento;

f) il diritto di proporre reclamo a un'autorità di controllo;

g) qualora i dati non siano raccolti presso l'interessato, tutte le informazioni disponibili sulla loro origine;

h) l'esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all'articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l'importanza e le conseguenze previste di tale trattamento per l'interessato.

2. Qualora i dati personali siano trasferiti a un paese terzo o a un'organizzazione internazionale, l'interessato ha il diritto di essere informato dell'esistenza di garanzie adeguate ai sensi dell'articolo 46 relative al trasferimento.

3. Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall'interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l'interessato presenta la richiesta mediante mezzi elettronici, e salvo indicazione diversa dell'interessato, le informazioni sono fornite in un formato elettronico di uso comune.

4. Il diritto di ottenere una copia di cui al paragrafo 3 non deve ledere i diritti e le libertà altrui.

Regolamento (UE) 2016/679 — Articolo 16 — Diritto di rettifica

L'interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l'interessato ha il diritto di ottenere l'integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.

Regolamento (UE) 2016/679 — Articolo 17 — Diritto alla cancellazione («diritto all'oblio»)

1. L'interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l'obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:

a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;

b) l'interessato revoca il consenso su cui si basa il trattamento conformemente all'articolo 6, paragrafo 1, lettera a), o all'articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;

c) l'interessato si oppone al trattamento ai sensi dell'articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento, oppure si oppone al trattamento ai sensi dell'articolo 21, paragrafo 2;

d) i dati personali sono stati trattati illecitamente;

e) i dati personali devono essere cancellati per adempiere un obbligo giuridico previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all'offerta di servizi della società dell'informazione di cui all'articolo 8, paragrafo 1.

2. Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato, ai sensi del paragrafo 1, a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell'interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

3. I paragrafi 1 e 2 non si applicano nella misura in cui il trattamento sia necessario:

a) per l'esercizio del diritto alla libertà di espressione e di informazione;

b) per l'adempimento di un obbligo giuridico che richieda il trattamento previsto dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o per l'esecuzione di un compito svolto nel pubblico interesse oppure nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento;

c) per motivi di interesse pubblico nel settore della sanità pubblica in conformità dell'articolo 9, paragrafo 2, lettere h) e i), e dell'articolo 9, paragrafo 3;

d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici conformemente all'articolo 89, paragrafo 1, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento; o

e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Regolamento (UE) 2016/679 — Articolo 18 — Diritto di limitazione di trattamento

1. L'interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorre una delle seguenti ipotesi:

a) l'interessato contesta l'esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l'esattezza di tali dati personali;

b) il trattamento è illecito e l'interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l'utilizzo;

c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all'interessato per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;

d) l'interessato si è opposto al trattamento ai sensi dell'articolo 21, paragrafo 1, in attesa della verifica in merito all'eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell'interessato.

2. Se il trattamento è limitato a norma del paragrafo 1, tali dati personali sono trattati, salvo che per la conservazione, soltanto con il consenso dell'interessato o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria oppure per tutelare i diritti di un'altra persona fisica o giuridica o per motivi di interesse pubblico rilevante dell'Unione o di uno Stato membro.

3. L'interessato che ha ottenuto la limitazione del trattamento a norma del paragrafo 1 è informato dal titolare del trattamento prima che detta limitazione sia revocata.

Regolamento (UE) 2016/679 — Articolo 19 — Obbligo di notifica in caso di rettifica o cancellazione dei dati personali o

limitazione del trattamento Il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche o cancellazioni o limitazioni del trattamento effettuate a norma dell'articolo 16, dell'articolo 17, paragrafo 1, e dell'articolo 18, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare del trattamento comunica all'interessato tali destinatari qualora l'interessato lo richieda.

Regolamento (UE) 2016/679 — Articolo 20 — Diritto alla portabilità dei dati

1. L'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li ha forniti qualora:

a) il trattamento si basi sul consenso ai sensi dell'articolo 6, paragrafo 1, lettera a), o dell'articolo 9, paragrafo 2, lettera a), o su un contratto ai sensi dell'articolo 6, paragrafo 1, lettera b); e

b) il trattamento sia effettuato con mezzi automatizzati.

2. Nell'esercitare i propri diritti relativamente alla portabilità dei dati a norma del paragrafo 1, l'interessato ha il diritto di ottenere la trasmissione diretta dei dati personali da un titolare del trattamento all'altro, se tecnicamente fattibile.

3. L'esercizio del diritto di cui al paragrafo 1 del presente articolo lascia impregiudicato l'articolo

17. Tale diritto non si applica al trattamento necessario per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui è investito il titolare del trattamento.

4. Il diritto di cui al paragrafo 1 non deve ledere i diritti e le libertà altrui.

Regolamento (UE) 2016/679 — Articolo 21 — Diritto di opposizione

1. L'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento dei dati personali che lo riguardano ai sensi dell'articolo 6, paragrafo 1, lettere e) o f), compresa la profilazione sulla base di tali disposizioni. Il titolare del trattamento si astiene dal trattare ulteriormente i dati personali salvo che egli dimostri l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

2. Qualora i dati personali siano trattati per finalità di marketing diretto, l'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto.

3. Qualora l'interessato si opponga al trattamento per finalità di marketing diretto, i dati personali non sono più oggetto di trattamento per tali finalità.

4. Il diritto di cui ai paragrafi 1 e 2 è esplicitamente portato all'attenzione dell'interessato ed è presentato chiaramente e separatamente da qualsiasi altra informazione al più tardi al momento della prima comunicazione con l'interessato.

5. Nel contesto dell'utilizzo di servizi della società dell'informazione e fatta salva la direttiva 2002/58/CE, l'interessato può esercitare il proprio diritto di opposizione con mezzi automatizzati che utilizzano specifiche tecniche.

6. Qualora i dati personali siano trattati a fini di ricerca scientifica o storica o a fini statistici a norma dell'articolo 89, paragrafo 1, l'interessato, per motivi connessi alla sua situazione particolare, ha il diritto di opporsi al trattamento di dati personali che lo riguardano, salvo se il trattamento è necessario per l'esecuzione di un compito di interesse pubblico.

Regolamento (UE) 2016/679 — Articolo 22 — Processo decisionale automatizzato relativo alle persone fisiche, compresa la

profilazione

1. L'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona.

2. Il paragrafo 1 non si applica nel caso in cui la decisione:

a) sia necessaria per la conclusione o l'esecuzione di un contratto tra l'interessato e un titolare del trattamento;

b) sia autorizzata dal diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento, che precisa altresì misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell'interessato;

c) si basi sul consenso esplicito dell'interessato.

3. Nei casi di cui al paragrafo 2, lettere a) e c), il titolare del trattamento attua misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell'interessato, almeno il diritto di ottenere l'intervento umano da parte del titolare del trattamento, di esprimere la propria opinione e di contestare la decisione.

4. Le decisioni di cui al paragrafo 2 non si basano sulle categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, a meno che non sia d'applicazione l'articolo 9, paragrafo 2, lettere a) o g), e non siano in vigore misure adeguate a tutela dei diritti, delle libertà e dei legittimi interessi dell'interessato.

Regolamento (UE) 2016/679 — Articolo 24 — Responsabilità del titolare del trattamento

1. Tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.

2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l'attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.

3. L'adesione ai codici di condotta di cui all'articolo 40 o a un meccanismo di certificazione di cui all'articolo 42 può essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento.

Regolamento (UE) 2016/679 — Articolo 25 — Protezione dei dati fin dalla progettazione e protezione dei dati per

impostazione predefinita

1. Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati, quali la minimizzazione, e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.

2. Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità. In particolare, dette misure garantiscono che, per impostazione predefinita, non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica.

3. Un meccanismo di certificazione approvato ai sensi dell'articolo 42 può essere utilizzato come elemento per dimostrare la conformità ai requisiti di cui ai paragrafi 1 e 2 del presente articolo.

Regolamento (UE) 2016/679 — Articolo 26 — Contitolari del trattamento

1. Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all'osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all'esercizio dei diritti dell'interessato, e le rispettive funzioni di comunicazione delle informazioni di cui agli articoli 13 e 14, a meno che e nella misura in cui le rispettive responsabilità siano determinate dal diritto dell'Unione o dello Stato membro cui i titolari del trattamento sono soggetti. Tale accordo può designare un punto di contatto per gli interessati.

2. L'accordo di cui al paragrafo 1 riflette adeguatamente i rispettivi ruoli e i rapporti dei contitolari con gli interessati. Il contenuto essenziale dell'accordo è messo a disposizione dell'interessato.

3. Indipendentemente dalle disposizioni dell'accordo di cui al paragrafo 1, l'interessato può esercitare i propri diritti ai sensi del presente regolamento nei confronti di e contro ciascun titolare del trattamento.

Regolamento (UE) 2016/679 — Articolo 27 — Rappresentanti di titolari del trattamento o dei responsabili del trattamento

non stabiliti nell'Unione

1. Ove si applichi l'articolo 3, paragrafo 2, il titolare del trattamento o il responsabile del trattamento designa per iscritto un rappresentante nell'Unione.

2. L'obbligo di cui al paragrafo 1 del presente articolo non si applica:

a) al trattamento se quest'ultimo è occasionale, non include il trattamento, su larga scala, di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o di dati personali relativi a condanne penali e a reati di cui all'articolo 10, ed è improbabile che presenti un rischio per i diritti e le libertà delle persone fisiche, tenuto conto della natura, del contesto, dell'ambito di applicazione e delle finalità del trattamento; oppure

b) alle autorità pubbliche o agli organismi pubblici.

3. Il rappresentante è stabilito in uno degli Stati membri in cui si trovano gli interessati e i cui dati personali sono trattati nell'ambito dell'offerta di beni o servizi o il cui comportamento è monitorato.

4. Ai fini della conformità con il presente regolamento, il rappresentante è incaricato dal titolare del trattamento o dal responsabile del trattamento a fungere da interlocutore, in aggiunta o in sostituzione del titolare del trattamento o del responsabile del trattamento, in particolare delle autorità di controllo e degli interessati, per tutte le questioni riguardanti il trattamento.

5. La designazione di un rappresentante a cura del titolare del trattamento o del responsabile del trattamento fa salve le azioni legali che potrebbero essere promosse contro lo stesso titolare del trattamento o responsabile del trattamento.

Regolamento (UE) 2016/679 — Articolo 28 — Responsabile del trattamento

1. Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato.

2. Il responsabile del trattamento non ricorre a un altro responsabile senza previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Nel caso di autorizzazione scritta generale, il responsabile del trattamento informa il titolare del trattamento di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di altri responsabili del trattamento, dando così al titolare del trattamento l'opportunità di opporsi a tali modifiche.

3. I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento. Il contratto o altro atto giuridico prevede, in particolare, che il responsabile del trattamento:

a) tratti i dati personali soltanto su istruzione documentata del titolare del trattamento, anche in caso di trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il responsabile del trattamento; in tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico;

b) garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;

c) adotti tutte le misure richieste ai sensi dell'articolo 32;

d) rispetti le condizioni di cui ai paragrafi 2 e 4 per ricorrere a un altro responsabile del trattamento;

e) tenendo conto della natura del trattamento, assista il titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del titolare del trattamento di dare seguito alle richieste per l'esercizio dei diritti dell'interessato di cui al capo III;

f) assista il titolare del trattamento nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36, tenendo conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento;

g) su scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione dei dati; e

h) metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consenta e contribuisca alle attività di revisione, comprese le ispezioni, realizzati dal titolare del trattamento o da un altro soggetto da questi incaricato. Con riguardo alla lettera h) del primo comma, il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un'istruzione violi il presente regolamento o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati.

4. Quando un responsabile del trattamento ricorre a un altro responsabile del trattamento per l'esecuzione di specifiche attività di trattamento per conto del titolare del trattamento, su tale altro responsabile del trattamento sono imposti, mediante un contratto o un altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, gli stessi obblighi in materia di protezione dei dati contenuti nel contratto o in altro atto giuridico tra il titolare del trattamento e il responsabile del trattamento di cui al paragrafo 3, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento. Qualora l'altro responsabile del trattamento ometta di adempiere ai propri obblighi in materia di protezione dei dati, il responsabile iniziale conserva nei confronti del titolare del trattamento l'intera responsabilità dell'adempimento degli obblighi dell'altro responsabile.

5. L'adesione da parte del responsabile del trattamento a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare le garanzie sufficienti di cui ai paragrafi 1 e 4 del presente articolo.

6. Fatto salvo un contratto individuale tra il titolare del trattamento e il responsabile del trattamento, il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 del presente articolo può basarsi, in tutto o in parte, su clausole contrattuali tipo di cui ai paragrafi 7 e 8 del presente articolo, anche laddove siano parte di una certificazione concessa al titolare del trattamento o al responsabile del trattamento ai sensi degli articoli 42 e 43.

7. La Commissione può stabilire clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo e secondo la procedura d'esame di cui all'articolo 93, paragrafo 2.

8. Un'autorità di controllo può adottare clausole contrattuali tipo per le materie di cui ai paragrafi 3 e 4 del presente articolo in conformità del meccanismo di coerenza di cui all'articolo 63.

9. Il contratto o altro atto giuridico di cui ai paragrafi 3 e 4 è stipulato in forma scritta, anche in formato elettronico.

10. Fatti salvi gli articoli 82, 83 e 84, se un responsabile del trattamento viola il presente regolamento, determinando le finalità e i mezzi del trattamento, è considerato un titolare del trattamento in questione.

Regolamento (UE) 2016/679 — Articolo 29 — Trattamento sotto l'autorità del titolare del trattamento o del responsabile del

trattamento Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri.

Regolamento (UE) 2016/679 — Articolo 30 — Registri delle attività di trattamento

1. Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro delle attività di trattamento svolte sotto la propria responsabilità. Tale registro contiene tutte le seguenti informazioni:

a) il nome e i dati di contatto del titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati;

b) le finalità del trattamento;

c) una descrizione delle categorie di interessati e delle categorie di dati personali;

d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;

e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate;

f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati;

g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1.

2. Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte le categorie di attività relative al trattamento svolte per conto di un titolare del trattamento, contenente:

a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;

b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;

c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, compresa l'identificazione del paese terzo o dell'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate;

d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, paragrafo 1.

3. I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato elettronico.

4. Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono il registro a disposizione dell'autorità di controllo.

5. Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9, paragrafo 1, o i dati personali relativi a condanne penali e a reati di cui all'articolo 10.

Regolamento (UE) 2016/679 — Articolo 31 — Cooperazione con l'autorità di controllo

Il titolare del trattamento, il responsabile del trattamento e, ove applicabile, il loro rappresentante cooperano, su richiesta, con l'autorità di controllo nell'esecuzione dei suoi compiti.

Regolamento (UE) 2016/679 — Articolo 32 — Sicurezza del trattamento

1. Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso:

a) la pseudonimizzazione e la cifratura dei dati personali;

b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;

c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico;

d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.

2. Nel valutare l'adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.

3. L'adesione a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo.

4. Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri.

Regolamento (UE) 2016/679 — Articolo 33 — Notifica di una violazione dei dati personali all'autorità di controllo

1. In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente a norma dell'articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.

2. Il responsabile del trattamento informa il titolare del trattamento senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione.

3. La notifica di cui al paragrafo 1 deve almeno:

a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;

b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni;

c) descrivere le probabili conseguenze della violazione dei dati personali;

d) descrivere le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi.

4. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo.

5. Il titolare del trattamento documenta qualsiasi violazione dei dati personali, comprese le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio. Tale documentazione consente all'autorità di controllo di verificare il rispetto del presente articolo.

Regolamento (UE) 2016/679 — Articolo 34 — Comunicazione di una violazione dei dati personali all'interessato

1. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all'interessato senza ingiustificato ritardo.

2. La comunicazione all'interessato di cui al paragrafo 1 del presente articolo descrive con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure di cui all'articolo 33, paragrafo 3, lettere b), c) e d).

3. Non è richiesta la comunicazione all'interessato di cui al paragrafo 1 se è soddisfatta una delle seguenti condizioni:

a) il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura;

b) il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1;

c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia.

4. Nel caso in cui il titolare del trattamento non abbia ancora comunicato all'interessato la violazione dei dati personali, l'autorità di controllo può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che una delle condizioni di cui al paragrafo 3 è soddisfatta.

Regolamento (UE) 2016/679 — Articolo 44 — Principio generale per il trasferimento

Qualunque trasferimento di dati personali oggetto di un trattamento o destinati a essere oggetto di un trattamento dopo il trasferimento verso un paese terzo o un'organizzazione internazionale, compresi trasferimenti successivi di dati personali da un paese terzo o un'organizzazione internazionale verso un altro paese terzo o un'altra organizzazione internazionale, ha luogo soltanto se il titolare del trattamento e il responsabile del trattamento rispettano le condizioni di cui al presente capo, fatte salve le altre disposizioni del presente regolamento. Tutte le disposizioni del presente capo sono applicate al fine di assicurare che il livello di protezione delle persone fisiche garantito dal presente regolamento non sia pregiudicato.

Regolamento (UE) 2016/679 — Articolo 45 — Trasferimento sulla base di una decisione di adeguatezza

1. Il trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale è ammesso se la Commissione ha deciso che il paese terzo, un territorio o uno o più settori specifici all'interno del paese terzo, o l'organizzazione internazionale in questione garantiscono un livello di protezione adeguato. In tal caso il trasferimento non necessita di autorizzazioni specifiche.

2. Nel valutare l'adeguatezza del livello di protezione, la Commissione prende in considerazione in particolare i seguenti elementi:

a) lo stato di diritto, il rispetto dei diritti umani e delle libertà fondamentali, la pertinente legislazione generale e settoriale (anche in materia di sicurezza pubblica, difesa, sicurezza nazionale, diritto penale e accesso delle autorità pubbliche ai dati personali), così come l'attuazione di tale legislazione, le norme in materia di protezione dei dati, le norme professionali e le misure di sicurezza, comprese le norme per il trasferimento successivo dei dati personali verso un altro paese terzo o un'altra organizzazione internazionale osservate nel paese o dall'organizzazione internazionale in questione, la giurisprudenza nonché i diritti effettivi e azionabili degli interessati e un ricorso effettivo in sede amministrativa e giudiziaria per gli interessati i cui dati personali sono oggetto di trasferimento;

b) l'esistenza e l'effettivo funzionamento di una o più autorità di controllo indipendenti nel paese terzo o cui è soggetta un'organizzazione internazionale, con competenza per garantire e controllare il rispetto delle norme in materia di protezione dei dati, comprensiva di adeguati poteri di esecuzione, per assistere e fornire consulenza agli interessati in merito all'esercizio dei loro diritti e cooperare con le autorità di controllo degli Stati membri; e

c) gli impegni internazionali assunti dal paese terzo o dall'organizzazione internazionale in questione o altri obblighi derivanti da convenzioni o strumenti giuridicamente vincolanti come pure dalla loro partecipazione a sistemi multilaterali o regionali, in particolare in relazione alla protezione dei dati personali.

3. La Commissione, previa valutazione dell'adeguatezza del livello di protezione, può decidere, mediante atti di esecuzione, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale garantiscono un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo. L'atto di esecuzione prevede un meccanismo di riesame periodico, almeno ogni quattro anni, che tenga conto di tutti gli sviluppi pertinenti nel paese terzo o nell'organizzazione internazionale. L'atto di esecuzione specifica il proprio ambito di applicazione geografico e settoriale e, ove applicabile, identifica la o le autorità di controllo di cui al paragrafo 2, lettera b), del presente articolo. L'atto di esecuzione è adottato secondo la procedura d'esame di cui all'articolo 93, paragrafo 2.

4. La Commissione controlla su base continuativa gli sviluppi nei paesi terzi e nelle organizzazioni internazionali che potrebbero incidere sul funzionamento delle decisioni adottate a norma del paragrafo 3 del presente articolo e delle decisioni adottate sulla base dell'articolo 25, paragrafo 6, della direttiva 95/46/CE.

5. Se risulta dalle informazioni disponibili, in particolare in seguito al riesame di cui al paragrafo 3 del presente articolo, che un paese terzo, un territorio o uno o più settori specifici all'interno di un paese terzo, o un'organizzazione internazionale non garantiscono più un livello di protezione adeguato ai sensi del paragrafo 2 del presente articolo, la Commissione revoca, modifica o sospende nella misura necessaria la decisione di cui al paragrafo 3 del presente articolo mediante atti di esecuzione senza effetto retroattivo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2, o, in casi di estrema urgenza, secondo la procedura di cui all'articolo 93, paragrafo 3. Per imperativi motivi di urgenza debitamente giustificati, la Commissione adotta atti di esecuzione immediatamente applicabili secondo la procedura di cui all'articolo 93, paragrafo 3.

6. La Commissione avvia consultazioni con il paese terzo o l'organizzazione internazionale per porre rimedio alla situazione che ha motivato la decisione di cui al paragrafo 5.

7. Una decisione ai sensi del paragrafo 5 del presente articolo lascia impregiudicato il trasferimento di dati personali verso il paese terzo, il territorio o uno o più settori specifici all'interno del paese terzo, o verso l'organizzazione internazionale in questione, a norma degli articoli da 46 a 49.

8. La Commissione pubblica nella Gazzetta ufficiale dell'Unione europea e sul suo sito web l'elenco dei paesi terzi, dei territori e settori specifici all'interno di un paese terzo, e delle organizzazioni internazionali per i quali ha deciso che è o non è più garantito un livello di protezione adeguato.

9. Le decisioni adottate dalla Commissione in base all'articolo 25, paragrafo 6, della direttiva 95/46/CE restano in vigore fino a quando non sono modificate, sostituite o abrogate da una decisione della Commissione adottata conformemente al paragrafo 3 o 5 del presente articolo.

Regolamento (UE) 2016/679 — Articolo 46 — Trasferimento soggetto a garanzie adeguate

1. In mancanza di una decisione ai sensi dell'articolo 45, paragrafo 3, il titolare del trattamento o il responsabile del trattamento può trasferire dati personali verso un paese terzo o un'organizzazione internazionale solo se ha fornito garanzie adeguate e a condizione che gli interessati dispongano di diritti azionabili e mezzi di ricorso effettivi.

2. Possono costituire garanzie adeguate di cui al paragrafo 1 senza necessitare di autorizzazioni specifiche da parte di un'autorità di controllo:

a) uno strumento giuridicamente vincolante e avente efficacia esecutiva tra autorità pubbliche o organismi pubblici;

b) le norme vincolanti d'impresa in conformità dell'articolo 47;

c) le clausole tipo di protezione dei dati adottate dalla Commissione secondo la procedura d'esame di cui all'articolo 93, paragrafo 2;

d) le clausole tipo di protezione dei dati adottate da un'autorità di controllo e approvate dalla Commissione secondo la procedura d'esame di cui all'articolo 93, paragrafo 2;

e) un codice di condotta approvato a norma dell'articolo 40,unitamente all'impegno vincolante ed esecutivo da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati; o

f) un meccanismo di certificazione approvato a norma dell'articolo 42, unitamente all'impegno vincolante ed esigibile da parte del titolare del trattamento o del responsabile del trattamento nel paese terzo ad applicare le garanzie adeguate, anche per quanto riguarda i diritti degli interessati.

3. Fatta salva l'autorizzazione dell'autorità di controllo competente, possono altresì costituire in particolare garanzie adeguate di cui al paragrafo 1:

a) le clausole contrattuali tra il titolare del trattamento o il responsabile del trattamento e il titolare del trattamento, il responsabile del trattamento o il destinatario dei dati personali nel paese terzo o nell'organizzazione internazionale; o

b) le disposizioni da inserire in accordi amministrativi tra autorità pubbliche o organismi pubblici che comprendono diritti effettivi e azionabili per gli interessati.

4. L'autorità di controllo applica il meccanismo di coerenza di cui all'articolo 63 nei casi di cui al paragrafo 3 del presente articolo.

5. Le autorizzazioni rilasciate da uno Stato membro o dall'autorità di controllo in base all'articolo 26, paragrafo 2, della direttiva 95/46/CE restano valide fino a quando non vengono modificate, sostituite o abrogate, se necessario, dalla medesima autorità di controllo. Le decisioni adottate dalla Commissione in base all'articolo 26, paragrafo 4, della direttiva 95/46/CE restano in vigore fino a quando non vengono modificate, sostituite o abrogate, se necessario, da una decisione della Commissione adottata conformemente al paragrafo 2 del presente articolo.

Regolamento (UE) 2016/679 — Articolo 47 — Norme vincolanti d'impresa

1. L'autorità di controllo competente approva le norme vincolanti d'impresa in conformità del meccanismo di coerenza di cui all'articolo 63, a condizione che queste:

a) siano giuridicamente vincolanti e si applichino a tutti i membri interessati del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune, compresi i loro dipendenti;

b) conferiscano espressamente agli interessati diritti azionabili in relazione al trattamento dei loro dati personali; e

c) soddisfino i requisiti di cui al paragrafo 2.

2. Le norme vincolanti d'impresa di cui al paragrafo 1 specificano almeno:

a) la struttura e le coordinate di contatto del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune e di ciascuno dei suoi membri;

b) i trasferimenti o il complesso di trasferimenti di dati, in particolare le categorie di dati personali, il tipo di trattamento e relative finalità, il tipo di interessati cui si riferiscono i dati e l'identificazione del paese terzo o dei paesi terzi in questione;

c) la loro natura giuridicamente vincolante, a livello sia interno che esterno;

d) l'applicazione dei principi generali di protezione dei dati, in particolare in relazione alla limitazione della finalità, alla minimizzazione dei dati, alla limitazione del periodo di conservazione, alla qualità dei dati, alla protezione fin dalla progettazione e alla protezione per impostazione predefinita, alla base giuridica del trattamento e al trattamento di categorie particolari di dati personali, le misure a garanzia della sicurezza dei dati e i requisiti per i trasferimenti successivi ad organismi che non sono vincolati dalle norme vincolanti d'impresa;

e) i diritti dell'interessato in relazione al trattamento e i mezzi per esercitarli, compresi il diritto di non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione ai sensi dell'articolo 22, il diritto di proporre reclamo all'autorità di controllo competente e di ricorrere alle autorità giurisdizionali competenti degli Stati membri conformemente all'articolo 79, e il diritto di ottenere riparazione e, se del caso, il risarcimento per violazione delle norme vincolanti d'impresa;

f) il fatto che il titolare del trattamento o il responsabile del trattamento stabilito nel territorio di uno Stato membro si assume la responsabilità per qualunque violazione delle norme vincolanti d'impresa commesse da un membro interessato non stabilito nell'Unione; il titolare del trattamento o il responsabile del trattamento può essere esonerato in tutto o in parte da tale responsabilità solo se dimostra che l'evento dannoso non è imputabile al membro in questione;

g) le modalità in base alle quali sono fornite all'interessato le informazioni sulle norme vincolanti d'impresa, in particolare sulle disposizioni di cui alle lettere d), e) e f), in aggiunta alle informazioni di cui agli articoli 13 e 14;

h) i compiti di qualunque responsabile della protezione dei dati designato ai sensi dell'articolo 35 o di ogni altra persona o entità incaricata del controllo del rispetto delle norme vincolanti d'impresa all'interno del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune e il controllo della formazione e della gestione dei reclami;

i) le procedure di reclamo;

j) i meccanismi all'interno del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune per garantire la verifica della conformità alle norme vincolanti d'impresa. Tali meccanismi comprendono verifiche sulla protezione dei dati e metodi per assicurare provvedimenti correttivi intesi a proteggere i diritti dell'interessato. I risultati di tale verifica dovrebbero essere comunicati alla persona o entità di cui alla lettera h) e all'organo amministrativo dell'impresa controllante del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune e dovrebbero essere disponibili su richiesta all'autorità di controllo competente;

k) i meccanismi per riferire e registrare le modifiche delle norme e comunicarle all'autorità di controllo;

l) il meccanismo di cooperazione con l'autorità di controllo per garantire la conformità da parte di ogni membro del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune, in particolare la messa a disposizione dell'autorità di controllo dei risultati delle verifiche delle misure di cui alla lettera j);

m) i meccanismi per segnalare all'autorità di controllo competente ogni requisito di legge cui è soggetto un membro del gruppo imprenditoriale o del gruppo di imprese che svolgono un'attività economica comune in un paese terzo che potrebbe avere effetti negativi sostanziali sulle garanzie fornite dalle norme vincolanti d'impresa; e

n) l'appropriata formazione in materia di protezione dei dati al personale che ha accesso permanente o regolare ai dati personali.

3. La Commissione può specificare il formato e le procedure per lo scambio di informazioni tra titolari del trattamento, responsabili del trattamento e autorità di controllo in merito alle norme vincolanti d'impresa ai sensi del presente articolo. Tali atti di esecuzione sono adottati secondo la procedura d'esame di cui all'articolo 93, paragrafo 2.

Regolamento (UE) 2016/679 — Articolo 48 — Trasferimento o comunicazione non autorizzati dal diritto dell'Unione

Le sentenze di un'autorità giurisdizionale e le decisioni di un'autorità amministrativa di un paese terzo che dispongono il trasferimento o la comunicazione di dati personali da parte di un titolare del trattamento o di un responsabile del trattamento possono essere riconosciute o assumere qualsivoglia carattere esecutivo soltanto se basate su un accordo internazionale in vigore tra il paese terzo richiedente e l'Unione o un suo Stato membro, ad esempio un trattato di mutua assistenza giudiziaria, fatti salvi gli altri presupposti di trasferimento a norma del presente capo.

Regolamento (UE) 2016/679 — Articolo 49 — Deroghe in specifiche situazioni

1. In mancanza di una decisione di adeguatezza ai sensi dell'articolo 45, paragrafo 3, o di garanzie adeguate ai sensi dell'articolo 46, comprese le norme vincolanti d'impresa, è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale soltanto se si verifica una delle seguenti condizioni:

a) l'interessato abbia esplicitamente acconsentito al trasferimento proposto, dopo essere stato informato dei possibili rischi di siffatti trasferimenti per l'interessato, dovuti alla mancanza di una decisione di adeguatezza e di garanzie adeguate;

b) il trasferimento sia necessario all'esecuzione di un contratto concluso tra l'interessato e il titolare del trattamento ovvero all'esecuzione di misure precontrattuali adottate su istanza dell'interessato;

c) il trasferimento sia necessario per la conclusione o l'esecuzione di un contratto stipulato tra il titolare del trattamento e un'altra persona fisica o giuridica a favore dell'interessato;

d) il trasferimento sia necessario per importanti motivi di interesse pubblico;

e) il trasferimento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria;

f) il trasferimento sia necessario per tutelare gli interessi vitali dell'interessato o di altre persone, qualora l'interessato si trovi nell'incapacità fisica o giuridica di prestare il proprio consenso;

g) il trasferimento sia effettuato a partire da un registro che, a norma del diritto dell'Unione o degli Stati membri, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, solo a condizione che sussistano i requisiti per la consultazione previsti dal diritto dell'Unione o degli Stati membri. Se non è possibile basare il trasferimento su una disposizione dell'articolo 45 o 46, comprese le disposizioni sulle norme vincolanti d'impresa, e nessuna delle deroghe in specifiche situazioni a norma del primo comma del presente paragrafo è applicabile, il trasferimento verso un paese terzo o un'organizzazione internazionale sia ammesso soltanto se non è ripetitivo, riguarda un numero limitato di interessati, è necessario per il perseguimento degli interessi legittimi cogenti del titolare del trattamento, su cui non prevalgano gli interessi o i diritti e le libertà dell'interessato, e qualora il titolare e del trattamento abbia valutato tutte le circostanze relative al trasferimento e sulla base di tale valutazione abbia fornito garanzie adeguate relativamente alla protezione dei dati personali. Il titolare del trattamento informa del trasferimento l'autorità di controllo. In aggiunta alla fornitura di informazioni di cui agli articoli 13 e 14, il titolare del trattamento informa l'interessato del trasferimento e degli interessi legittimi cogenti perseguiti.

2. Il trasferimento di cui al paragrafo 1, primo comma, lettera g), non può riguardare la totalità dei dati personali o intere categorie di dati personali contenute nel registro. Se il registro è destinato a essere consultato da persone aventi un legittimo interesse, il trasferimento è ammesso soltanto su richiesta di tali persone o qualora tali persone ne siano le destinatarie.

3. Il primo comma, lettere a), b) e c), e il secondo comma del paragrafo 1 non si applicano alle attività svolte dalle autorità pubbliche nell'esercizio dei pubblici poteri.

4. L'interesse pubblico di cui al paragrafo 1, primo comma, lettera d), è riconosciuto dal diritto dell'Unione o dal diritto dello Stato membro cui è soggetto il titolare del trattamento.

5. In mancanza di una decisione di adeguatezza, il diritto dell'Unione o degli Stati membri può, per importanti motivi di interesse pubblico, fissare espressamente limiti al trasferimento di categorie specifiche di dati verso un paese terzo o un'organizzazione internazionale. Gli Stati membri notificano tali disposizioni alla Commissione.

6. Il titolare del trattamento o il responsabile del trattamento attesta nel registro di cui all'articolo 30 la valutazione e le garanzie adeguate di cui al paragrafo 1, secondo comma, del presente articolo.

Regolamento (UE) 2016/679 — Articolo 50 — Cooperazione internazionale per la protezione dei dati personali

In relazione ai paesi terzi e alle organizzazioni internazionali, la Commissione e le autorità di controllo adottano misure appropriate per:

a) sviluppare meccanismi di cooperazione internazionale per facilitare l'applicazione efficace della legislazione sulla protezione dei dati personali;

b) prestare assistenza reciproca a livello internazionale nell'applicazione della legislazione sulla protezione dei dati personali, in particolare mediante notificazione, deferimento dei reclami, assistenza alle indagini e scambio di informazioni, fatte salve garanzie adeguate per la protezione dei dati personali e gli altri diritti e libertà fondamentali;

c) coinvolgere le parti interessate pertinenti in discussioni e attività dirette a promuovere la cooperazione internazionale nell'applicazione della legislazione sulla protezione dei dati personali;

d) promuovere lo scambio e la documentazione delle legislazioni e prassi in materia di protezione dei dati personali, compresi i conflitti di giurisdizione con paesi terzi.

Regolamento (UE) 2016/679 — Articolo 77 — Diritto di proporre reclamo all'autorità di controllo

1. Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un'autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione.

2. L'autorità di controllo a cui è stato proposto il reclamo informa il reclamante dello stato o dell'esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell'articolo 78.

Regolamento (UE) 2016/679 — Articolo 78 — Diritto a un ricorso giurisdizionale effettivo nei confronti dell'autorità di

controllo

1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica ha il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante dell'autorità di controllo che la riguarda.

2. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ciascun interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora l'autorità di controllo che sia competente ai sensi degli articoli 55 e 56 non tratti un reclamo o non lo informi entro tre mesi dello stato o dell'esito del reclamo proposto ai sensi dell'articolo 77.

3. Le azioni nei confronti dell'autorità di controllo sono promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l'autorità di controllo è stabilita.

4. Qualora siano promosse azioni avverso una decisione di un'autorità di controllo che era stata preceduta da un parere o da una decisione del comitato nell'ambito del meccanismo di coerenza, l'autorità di controllo trasmette tale parere o decisione all'autorità giurisdizionale.

Regolamento (UE) 2016/679 — Articolo 79 — Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del

trattamento o del responsabile del trattamento

1. Fatto salvo ogni altro ricorso amministrativo o extragiudiziale disponibile, compreso il diritto di proporre reclamo a un'autorità di controllo ai sensi dell'articolo 77, ogni interessato ha il diritto di proporre un ricorso giurisdizionale effettivo qualora ritenga che i diritti di cui gode a norma del presente regolamento siano stati violati a seguito di un trattamento.

2. Le azioni nei confronti del titolare del trattamento o del responsabile del trattamento sono promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui il titolare del trattamento o il responsabile del trattamento ha uno stabilimento. In alternativa, tali azioni possono essere promosse dinanzi alle autorità giurisdizionali dello Stato membro in cui l'interessato risiede abitualmente, salvo che il titolare del trattamento o il responsabile del trattamento sia un'autorità pubblica di uno Stato membro nell'esercizio dei pubblici poteri.

Regolamento (UE) 2016/679 — Articolo 80 — Rappresentanza degli interessati

1. L'interessato ha il diritto di dare mandato a un organismo, un'organizzazione o un'associazione senza scopo di lucro, che siano debitamente costituiti secondo il diritto di uno Stato membro, i cui obiettivi statutari siano di pubblico interesse e che siano attivi nel settore della protezione dei diritti e delle libertà degli interessati con riguardo alla protezione dei dati personali, di proporre il reclamo per suo conto e di esercitare per suo conto i diritti di cui agli articoli 77, 78 e 79 nonché, se previsto dal diritto degli Stati membri, il diritto di ottenere il risarcimento di cui all'articolo 82.

2. Gli Stati membri possono prevedere che un organismo, organizzazione o associazione di cui al paragrafo 1 del presente articolo, indipendentemente dal mandato conferito dall'interessato, abbia il diritto di proporre, in tale Stato membro, un reclamo all'autorità di controllo competente, e di esercitare i diritti di cui agli articoli 78 e 79, qualora ritenga che i diritti di cui un interessato gode a norma del presente regolamento siano stati violati in seguito al trattamento.

Regolamento (UE) 2016/679 — Articolo 81 — Sospensione delle azioni

1. L'autorità giurisdizionale competente di uno Stato membro che venga a conoscenza di azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento pendenti presso un'autorità giurisdizionale in un altro Stato membro, prende contatto con tale autorità giurisdizionale nell'altro Stato membro per confermare l'esistenza delle azioni.

2. Qualora azioni riguardanti lo stesso oggetto relativamente al trattamento dello stesso titolare del trattamento o dello stesso responsabile del trattamento siano pendenti presso un'autorità giurisdizionale in un altro Stato membro, qualunque autorità giurisdizionale competente successivamente adita può sospendere le azioni.

3. Se tali azioni sono pendenti in primo grado, qualunque autorità giurisdizionale successivamente adita può parimenti dichiarare la propria incompetenza su richiesta di una delle parti a condizione che l'autorità giurisdizionale adita per prima sia competente a conoscere delle domande proposte e la sua legge consenta la riunione dei procedimenti.

Regolamento (UE) 2016/679 — Articolo 82 — Diritto al risarcimento e responsabilità

1. Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.

2. Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Un responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.

3. Il titolare del trattamento o il responsabile del trattamento è esonerato dalla responsabilità, a norma del paragrafo 2 se dimostra che l'evento dannoso non gli è in alcun modo imputabile.

4. Qualora più titolari del trattamento o responsabili del trattamento oppure entrambi il titolare del trattamento e il responsabile del trattamento siano coinvolti nello stesso trattamento e siano, ai sensi dei paragrafi 2 e 3, responsabili dell'eventuale danno causato dal trattamento, ogni titolare del trattamento o responsabile del trattamento è responsabile in solido per l'intero ammontare del danno, al fine di garantire il risarcimento effettivo dell'interessato.

5. Qualora un titolare del trattamento o un responsabile del trattamento abbia pagato, conformemente al paragrafo 4, l'intero risarcimento del danno, tale titolare del trattamento o responsabile del trattamento ha il diritto di reclamare dagli altri titolari del trattamento o responsabili del trattamento coinvolti nello stesso trattamento la parte del risarcimento corrispondente alla loro parte di responsabilità per il danno conformemente alle condizioni di cui al paragrafo 2.

6. Le azioni legali per l'esercizio del diritto di ottenere il risarcimento del danno sono promosse dinanzi alle autorità giurisdizionali competenti a norma del diritto dello Stato membro di cui all'articolo 79, paragrafo 2.

Appendice C — Linee guida del Garante sui cookie e sugli strumenti di tracciamento

Fonte: Garante per la protezione dei dati personali, provvedimento n. 231 del 10 giugno 2021, Linee guida cookie e altri strumenti di tracciamento, pubblicato nella Gazzetta Ufficiale n. 163 del 9 luglio 2021, documento web n. 9677876: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876 . È riprodotta la parte italiana del provvedimento, con i relativi richiami, esclusa la duplicazione in inglese e le componenti di navigazione del sito. La citazione in inglese della nota 4 è resa in traduzione italiana, indicata come tale.

Questo testo dell’autorità spiega criteri e condizioni di legge. Non è l’inventario dei cookie di elementcabin, non dichiara che tutte le tecnologie menzionate siano presenti sul negozio e non certifica la configurazione di applicazioni o banner. La possibilità di leggere una regola in questa pagina non sostituisce il consenso preventivo dove richiesto né il diritto di rifiutarlo e revocarlo.

Linee guida cookie e altri strumenti di tracciamento - 10 giugno 2021 (Pubblicato sulla Gazzetta Ufficiale n. 163 del 9 luglio 2021)

Registro dei provvedimenti n. 231 del 10 giugno 2021

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il dott. Fabio Mattei, segretario generale;

VISTA la direttiva 2002/21/CE del 7 marzo 2002, del Parlamento europeo e del Consiglio, che istituisce un quadro normativo comune per le reti ed i servizi di comunicazione elettronica (c.d. direttiva quadro), come successivamente modificata e integrata;

VISTA la direttiva 2002/58/CE del 12 luglio 2002, del Parlamento europeo e del Consiglio, relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (c.d. direttiva ePrivacy), come modificata dalla direttiva 2009/136/CE del 25 novembre 2009, del Parlamento europeo e del Consiglio;

VISTO il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE;

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196), come modificato dal d.lgs. 10 agosto 2018, n. 101, recante disposizioni per l'adeguamento dell'ordinamento nazionale al citato Regolamento;

VISTO il decreto legislativo 28 maggio 2012, n. 69 recante “Modifiche al decreto legislativo 30 giugno 2003, n. 196, recante codice in materia di protezione dei dati personali in attuazione delle direttive 2009/136/CE, in materia di trattamento dei dati personali e tutela della vita privata nel settore delle comunicazioni elettroniche, e 2009/140/CE in materia di reti e servizi di comunicazione elettronica e del regolamento (CE) n. 2006/2004 sulla cooperazione tra le autorità nazionali responsabili dell'esecuzione della normativa a tutela dei consumatori”;

VISTI il Parere del Gruppo di lavoro “Art. 29” (di seguito WP29) n. 04/2012 in materia di Cookie Consent Exemption, adottato il 7 giugno 2012, ed il Working Document del medesimo WP29 n. 02/2013 providing guidance on obtaining consent for cookies, adottato il 2 ottobre 2013, nonché le Linee Guida del WP29 sul consenso ai sensi del Regolamento (UE) 2016/679 adottate il 10 aprile 2018, ratificate dal Comitato europeo per la Protezione dei dati personali (di seguito, EDPB) il 25 maggio 2018 e sostituite, da ultimo, dalle Guidelines 05/2020 on consent under Regulation 2016/679 adottate il 4 maggio 2020;

VISTO il Parere dell’EDPB n. 05/2019 del 12 marzo 2019 sulle interrelazioni tra la direttiva e-Privacy ed il Regolamento, con particolare riguardo alle competenze, ai compiti ed ai poteri delle Autorità di protezione dati;

VISTO il provvedimento del Garante n. 229, dell’8 maggio 2014, relativo alla “Individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie”, pubblicato nella Gazzetta Ufficiale della Repubblica italiana del 3 Giugno 2014, serie Generale, n. 126, del 3 giugno 2014;

VISTE le FAQ in materia di informativa e consenso per l’uso dei cookie del 3 dicembre 2014 ed i “Chiarimenti in merito all’attuazione della normativa in materia di cookie” del 5 giugno 2015, pubblicati dall’Autorità nel proprio sito web www.garanteprivacy.it;

VISTO il provvedimento del Garante n. 161, del 19 marzo 2015, recante le “Linee guida in materia di trattamento di dati personali per profilazione on line”, pubblicato nella Gazzetta Ufficiale della Repubblica italiana, serie Generale, n. 103 del 6 maggio 2015;

VISTA la deliberazione del Garante n. 255 del 26 novembre 2020 (doc. web n. 9498472) con la quale è stato adottato uno schema di “Linee guida sull’utilizzo di cookie e altri strumenti di tracciamento” (allegato 1, doc. web 9501061) nonché l’unita scheda di sintesi (allegato 2, doc. web 9501097), con contestuale avvio, mediante pubblicazione del relativo avviso nella Gazzetta Ufficiale della Repubblica Italiana – serie generale, n. 307 dell’11 dicembre 2020, di una consultazione pubblica sulle misure ivi indicate;

VISTI gli esiti di tale consultazione pubblica, tesa ad “acquisire osservazioni e proposte riguardo alle predette Linee guida”;

CONSIDERATI, in particolare, i contributi pervenuti, nel previsto termine di 30 giorni, da diverse associazioni di categoria, dagli operatori e da soggetti appartenenti al mondo imprenditoriale, da associazioni di consumatori, rappresentanti dell’Accademia e singoli interessati;

VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del Regolamento del Garante n. 1/2000 del 28 giugno 2000;

RELATORE l’avv. Guido Scorza;

PREMESSO

1. Considerazioni preliminari

Le presenti Linee guida hanno innanzitutto una funzione ricognitiva in relazione al diritto applicabile alle operazioni di lettura e di scrittura all’interno del terminale di un utente, con specifico riferimento all’utilizzo di cookie e di altri strumenti di tracciamento, nonché l’obiettivo di specificare, al riguardo, le corrette modalità per la fornitura dell’informativa e per l’acquisizione del consenso on-line degli interessati, ove necessario, alla luce della piena applicazione del Regolamento (UE) 2016/679 (di seguito, Regolamento).

Il quadro giuridico di riferimento è infatti, ad oggi, costituito tanto dalle disposizioni della direttiva 2002/58/CE (c.d. direttiva ePrivacy) e successive modifiche, come recepita nell’ordinamento nazionale all’art. 122 del d.lgs. 30 giugno 2003, n. 196 (di seguito Codice), quanto dal Regolamento, per ciò che concerne specificamente la nozione di consenso di cui agli artt. 4, punto 11) e 7 e al considerando 32, come da ultimo interpretati dalle Linee Guida del WP29 adottate il 10 aprile 2018, ratificate dal Comitato europeo per la Protezione dei dati personali (di seguito, EDPB) il 25 maggio 2018 e sostituite, da ultimo, dalle Guidelines 05/2020 on consent under Regulation 2016/679 adottate il 4 maggio 2020.

In proposito il Garante, come è noto, ha già adottato un provvedimento (n. 229, dell’8 maggio 2014), volto ad “individuare le modalità semplificate per rendere l’informativa online agli utenti sull’archiviazione dei c.d. cookie sui loro terminali da parte dei siti Internet visitati”, come pure a “fornire idonee indicazioni sulle modalità con le quali procedere all’acquisizione del consenso degli stessi, laddove richiesto dalla legge”, le cui indicazioni necessitano ora di essere integrate e precisate, in particolare con riferimento a taluni, specifici aspetti (al fine di agevolare i titolari del trattamento nella corretta applicazione del citato quadro regolamentare come specificato dal richiamato provvedimento del maggio 2014 e dalle presenti Linee guida, si allega a queste ultime una tabella riassuntiva delle indicazioni contenute in entrambi i provvedimenti).

Da un lato deve essere infatti considerato che il Regolamento, come precisato all’art. 95, “non impone obblighi supplementari alle persone fisiche o giuridiche in relazione al trattamento nel quadro della fornitura di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche di comunicazione nell’Unione, per quanto riguarda le materie per le quali sono soggette a obblighi specifici aventi lo stesso obiettivo fissati dalla direttiva 2002/58/CE”, la quale espressamente prevede, all’art. 1, par. 2, che “le disposizioni della presente direttiva precisano e integrano [il Regolamento (EU) 2016/679] …”.

D’altro canto, non può essere sottovalutato come il Regolamento abbia inteso ampliare e rafforzare il potere dispositivo e di controllo della persona riguardo al trattamento delle sue informazioni personali, in particolar modo integrando la definizione di consenso contenuta nella precedente direttiva 95/46/CE, chiarendo che la manifestazione di volontà dell’interessato al trattamento dei suoi dati personali deve essere, oltre che – come appunto già nel vigore della direttiva – libera, specifica ed informata, anche “inequivocabile”(1), ma pure esigendo che l’obiettivo della concreta ed efficace attuazione dei principi di protezione dati venga conseguito sin dalla progettazione e attraverso impostazioni predefinite (cd. privacy by design e by default).

L’esigenza di un nuovo intervento del Garante è dovuta al lungo intervallo di tempo trascorso, alle novità normative frattanto intervenute e al monitoraggio che, anche per il tramite dei numerosi reclami, segnalazioni e richieste di pareri, l’Autorità ha effettuato sulla concreta e talvolta non corretta implementazione delle regole menzionate – in particolare considerando gli effetti riscontrabili sull’esperienza di navigazione, sui diritti e sulle tutele degli interessati, come pure sulla operatività delle imprese e dei fornitori di servizi di comunicazione elettronica - nonché alla sempre crescente diffusione di nuove tecnologie caratterizzate da crescenti livelli di potenziali pervasività.

Infine, deve essere tenuta in considerazione l’evoluzione comportamentale degli stessi utenti della rete, sempre più orientati alla moltiplicazione delle proprie identità digitali come risultanti dall’accesso a plurimi servizi e funzioni disponibili e, in primo luogo, ai social network. Tale fenomeno comporta infatti il rischio che le informazioni personali oggetto di trattamento siano raccolte proprio incrociando i dati anche relativi all’utilizzo di funzionalità e servizi diversi, ai quali è possibile accedere utilizzando molteplici terminali (cd. enrichment), con l’effetto della creazione di profili sempre più specifici e dettagliati. Si impone, di conseguenza, la necessità di un quadro rafforzato di tutele maggiormente orientate a favorire e a rendere effettivo il controllo sulle informazioni personali oggetto di trattamento e, in definitiva, la capacità di autodeterminazione del singolo.

2. La funzione dei cookie

Il considerando 30 del Regolamento espressamente afferma che “Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli utilizzati, quali gli indirizzi IP, marcatori temporanei (cookies) o identificativi di altro tipo, quali i tag di identificazione a radiofrequenza. Tali identificativi possono lasciare tracce che, in particolare se combinate con identificativi univoci e altre informazioni ricevute dai server, possono essere utilizzate per creare profili delle persone fisiche e identificarle”.

Come è noto, i cookie sono di regola stringhe di testo che i siti web (cd. Publisher, o “prime parti”) visitati dall’utente ovvero siti o web server diversi (cd. “terze parti”) posizionano ed archiviano – direttamente, nel caso dei publisher e indirettamente, cioè per il tramite di questi ultimi, nel caso delle “terze parti” - all’interno di un dispositivo terminale nella disponibilità dell’utente medesimo.

I terminali cui ci si riferisce sono, ad esempio, un computer, un tablet, uno smartphone, ovvero ogni altro dispositivo in grado di archiviare informazioni. Già oggi, e ancor più in futuro, tra essi occorre annoverare anche i cd. dispositivi IoT (Internet of Things, o Internet delle cose), i quali sono progettati per connettersi alla rete e tra loro per fornire servizi di varia natura, non necessariamente limitati alla mera comunicazione.

I software per la navigazione in internet e il funzionamento di questi dispositivi, ad esempio i browser, possono memorizzare i cookie e poi trasmetterli nuovamente ai siti che li hanno generati in occasione di una successiva visita del medesimo utente, mantenendo così memoria della sua precedente interazione con uno o più siti web.

Le informazioni codificate nei cookie possono includere dati personali, come un indirizzo IP, un nome utente, un identificativo univoco o un indirizzo e-mail, ma possono anche contenere dati non personali, come le impostazioni della lingua o informazioni sul tipo di dispositivo che una persona sta utilizzando per navigare nel sito.

I cookie possono dunque svolgere importanti e diverse funzioni, tra cui il monitoraggio di sessioni, la memorizzazione di informazioni su specifiche configurazioni riguardanti gli utenti che accedono al server, l’agevolazione nella fruizione dei contenuti online etc. Possono ad esempio essere impiegati per tenere traccia degli articoli in un carrello degli acquisti online o delle informazioni utilizzate per la compilazione di un modulo informatico.

Se da un lato è tramite i cookie che è possibile consentire, tra l’altro, alle pagine web di caricarsi più velocemente, come pure instradare le informazioni su una rete - in linea dunque con adempimenti strettamente connessi alla operatività stessa dei siti web -, sempre attraverso i cookie è possibile anche veicolare la pubblicità comportamentale (c.d. “behavioural advertising”) e misurare poi l’efficacia del messaggio pubblicitario, ovvero conformare tipologia e modalità dei servizi resi ai comportamenti dell’utente oggetto di precedente osservazione.

3. Altri strumenti di tracciamento

Il medesimo risultato può essere conseguito anche mediante l’utilizzo di altri strumenti (la totalità dei quali può essere distinta tra i c.d. “identificatori attivi”, come appunto i cookie, e “passivi”, questi ultimi presupponendo la mera osservazione), che consentono di effettuare trattamenti analoghi a quelli sopra indicati.

Tra gli strumenti “passivi” è ricompreso il fingerprinting, ossia quella tecnica che permette di identificare il dispositivo utilizzato dall’utente tramite la raccolta di tutte o alcune delle informazioni relative alla specifica configurazione del dispositivo stesso adottata dall’interessato. Tale tecnica può essere utilizzata per il conseguimento delle medesime finalità di profilazione tesa anche alla visualizzazione di pubblicità comportamentale personalizzata ed all’analisi e monitoraggio dei comportamenti dei visitatori di siti web, ovvero per conformare tipologia e modalità dei servizi resi ai comportamenti dell’utente oggetto di precedente osservazione. Per tali ragioni, il fingerprinting e gli ulteriori strumenti di tracciamento devono dunque essere ricompresi nell’ambito di applicazione delle presenti Linee guida.

Sussiste tuttavia una non trascurabile differenza, sulla quale l’Autorità intende porre l’accento, tra l’impiego di una tecnica attiva quale quella relativa ai cookie ed una passiva, come quella relativa al fingerprinting.

Nel primo caso, infatti, l’utente che non intenda essere profilato, oltre ovviamente a poter rifiutare il proprio consenso, o a ricorrere alle tutele di carattere giuridico connesse all’esercizio dei diritti di cui al Regolamento, ha anche la possibilità pratica di rimuovere direttamente i cookie, in quanto archiviati all’interno del proprio dispositivo.

Diversamente, con riguardo al fingerprinting e agli altri identificatori “passivi”, l’utente non dispone di strumenti autonomamente azionabili, dovendo necessariamente far ricorso all’azione del titolare. Ciò in quanto quest’ultimo fa uso di una tecnica di lettura che non presuppone l’archiviazione di informazioni all’interno del dispositivo dell’utente, bensì la mera osservazione delle configurazioni che lo contraddistinguono rendendolo identificabile, ed il cui esito si sostanzia in un “profilo” che resta nella sola disponibilità del titolare, cui l’interessato non ha, ovviamente, alcun accesso libero e diretto e del quale potrebbe, prima ancora, non avere neppure consapevolezza.

4. La classificazione di cookie ed altri strumenti di tracciamento

I cookie e, in buona misura, gli altri strumenti di tracciamento possono avere caratteristiche diverse sotto il profilo temporale e dunque essere considerati in base alla loro durata (di sessione o permanenti), ovvero dal punto di vista soggettivo (a seconda che il publisher agisca autonomamente o per conto della “terza parte”).

E tuttavia la classificazione che risponde alla ratio della disciplina di legge e dunque anche alle esigenze di tutela della persona, è quella che si basa, in definitiva, su due macro categorie:

- i cookie tecnici, utilizzati al solo fine di “effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell'informazione esplicitamente richiesto dal contraente o dall'utente a erogare tale servizio” (cfr. art. 122, comma 1 del Codice);

- i cookie di profilazione, utilizzati per ricondurre a soggetti determinati, identificati o identificabili, specifiche azioni o schemi comportamentali ricorrenti nell’uso delle funzionalità offerte (pattern) al fine del raggruppamento dei diversi profili all’interno di cluster omogenei di diversa ampiezza, in modo che sia possibile al titolare, tra l’altro, anche modulare la fornitura del servizio in modo sempre più personalizzato al di là di quanto strettamente necessario all’erogazione del servizio, nonché inviare messaggi pubblicitari mirati, cioè in linea con le preferenze manifestate dall’utente nell’ambito della navigazione in rete.

Analogamente, anche gli altri identificatori possono essere catalogati secondo criteri diversi, dei quali il principale resta, tuttavia, la finalità per la quale vengono utilizzati: di natura “tecnica” o di natura “non tecnica”, dovendosi intendere quest’ultima categoria in senso ampio, dal momento che l’attuale disciplina di legge, di cui in appresso, tesa alla tutela della confidenzialità delle comunicazioni elettroniche oltre che delle informazioni di carattere personale, è inequivocamente formulata secondo lo schema di una generale proibizione di trattamento dei dati degli interessati, salvo eccezioni rigorosamente e restrittivamente codificate, insuscettibili di estensione analogica.

5. Normativa applicabile

Per l’utilizzo di cookie e degli altri identificatori tecnici, in virtù della funzione assolta e nei limiti ed alle condizioni richiamate, il titolare del trattamento sarà assoggettato al solo obbligo di fornire specifica informativa, anche eventualmente inserita all’interno di quella di carattere generale, rientrando il loro impiego in una ipotesi codificata di esenzione dall’obbligo di acquisizione del consenso dell’interessato; i cookie e gli altri strumenti di tracciamento per finalità diverse da quelle tecniche potranno, invece, essere utilizzati esclusivamente previa acquisizione del consenso, comunque informato, del contraente o utente. E ciò in base alla norma tuttora applicabile alla fattispecie, ossia l’art. 122 del Codice, ai sensi del quale:

“1. L'archiviazione delle informazioni nell'apparecchio terminale di un contraente o di un utente o l'accesso a informazioni già archiviate sono consentiti unicamente a condizione che il contraente o l'utente abbia espresso il proprio consenso dopo essere stato informato con modalità semplificate. Ciò non vieta l'eventuale archiviazione tecnica o l'accesso alle informazioni già archiviate se finalizzati unicamente ad effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell'informazione esplicitamente richiesto dal contraente o dall'utente a erogare tale servizio. Ai fini della determinazione delle modalità semplificate di cui al primo periodo il Garante tiene anche conto delle proposte formulate dalle associazioni maggiormente rappresentative a livello nazionale dei consumatori e delle categorie economiche coinvolte, anche allo scopo di garantire l'utilizzo di metodologie che assicurino l'effettiva consapevolezza del contraente o dell'utente.

2. Ai fini dell'espressione del consenso di cui al comma 1, possono essere utilizzate specifiche configurazioni di programmi informatici o di dispositivi che siano di facile e chiara utilizzabilità per il contraente o l'utente.

2-bis. Salvo quanto previsto dal comma 1, è vietato l'uso di una rete di comunicazione elettronica per accedere a informazioni archiviate nell'apparecchio terminale di un contraente o di un utente, per archiviare informazioni o per monitorare le operazioni dell'utente”.

Questa disposizione è stata introdotta nell’ordinamento nazionale a seguito del recepimento della direttiva ePrivacy, precedente rispetto alla data della piena operatività degli effetti del Regolamento. Tale direttiva, al pari delle norme di diritto interno che la recepiscono, è tuttora applicabile allo specifico settore che riguarda i trattamenti di dati effettuati nell’ambito delle comunicazioni elettroniche (v., in proposito, il considerando 173 del Regolamento secondo cui “È opportuno che il presente regolamento si applichi a tutti gli aspetti relativi alla tutela dei diritti e delle libertà fondamentali con riguardo al trattamento dei dati personali che non rientrino in obblighi specifici, aventi lo stesso obiettivo, di cui alla direttiva 2002/58/CE del Parlamento europeo e del Consiglio …”, nonché l’art. 2, lettera l), della direttiva quadro 2002/21/CE che ricomprende anche la direttiva ePrivacy nel novero delle “direttive particolari”).

La successiva entrata in vigore del Regolamento impone tuttavia una indagine, innanzitutto tesa a ricercare il coordinamento tra le regole poste. Ad esclusione delle fattispecie disciplinate in via esclusiva ed esaustiva dalla direttiva ePrivacy, molte attività di trattamento devono infatti essere ricondotte all’ambito di applicazione tanto della direttiva quanto del Regolamento(2), con l’avvertenza tuttavia che, per la parte di potenziale sovrapposizione - in virtù del rapporto di genus a species sussistente tra le due discipline e di quanto disposto dall’art. 1, par. 2, della direttiva ePrivacy, il quale chiarisce proprio come le norme di questa precisino e integrino quelle del Regolamento - ogniqualvolta la direttiva renda più specifiche le prescrizioni del Regolamento, essa, in quanto lex specialis, dovrà essere applicata e prevarrà sulle (più generali) disposizioni del Regolamento. Queste ultime restano invece applicabili per tutte quelle fattispecie non specificamente previste dalla direttiva nonché per offrire, alle norme di questa, la cornice regolatoria di carattere generale entro cui collocarne i precetti(3).

Ad esempio, è nella direttiva ePrivacy che, nei casi previsti, si rinviene l’obbligo di acquisizione del consenso all’impiego di cookie e altri strumenti di tracciamento; ma è nel Regolamento che andranno ricercate le specifiche caratteristiche di quel consenso ai fini della sua validità e conformità alla disciplina generale.

Dalla ricostruzione normativa effettuata si trae una prima, importante conclusione: la disciplina di carattere speciale applicabile alla specie non contempla ulteriori basi giuridiche che rendano legittimo il trattamento se non in presenza del consenso dell’interessato ovvero al ricorrere di una delle ipotesi di deroga rispetto all’obbligo della sua raccolta previste proprio da tale disciplina speciale. In nessun caso sarà pertanto possibile invocare ad esempio, come è stato invece osservato nel corso delle verifiche effettuate su diversi siti web, la scriminante del legittimo interesse del titolare per giustificare il ricorso a cookie o altri strumenti di tracciamento.

6. Le modalità per l’acquisizione del consenso online alla luce di alcuni opportuni chiarimenti e nuove raccomandazioni

6.1 Il c.d. “scrolling” e il cookie wall

Il Garante ritiene che l’impianto teso alla individuazione della modalità tecnica per l’acquisizione del consenso online per il tracciamento a mezzo cookie (ovvero anche realizzato per il tramite di altri strumenti) illustrato nel menzionato provvedimento del maggio 2014 sia da ritenersi tuttora valido, pur nel mutato assetto normativo che privilegia ed impone ai titolari di agire in ossequio al nuovo regime di accountability (art. 5, par. 2, del Regolamento) consentendo loro, se del caso, anche l’adozione di modalità diverse attraverso cui assicurare la conformità alle regole e la tutela degli interessati.

Si reputa, tuttavia, opportuno fornire taluni chiarimenti in relazione all’utilizzo del c.d. scrolling ai fini della raccolta del consenso all’installazione e all’utilizzo di cookie ed altri strumenti di tracciamento nonché all’utilizzo del c.d. cookie wall.

Al riguardo, deve essere innanzitutto ricordato che, secondo il considerando 32 del Regolamento, “Il consenso dovrebbe essere espresso mediante un atto positivo inequivocabile con il quale l’interessato manifesta l’intenzione libera, specifica, informata e inequivocabile di accettare il trattamento dei dati personali che lo riguardano, ad esempio mediante dichiarazione scritta, anche attraverso mezzi elettronici, o orale. Ciò potrebbe comprendere la selezione di un’apposita casella in un sito web, la scelta di impostazioni tecniche per servizi della società dell’informazione o qualsiasi altra dichiarazione o qualsiasi altro comportamento che indichi chiaramente in tale contesto che l’interessato accetta il trattamento proposto. Non dovrebbe pertanto configurare consenso il silenzio, l’inattività o la preselezione di caselle. Il consenso dovrebbe applicarsi a tutte le attività di trattamento svolte per la stessa o le stesse finalità. Qualora il trattamento abbia più finalità, il consenso dovrebbe essere prestato per tutte queste. Se il consenso dell’interessato è richiesto attraverso mezzi elettronici, la richiesta deve essere chiara, concisa e non interferire immotivatamente con il servizio per il quale il consenso è espresso”.

L’EDPB ha, inoltre, chiarito (parere n. 5/2020, del 4 maggio 2020) che il semplice scrolling non è mai idoneo, di per sé, ad esprimere compiutamente la manifestazione di volontà dell’interessato volta ad accettare di ricevere il posizionamento, all’interno del proprio terminale, di cookie diversi da quelli tecnici e, dunque, non equivale, in sé considerato, al consenso “in nessuna circostanza”(4).

Il Garante condivide naturalmente l’opinione dell’EDPB: il semplice “scroll down” del cursore di pagina è inadatto in sé alla raccolta, da parte del titolare del trattamento, di un idoneo consenso all’installazione e all’utilizzo di cookie di profilazione ovvero di altri strumenti di tracciamento.

Non pare potersi escludere, tuttavia, che lo scrolling possa intervenire nella procedura di acquisizione del consenso e costituire non la sola, bensì una delle componenti di un più articolato processo che consenta comunque all’utente di segnalare al titolare del sito, con la generazione di un preciso pattern, una scelta inequivoca e consapevole, che sia al tempo stesso registrabile e dunque documentabile, volta a prestare il proprio consenso all’uso dei cookie o di altri strumenti di tracciamento, come richiesto dalle norme vigenti.

Tale conclusione risulta d’altro canto coerente, oggi, con il richiamato approccio regolamentare teso alla valorizzazione dell’accountability; pertanto, ed analogamente a quanto affermato con riferimento al potere di autonomia del titolare nell’identificazione delle soluzioni più appropriate per conseguire la conformità alle regole dei trattamenti di dati personali effettuati, il Garante invita i titolari a valutare con estremo rigore ogni possibile soluzione, anche di carattere tecnico, idonea ad essere interpretata e registrata come una forma di consenso espresso dall’utente per l’installazione dei cookie o per l’impiego di altri strumenti di tracciamento.

Affinché lo stesso risulti acquisito legittimamente, il medesimo titolare dovrà inoltre far sì che eventuali modalità alternative rispetto a quelle proposte nelle presenti Linee guida di espressione del consenso online siano realizzate in modo tale da rendere inequivoco anche per l’utente l’effetto della propria azione, equivalente alla manifestazione del consenso stesso. Ciò, allo scopo di limitare l’incidenza dei c.d. “falsi positivi”, ossia di erronee interpretazioni di azioni casuali come espressioni consapevoli della volontà dell’utente.

Qualora invece, nel caso concreto, all’azione dell’utente non corrisponda alcun evento informatico inequivoco, documentabile e dotato delle menzionate caratteristiche anche sotto il profilo della consapevolezza per lo stesso utente, allora in nessun modo sarà possibile attribuire a tale azione la validità del consenso ai sensi della normativa vigente.

Ulteriori chiarimenti appaiono opportuni con riferimento al cd. cookie wall, intendendosi con tale espressione un meccanismo vincolante (cd. “take it or leave it”), nel quale l’utente venga cioè obbligato, senza alternativa, ad esprimere il proprio consenso alla ricezione di cookie ovvero altri strumenti di tracciamento, pena l’impossibilità di accedere al sito.

Tale meccanismo, non consentendo di qualificare l’eventuale consenso così ottenuto come conforme alle caratteristiche imposte dal Regolamento, e segnatamente al suo art. 4, punto 11 con particolare riferimento al requisito della “libertà” del consenso, è da ritenersi illecito, salva l’ipotesi da verificare caso per caso nella quale il titolare del sito offra all’interessato la possibilità di accedere ad un contenuto o a un servizio equivalenti senza prestare il proprio consenso all’installazione e all’uso di cookie o altri strumenti di tracciamento.

E ciò alla irrinunciabile condizione della conformità dell’alternativa proposta ai principi del Regolamento codificati al suo art. 5, paragrafo 1, ed innanzitutto a quello di cui alla lettera a), che esige che i dati personali siano trattati in modo lecito, corretto e trasparente (principio di “liceità, correttezza e trasparenza”); in difetto, il cookie wall non potrà essere reputato in linea con la disciplina vigente.

6.2 La reiterazione della richiesta di consenso in presenza di una precedente mancata prestazione dello stesso

Ancora con riferimento alle modalità di acquisizione del consenso, l’osservazione del comportamento dei siti web e le segnalazioni pervenute hanno evidenziato l’ulteriore problematica della spesso ridondante ed invasiva riproposizione, da parte dei gestori dei siti web, del meccanismo basato sulla presentazione del banner ad ogni nuovo accesso dell’utente al medesimo sito anche quando quest’ultimo abbia liberamente scelto. Una implementazione che, se da un lato compromette la fluidità della user experience, non trova ragione negli obblighi di legge ed ha contribuito sin qui ad una probabile sottovalutazione del valore del contenuto con esso proposto.

L’eccessiva riproposizione del banner ai fini dell’acquisizione del consenso, laddove l’utente l’abbia in precedenza negato, appare suscettibile di lederne la libertà inducendolo a prestarlo pur di proseguire nella navigazione libero dalla comparsa del banner contenente l’informativa breve e la richiesta di prestazione del consenso.

In tale contesto, quindi, nel caso in cui l’utente mantenga le impostazioni di default e dunque non acconsenta all’impiego di cookie o altri strumenti di tracciamento, così come nel caso in cui abbia acconsentito solo all’impiego di alcuni cookie o altri strumenti di tracciamento, tale scelta dovrà essere debitamente registrata e la prestazione del consenso non più nuovamente sollecitata se non quando ricorra uno dei seguenti casi:

- quando mutino significativamente una o più condizioni del trattamento e dunque il banner assolva anche ad una specifica e necessaria finalità informativa proprio in ordine alle modifiche intervenute, come nel caso in cui mutino le “terze parti”;

- quando sia impossibile, per il gestore del sito web, avere contezza del fatto che un cookie sia stato già in precedenza memorizzato sul dispositivo per essere nuovamente trasmesso, in occasione di una successiva visita del medesimo utente, al sito che lo ha generato (ad esempio nel caso in cui l’utente scelga di cancellare i cookie legittimamente installati nel proprio dispositivo senza che il titolare abbia modo, dunque, di tenere traccia della volontà di mantenere le impostazioni di default e dunque di proseguire la navigazione senza essere tracciati);

- quando siano trascorsi almeno 6 mesi dalla precedente presentazione del banner.

7. La privacy by design e by default in relazione ai cookie ed agli altri strumenti di tracciamento

7.1 Il meccanismo di acquisizione del consenso

È opinione del Garante che il meccanismo di acquisizione del consenso online tramite presentazione di un banner, come lo si è analiticamente descritto nel provvedimento del maggio 2014, mantenga, ad oggi, una sua sostanziale validità. È tuttavia necessario, anche in questo caso, valutare l’opportunità di aggiornamenti o migliorie alla luce del mutato assetto normativo.

Al riguardo, occorre prendere in considerazione la portata innovativa del Regolamento e i nuovi equilibri che esso tratteggia nelle relazioni tra titolare e interessato con specifico riferimento al suo art. 25, il quale dispone, al secondo paragrafo, che “Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità …”.

In adempimento di tale obbligo, di carattere generale poiché applicabile a qualsiasi trattamento di dati, il titolare dovrà garantire che, per impostazione predefinita, siano trattati solo i dati personali necessari in relazione a ciascuna specifica finalità del trattamento e che, in particolare, la quantità dei dati raccolti e la durata della loro conservazione non eccedano il minimo necessario per il conseguimento delle finalità perseguite, in modo che l’utilizzo di informazioni per l’accesso ad un sito sia inizialmente limitato al minimo indispensabile per consentirne la fruizione e che sia rimesso interamente all’interessato un effettivo, concreto potere di scelta in ordine alla possibilità di consentire o meno un utilizzo eventualmente più ampio dei suoi dati.

Il rispetto di tali regole impone dunque che, per impostazione predefinita, al momento del primo accesso dell’utente a un sito web, nessun cookie o altro strumento diverso da quelli tecnici venga posizionato all’interno del suo dispositivo, né che venga utilizzata alcuna altra tecnica attiva o passiva di tracciamento.

Questo risultato costituisce un obbligo espressamente codificato il cui mancato adempimento è sanzionabile ai sensi del Regolamento. Nella propria autonomia imprenditoriale e in ossequio all’accountability, ciascun titolare può naturalmente adottare le modalità ritenute più idonee per assicurarne il rispetto.

Tuttavia, e considerato pure che occorre assicurare anche la libertà di scelta di chi invece intenda accettare di essere profilato, il Garante suggerisce l’adozione dello specifico modello, di seguito illustrato, da reputarsi in linea con i menzionati obblighi. Qualora i gestori dei siti web decidano di conformarvisi, dovranno implementare un meccanismo in base al quale l’utente, accedendo per la prima volta alla home page (o ad altra pagina) del sito web, visualizzi immediatamente un’area o banner le cui dimensioni siano, al tempo stesso, sufficienti da costituire una percettibile discontinuità nella fruizione dei contenuti della pagina web che sta visitando, ma anche tali da evitare il rischio che l’utente possa far ricorso a comandi e dunque compiere scelte indesiderate o inconsapevoli; con l’effetto che l’adeguatezza e la congruità delle dimensioni del banner dovranno essere valutate anche in relazione ai diversi dispositivi di possibile utilizzo da parte dell’interessato.

Tale banner dovrà essere parte integrante di un meccanismo che, pur non impedendo il mantenimento delle impostazioni di default, permetta anche l’eventuale espressione di una azione positiva nella quale deve sostanziarsi la manifestazione del consenso dell’interessato.

Qualora l’utente scegliesse, com’è nella sua piena disponibilità, di mantenere quelle impostazioni di default e dunque di non prestare il proprio consenso al posizionamento dei cookie o all’impiego di altre tecniche di tracciamento, dovrebbe dunque limitarsi a chiudere il banner mediante selezione dell’apposito comando usualmente utilizzato a tale scopo, cioè quello contraddistinto da una X posizionata di regola, e secondo prassi consolidata, in alto a destra e all’interno del banner medesimo, senza essere costretto ad accedere ad altre aree o pagine a ciò appositamente dedicate. Tale comando dovrà avere una evidenza grafica pari a quella degli ulteriori comandi o pulsanti negoziali idonei ad esprimere le altre scelte nella disponibilità dell’utente, di cui si dirà in appresso. Le modalità di prosecuzione nella navigazione senza prestare alcun consenso dovranno, in altre parole, essere immediate, usabili e accessibili quanto quelle previste per la prestazione del consenso.

Mediante il ricorso a questo meccanismo si garantirebbe che, appunto by default, l’interessato che non intenda esprimere il proprio consenso non sia in alcun modo tracciato o profilato conseguendo, al tempo stesso, l’ulteriore risultato di generare un evento informatico riconoscibile e registrabile da parte del titolare. Esso, esprimendo la volontà dell’interessato di non prestare il proprio consenso all’utilizzo di cookie o altri strumenti di tracciamento diversi da quelli tecnici, impedirebbe al sito la reiterazione della presentazione del banner in occasione di successivi accessi dell’utente, fatte salve le eccezioni descritte al paragrafo precedente e, comunque, per un periodo di tempo non inferiore a 6 mesi.

In altri termini, il consenso potrà intendersi come validamente prestato soltanto se sarà conseguenza di un intervento attivo e consapevole dell’utente, opportunamente riscontrabile e dimostrabile, che consenta di qualificarlo come in linea con tutti quei requisiti (libero, informato, inequivoco e specifico, cioè espresso in relazione a ciascuna diversa finalità del trattamento) richiesti dal Regolamento.

Tale banner dovrà allora contenere, oltre alla X in alto a destra di cui è stata già illustrata la funzione, almeno le seguenti indicazioni ed opzioni:

i) l’avvertenza che la chiusura del banner mediante selezione dell’apposito comando contraddistinto dalla X posta al suo interno, in alto a destra, comporta il permanere delle impostazioni di default e dunque la continuazione della navigazione in assenza di cookie o altri strumenti di tracciamento diversi da quelli tecnici;

ii) una informativa minima relativa al fatto che il sito utilizza – se così è ovviamente - cookie o altri strumenti tecnici e potrà, esclusivamente previa acquisizione del consenso dell’utente da prestarsi con modalità da indicarsi nella medesima informativa breve (cfr. punto iv che segue), utilizzare anche cookie di profilazione o altri strumenti di tracciamento al fine di inviare messaggi pubblicitari ovvero di modulare la fornitura del servizio in modo personalizzato al di là di quanto strettamente necessario alla sua erogazione, cioè in linea con le preferenze manifestate dall’utente stesso nell’ambito dell’utilizzo delle funzionalità e della navigazione in rete e/o allo scopo di effettuare analisi e monitoraggio dei comportamenti dei visitatori di siti web;

iii) il link alla privacy policy, ovvero ad una informativa estesa posizionata in un second layer – che sia accessibile con un solo click anche tramite un ulteriore link posizionato nel footer di qualsiasi pagina del dominio cui l’utente accede - ove vengano fornite in maniera chiara e completa almeno tutte le indicazioni di cui agli artt. 12 e 13 del Regolamento, anche con riguardo ai predetti cookie o altri strumenti tecnici (cfr., al riguardo, il successivo paragrafo 8);

iv) un comando attraverso il quale sia possibile esprimere il proprio consenso accettando il posizionamento di tutti i cookie o l’impiego di eventuali altri strumenti di tracciamento;

v) il link ad una ulteriore area dedicata nella quale sia possibile selezionare, in modo analitico, soltanto le funzionalità, i soggetti cd. terze parti - il cui elenco deve essere tenuto costantemente aggiornato, siano essi raggiungibili tramite specifici link ovvero anche per il tramite del link al sito web di un soggetto intermediario che li rappresenti - ed i cookie, anche eventualmente raggruppati per categorie omogenee, al cui utilizzo l’utente scelga di acconsentire.

In quest’ultima ipotesi, quando cioè i cookie siano raggruppati per categorie omogenee, qualora si verificassero successive modifiche nel novero delle terze parti corrispondenti ai link posizionati in questa area e dunque ulteriori soggetti terze parti venissero aggiunti alla lista, è rimessa alla prima parte, cioè al gestore del sito, la loro accurata selezione, come pure la necessaria attività di vigilanza per assicurare che l’ingresso di tali soggetti ed il trattamento che ne discende permanga in linea con il raggruppamento per categorie omogenee come già effettuato.

Anche in questo caso, il rispetto degli obblighi di privacy by default impone che le possibili scelte granulari siano inizialmente tutte preimpostate sul diniego all’installazione dei cookie, e che pertanto l’utente possa, esclusivamente, accettarne, anche appunto in modo granulare, il posizionamento.

Nell’eventualità in cui sia prevista la sola presenza di cookie tecnici o altri strumenti analoghi, di essi potrà essere data informazione nella homepage o nell’informativa generale senza l’esigenza di apporre specifici banner da rimuovere a cura dell’utente.

Queste premesse consentono anche di chiarire possibili fraintendimenti nel significato da attribuire all’azione dell’utente in relazione alla specifica configurazione dei pulsanti e dei colori utilizzati dai publisher, sinora di non univoca interpretazione. Basti, al riguardo, ribadire che, a prescindere dalla configurazione adottata, dai colori utilizzati per i pulsanti e in definitiva dalle modalità attuative prescelte, l’azione positiva nella disponibilità dell’utente al momento del primo accesso al sito dovrà comunque essere esclusivamente volta alla manifestazione del consenso (cd. opt-in) e non potrà mai riferirsi invece all’espressione di un diniego (cd. opt-out).

A tale riguardo, il Garante torna a sottolineare tuttavia l’importanza di avviare nelle sedi più opportune e tra tutti i soggetti interessati (accademia, industria, associazioni di categoria, decisori, stakeholder etc.) una riflessione circa la necessità dell’adozione di una codifica standardizzata relativa alla tipologia dei comandi, dei colori e delle funzioni da implementare all’interno dei siti web per conseguire la più ampia uniformità, a tutto vantaggio della trasparenza, della chiarezza e dunque anche della migliore conformità alle regole; tale esigenza, che sulla base dei contributi pervenuti nell’ambito della consultazione pubblica risulta essere unanimemente avvertita e condivisa, non ha tuttavia sin qui trovato delle proposte concrete idonee al conseguimento dello scopo.

Gli utenti, naturalmente, dovranno essere posti in condizione di modificare le scelte compiute – sia in termini negativi che in termini positivi e dunque prestando un consenso negato o revocando un consenso prestato – in ogni momento e ciò in maniera semplice, immediata e intuitiva attraverso un’apposita area da rendere accessibile attraverso un link da posizionarsi nel footer del sito e che ne renda esplicita la funzionalità attraverso l’indicazione di “rivedi le tue scelte sui cookie” o analoga.

Resta, peraltro, inteso che in ogni ipotesi di riproposizione del banner contenente l’informativa breve e le opzioni di scelta dell’utente, così come laddove l’utente modifichi le scelte originariamente compiute in conformità al periodo precedente, le scelte negoziali compiute in occasione degli accessi successivi dovranno sovrascrivere e superare le precedenti ed essere, dunque, considerate come modifica delle precedenti opzioni anche in questo caso, indifferentemente, in termini di prestazione di un consenso originariamente negato o di revoca di un consenso precedentemente prestato.

Per assicurare che gli utenti non siano influenzati ovvero penalizzati da scelte di design che inducano a preferire una opzione anziché l’altra, si sottolinea inoltre l’esigenza dell’utilizzo di comandi e di caratteri di uguali dimensioni, enfasi e colori, che siano ugualmente facili da visionare e utilizzare.

Al fine di rendere concretamente azionabile tale possibilità di mutare avviso e dunque effettiva la disponibilità per l’utente della espressione libera della propria volontà, il Garante suggerisce allora l’adozione di una buona prassi, individuata attraverso l’esame dei contributi pervenuti nel corso della consultazione pubblica. Ci si riferisce al posizionamento in ciascuna pagina del dominio, eventualmente pure accanto al link all’area dedicata alle scelte, di un segno grafico, una icona o altro accorgimento tecnico che indichi, anche in modo essenziale, lo stato dei consensi in precedenza resi dall’utente consentendone, dunque, in ogni momento l’eventuale modifica o aggiornamento.

Per realizzare la memorizzazione delle azioni e delle scelte, anche di dettaglio, rimesse all’interessato (mantenimento delle impostazioni di default, espressione, anche granulare, del consenso ovvero revoca del consenso precedentemente espresso mediante ripristino delle impostazioni di default), il gestore del sito web potrebbe avvalersi o di appositi cookie tecnici (in tal senso, si veda anche il considerando 25 della direttiva 2002/58/CE) o anche di ulteriori modalità che la tecnologia dovesse rendere disponibili, la cui individuazione rientra nell’autonomia imprenditoriale e nell’accountability del titolare, adattando opportunamente la propria condotta in modo da tenere comunque costantemente aggiornata la documentazione delle scelte compiute dall’interessato.

Resta in ogni caso impregiudicata la possibilità per i titolari di adottare eventualmente anche diverse modalità di raccolta del consenso, ad esempio con riferimento a quegli utenti che accedano ai relativi servizi mediante uso di credenziali di autenticazione o di accesso e per i quali dunque, fin dal momento della creazione dell’account, si porrebbe un naturale momento di discontinuità nella navigazione idoneo, per il titolare, all’assolvimento degli obblighi che interessano l’impiego di cookie e degli altri strumenti di tracciamento; con l’avvertenza che a questi specifici utenti, cd. autenticati, dovrà inoltre essere consentito di scegliere consapevolmente - menzionando dunque tale possibilità pure nell’informativa resa - se accettare la possibilità che il tracciamento che li riguarda venga effettuato anche attraverso l’analisi incrociata dei comportamenti tenuti tramite l’utilizzo di diversi device.

7.2 I cookie analytics di prima parte e delle cd. terze parti

I cookie possono anche essere utilizzati, tra l’altro, per valutare l’efficacia di un servizio della società dell’informazione fornito da un publisher, per la progettazione di un sito web o per contribuire a misurarne il “traffico”, cioè il numero di visitatori anche eventualmente ripartiti per area geografica, fascia oraria della connessione o altre caratteristiche.

L’Autorità ha affermato, nel provvedimento del maggio 2014, che tali identificativi, definiti cookie analytics, possono essere ricompresi nella categoria di quelli tecnici, e come tali essere utilizzati in assenza della previa acquisizione del consenso dell’interessato, al verificarsi di determinate condizioni. Anche in questo caso, l’entrata in vigore del Regolamento impone un ripensamento critico delle condizioni identificate allora, nonché una più specifica definizione delle misure oggi idonee all’applicazione della richiamata esenzione.

Si impone, in primo luogo, la necessità di individuare soluzioni di maggior tutela dell’interessato attraverso l’impiego di misure in linea con le disposizioni dell’art. 25, paragrafo 1, del Regolamento in materia di privacy by design, tali da “attuare in modo efficace i principi di protezione dei dati”.

In questa prospettiva, il Garante reputa che, nel caso di specie, tale obiettivo debba essere conseguito attraverso il ricorso a misure di minimizzazione del dato che riducano significativamente il potere identificativo dei cookie analytics, qualora il loro utilizzo avvenga ad opera di “terze parti”.

Affinché i cookie analytics siano equiparati ai tecnici è, in altri termini, indispensabile precludere la possibilità che si pervenga, mediante il loro utilizzo, alla diretta individuazione dell’interessato (cd. single out), il che equivale impedire l’impiego di cookie analytics che, per le loro caratteristiche, possano risultare identificatori diretti ed univoci.

La struttura del cookie analytics dovrà allora prevedere la possibilità che lo stesso cookie sia riferibile non soltanto ad uno, bensì a più dispositivi, in modo da creare una ragionevole incertezza sull’identità informatica del soggetto che lo riceve. Di regola questo effetto si ottiene mascherando opportune porzioni dell’indirizzo IP all’interno del cookie.

Tenuto conto della rappresentazione degli indirizzi IP versione 4 (IPv4) a 32 bit, che sono usualmente rappresentati e utilizzati come sequenza di quattro numeri decimali compresi tra 0 e 255 separati da un punto, una delle misure implementabili al fine di beneficiare dell’esenzione consiste nel mascheramento almeno della quarta componente dell’indirizzo, opzione che introduce una incertezza nell’attribuzione del cookie ad uno specifico interessato pari a 1/256 (circa 0,4%).

Analoghe procedure dovrebbero essere adottate in riferimento agli indirizzi IP versione 6 (IPv6), che hanno una differente struttura e uno spazio di indirizzamento enormemente superiore (essendo costituiti da numeri binari rappresentati con 128 bit).

Il Garante sottolinea, inoltre, la necessità che l’uso dei cookie analytics sia limitato unicamente alla produzione di statistiche aggregate e che essi vengano utilizzati in relazione ad un singolo sito o una sola applicazione mobile, in modo da non consentire il tracciamento della navigazione della persona che utilizza applicazioni diverse o naviga in siti web diversi.

Resta inteso pertanto che i soggetti terzi, che forniscono al publisher il servizio di web measurement, non dovranno comunque combinare i dati, anche così minimizzati, con altre elaborazioni (file dei clienti o statistiche di visite ad altri siti, ad esempio) nè trasmetterli a loro volta ad ulteriori terzi, pena l’inaccettabile incremento dei rischi di identificazione dell’utente; tranne il caso in cui la produzione di statistiche da loro effettuata con i dati minimizzati interessi più domini, siti web o app riconducibili al medesimo publisher o gruppo imprenditoriale.

È tuttavia possibile reputare lecito, anche in assenza dell’adozione delle prescritte misure di minimizzazione, il ricorso ad analisi statistiche relative a più domini, siti web o app riconducibili al medesimo titolare purché questi proceda in proprio all’elaborazione statistica, senza in ogni caso che tali analisi si risolvano in una attività che, travalicando i confini di un mero conteggio statistico, assuma in realtà le caratteristiche di una elaborazione volta all’assunzione di decisioni di natura commerciale.

8. Le novità in materia di informativa

8.1 Le informazioni da rendere in conformità al Regolamento

Da ultimo, il Garante intende illustrare alcuni miglioramenti che i titolari potranno adottare al fine di rendere agli utenti una informativa conforme ai rinnovati requisiti di trasparenza imposti dagli articoli 12 e 13 del Regolamento, compresa l’indicazione circa gli eventuali altri soggetti destinatari dei dati personali ed i tempi di conservazione delle informazioni acquisite.

È inoltre necessario fornire informazioni su come le persone fisiche possono esercitare tutti i diritti previsti dal Regolamento, incluso quello di avanzare una richiesta di accesso e di proporre un reclamo a un’Autorità di controllo.

In aggiunta a quanto stabilito nel provvedimento sui cookie del maggio 2014, e nel confermare la logica di semplificazione cui le sue indicazioni sono improntate, si ritiene inoltre che l’informativa, oltre che multilayer, e cioè dislocata su più livelli, possa ad oggi essere resa, eventualmente in relazione a specifiche necessità, anche per il tramite di più canali e modalità (cd. multichannel), in modo da sfruttare al massimo più dinamici e meno tradizionali ulteriori punti di contatto tra il titolare e gli interessati.

Si pensi, ad esempio, al sempre più diffuso ricorso a canali video, a pop-up informativi, a interazioni vocali, ad assistenti virtuali, all’impiego del telefono, al ricorso a chatbot, etc.

Sarà allora onere del titolare, cui è rimessa la scelta in ordine alla modalità ovvero all’impiego combinato delle modalità ritenute più idonee, verificare la corrispondenza del sistema implementato, specie in termini di completezza, chiarezza espositiva, efficacia e fruibilità, con i requisiti imposti dal Regolamento.

Allo stesso modo, sarà onere del titolare adottare ogni più opportuno accorgimento affinché le informazioni contenute nel banner siano fruibili, senza discriminazioni, anche da parte di coloro che a causa di disabilità necessitano di tecnologie assistive o configurazioni particolari, in linea con quanto previso dalla legge 9 gennaio 2004, n. 4 (come modificata, da ultimo, dal d.l. 16 luglio 2020, n. 76, convertito in legge, con modificazioni, dalla legge 11 settembre 2020, n. 120).

8.2 La necessità di una integrazione delle informazioni da comunicare agli utenti

La pratica operativa degli ultimi anni ha evidenziato come il sistema difetti di un elemento di cruciale rilievo, specie a fini di enforcement.

Ci si riferisce al fatto che non esiste ancora, ad oggi, un sistema universalmente accettato di codifica semantica dei cookie e degli altri strumenti di tracciamento che consenta di distinguere oggettivamente, ad esempio, quelli tecnici dagli analytics o da quelli di profilazione, se non basandosi sulle indicazioni rese dal titolare stesso nella privacy policy.

È stato riscontrato, inoltre, che le interrogazioni e le verifiche circa il posizionamento di cookie da parte di uno specifico sito web possono avere esiti diversi a seconda del browser considerato.

In tale situazione, e con l’auspicio che si addivenga in tempi rapidi ad una codifica di carattere generale, tanto più importante specie nell’attuale mondo connesso online, nel quale le distanze geografiche perdono rilevanza a fronte delle sempre più accentuate potenzialità della rete, il Garante intende richiamare i titolari che facciano impiego di tali strumenti alla necessità di rendere manifesti, mediante apposita, opportuna integrazione dell’informativa, almeno i criteri di codifica degli identificatori adottati da ciascuno. In alternativa, i titolari potranno valutare di posizionare tale codifica anche all’interno della privacy policy.

Tali criteri potranno, inoltre, a richiesta, costituire oggetto di comunicazione all’Autorità, quale strumento di ausilio alle attività di carattere istruttorio che saranno intraprese con riguardo al fenomeno in considerazione.

TUTTO CIÒ PREMESSO, IL GARANTE:

ai sensi dell’art. 154-bis, comma 1, lett. a), del Codice, delibera di adottare le presenti Linee guida affinché tutti i fornitori dei servizi della società dell’informazione di cui all’art. 1, paragrafo 1, punto (b) della Direttiva (EU) 2015/1535, nonché tutti i soggetti che comunque offrono ai propri utenti servizi online accessibili al pubblico attraverso reti di comunicazione elettronica o cui si riferiscano siti web che facciano impiego di cookie e/o altri strumenti di tracciamento, con specifico riguardo ai trattamenti di dati personali relativi all’utilizzo delle funzionalità offerte, tengano conto delle indicazioni e delle semplificazioni illustrate; segnatamente, per quanto concerne:

- il consenso preventivo degli utenti in relazione al trattamento, per finalità di tracciamento on line, delle informazioni che li riguardano, anche derivanti dall’uso di cookie ed altri strumenti di tracciamento, ai sensi degli artt. 122 del Codice e 4, punto 11) e 7 del Regolamento (secondo i criteri e le modalità indicate ai paragrafi 6 e 7);

- il rispetto del diritto di revoca del consenso nei termini di cui all’art. 7.3 del Regolamento (secondo quanto indicato al paragrafo 7.1);

- il rispetto degli obblighi di privacy by design e by default di cui all’art. 25 del Regolamento anche per mezzo dell’adozione di misure di minimizzazione dei dati preliminarmente alla comunicazione ed al loro impiego ad opera delle cd. terze parti (secondo quanto indicato al paragrafo 7.2);

- l’informativa da rendere agli interessati ai sensi degli artt. 12 e 13 del Regolamento, con particolare riguardo all’indicazione dei criteri di codifica utilizzati da ciascun titolare per la classificazione dei cookie e degli altri strumenti di tracciamento che consenta di distinguere quelli tecnici dagli analytics o da quelli di profilazione (secondo quanto indicato al paragrafo 8 delle presenti Linee guida).

In considerazione della potenziale complessità di eventuali adeguamenti dei sistemi e dei trattamenti già in atto ai principi espressi dalle presenti Linee Guida, l’Autorità reputa congruo individuare un termine pari a 6 mesi dal momento della loro pubblicazione in Gazzetta Ufficiale entro il quale i soggetti tenuti dovranno conformarvisi; con l’avvertenza che i consensi già raccolti, purché conformi alle caratteristiche richieste dal Regolamento, potranno essere ritenuti validi a condizione che, al momento della loro acquisizione, siano stati registrati e siano dunque debitamente documentabili, anche mediante evidenze informatiche.

Si allega alle presenti Linee Guida una scheda di sintesi (all. 1) che ne costituisce parte integrante e sostanziale.

Si dispone la trasmissione di copia delle presenti Linee guida al Ministero della Giustizia-Ufficio pubblicazione leggi e decreti, per la loro pubblicazione nella Gazzetta Ufficiale della Repubblica italiana.

Roma, 10 giugno 2021

IL PRESIDENTE Stanzione

IL RELATORE Scorza

IL SEGRETARIO GENERALE Mattei

NOTE

(1) V. considerando 32 del Regolamento e il raffronto tra l’art. 2, lettera h) della direttiva 95/46/Ce e l’art. 4, punto 11) del Regolamento).

(2) Così la Corte di Giustizia, che nella sentenza Wirtschaftsakademie (C-210/16 del 5 giugno 2018) ha applicato la direttiva 95/46 nonostante il caso si riferisse a operazioni di trattamento rientranti nell’ambito di applicazione materiale della direttiva ePrivacy; lo stesso è accaduto nella sentenza resa nel caso Fashion ID (C-40/17 del 29 luglio 2019).

(3) In senso conforme, con specifico riguardo alle interrelazioni tra le due discipline, si veda anche il parere dell’EDPB n. 5/2019 del 12 marzo 2019, richiamato in premessa.

(4) Traduzione italiana della citazione delle Linee guida EDPB 05/2020, punto 86: «Alla luce del considerando 32, azioni quali lo scorrimento di una pagina o lo scorrimento con un dito, oppure attività analoghe dell’utente, non soddisfano in alcun caso il requisito di un’azione chiara e affermativa: possono essere difficili da distinguere da altre attività o interazioni dell’utente, e non è quindi possibile stabilire che sia stato ottenuto un consenso inequivocabile. Inoltre, in tal caso è difficile offrire un mezzo per revocare il consenso con la stessa facilità con cui è stato prestato». La traduzione è fornita per la lettura in italiano.