D. Leg.vo 10/08/2018, n. 101

IL PRESIDENTE DELLA REPUBBLICA

Visti gli articoli 76 e 87 della Costituzione;

Vista la legge 25 ottobre 2017, n. 163, recante delega al Governo per il recepimento delle direttive europee e l'attuazione di altri atti dell'Unione europea - Legge di delegazione europea 2016-2017, e in particolare l'articolo 13, che delega il Governo all'emanazione di uno o più decreti legislativi di adeguamento del quadro normativo nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016; 

1. Al titolo del decreto legislativo 30 giugno 2003, n. 196, dopo le parole «dati personali» sono aggiunte le seguenti: «, recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personal

1. Alla parte I, titolo I, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) la rubrica del titolo I è sostituita dalla seguente: «Principi e disposizioni generali»;

b) prima dell'articolo 1 è inserito il seguente Capo: «Capo I (Oggetto, finalità e Autorità di controllo)»

c) l'articolo 1 è sostituito dal seguente:

«Art. 1 (Oggetto) . - 1. Il trattamento dei dati personali avviene secondo le norme del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, di seguito «Regolamento», e del presente codice, nel rispetto della dignità umana, dei diritti e delle libertà fondamentali della persona.»;

d) l'articolo 2 è sostituito dal seguente:

«Art. 2 (Finalità). - 1. Il presente codice reca disposizioni per l'adeguamento dell'ordinamento nazionale alle disposizioni del regolamento.»;

e) dopo l'articolo 2 è inserito il seguente:

«Art. 2-bis (Autorità di controllo). - 1. L'Autorità di controllo di cui all'articolo 51 del regolamento è individuata nel Garante per la protezione dei dati personali, di seguito «Garante», di cui all'articolo 153.»;

f) dopo l'articolo 2-bis sono inseriti i seguenti Capi:

«Capo II (Principi) - Art. 2-ter (Base giuridica per il trattamento di dati personali effettuato per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri). - 1. La base giuridica prevista dall'articolo 6, paragrafo 3, lettera b), del regolamento è costituita esclusivamente da una norma di legge o, nei casi previsti dalla legge, di regolamento. 

2. La comunicazione fra titolari che effettuano trattamenti di dati personali, diversi da quelli ricompresi nelle particolari categorie di cui all'articolo 9 del Regolamento e di quelli relativi a condanne penali e reati di cui all'articolo 10 del Regolamento, per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri è ammessa se prevista ai sensi del comma 1. In mancanza di tale norma, la comunicazione è ammessa quando è comunque necessaria per lo svolgimento di compiti di interesse pubblico e lo svolgimento di funzioni istituzionali e può essere iniziata se è decorso il termine di quarantacinque giorni dalla relativa comunicazione al Garante, senza che lo stesso abbia adottato una diversa determinazione delle misure da adottarsi a garanzia degli interessati.

3. La diffusione e la comunicazione di dati personali, trattati per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, a soggetti che intendono trattarli per altre finalità sono ammesse unicamente se previste ai sensi del comma 1.

4. Si intende per:

a) "comunicazione", il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall'interessato, dal rappresentante del titolare nel territorio dell'Unione europea, dal responsabile o dal suo rappresentante nel territorio dell'Unione europea, dalle persone autorizzate, ai sensi dell'articolo 2-quaterdecies, al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile, in qualunque forma, anche mediante la loro messa a disposizione, consultazione o mediante interconnessione;

b) "diffusione", il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione.

Art. 2-quater (Regole deontologiche). - 1. Il Garante promuove, nell'osservanza del principio di rappresentatività e tenendo conto delle raccomandazioni del Consiglio d'Europa sul trattamento dei dati personali, l'adozione di regole deontologiche per i trattamenti previsti dalle disposizioni di cui agli articoli 6, paragrafo 1, lettere c) ed e), 9, paragrafo 4, e al capo IX del Regolamento, ne verifica la conformità alle disposizioni vigenti, anche attraverso l'esame di osservazioni di soggetti interessati e contribuisce a garantirne la diffusione e il rispetto.

2. Lo schema di regole deontologiche è sottoposto a consultazione pubblica per almeno sessanta giorni. 

3. Conclusa la fase delle consultazioni, le regole deontologiche sono approvate dal Garante ai sensi dell'articolo 154-bis, comma 1, lettera b), pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministro della giustizia, sono riportate nell'allegato A del presente codice.

4. Il rispetto delle disposizioni contenute nelle regole deontologiche di cui al comma 1 costituisce condizione essenziale per la liceità e la correttezza del trattamento dei dati personali.

Art. 2-quinquies (Consenso del minore in relazione ai servizi della società dell'informazione). - 1. In attuazione dell'articolo 8, paragrafo 1, del Regolamento, il minore che ha compiuto i quattordici anni può esprimere il consenso al trattamento dei propri dati personali in relazione all'offerta diretta di servizi della società dell'informazione. Con riguardo a tali servizi, il trattamento dei dati personali del minore di età inferiore a quattordici anni, fondato sull'articolo 6, paragrafo 1, lettera a), del Regolamento, è lecito a condizione che sia prestato da chi esercita la responsabilità genitoriale.

2. In relazione all'offerta diretta ai minori dei servizi di cui al comma 1, il titolare del trattamento redige con linguaggio particolarmente chiaro e semplice, conciso ed esaustivo, facilmente accessibile e comprensibile dal minore, al fine di rendere significativo il consenso prestato da quest'ultimo, le informazioni e le comunicazioni relative al trattamento che lo riguardi.

Art. 2-sexies (Trattamento di categorie particolari di dati personali necessario per motivi di interesse pubblico rilevante). - 1. I trattamenti delle categorie particolari di dati personali di cui all'articolo 9, paragrafo 1, del Regolamento, necessari per motivi di int

1. La rubrica della parte II del decreto legislativo 30 giugno 2003, n. 196, è sostituita dalla seguente: «Disposizioni specifiche per i trattamenti necessari per adempiere ad un obbligo legale o per l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri nonché disposizioni per i trattamenti di cui al capo IX del regolamento».

1. Alla parte II, titolo III, del decreto legislativo 30 giugno 2003, n. 196, l'articolo 58 è sostituito dal seguente:

«Art. 58 (Trattamenti di dati personali per fini di sicurezza nazionale o difesa). - 1. Ai trattamenti di dati personali effettuati dagli organismi di cui agli articoli 4, 6 e 7 della legge 3 agosto 2007, n. 124, sulla base dell'articolo 26 della pr

1. Alla parte II, titolo IV, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) all'articolo 59:

1) alla rubrica sono aggiunte, in fine, le seguenti parole: «e accesso civico»;

2) al comma 1, le parole «sensibili e giudiziari» sono sostituite dalle seguenti: «di cui agli articoli 9 e 10 del re

1. Alla parte II, titolo V, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) l'articolo 75 è sostituito dal seguente:

«Art. 75 (Specifiche condizioni in ambito sanitario). - 1. Il trattamento dei dati personali effettuato per finalità di tutela della salute e incolumità fisica dell'interessato o di terzi o della collettività deve essere effettuato ai sensi dell'articolo 9, paragrafi 2, lettere h) ed i), e 3 del regolamento, dell'articolo 2-septies del presente codice, nonché nel rispetto delle specifiche disposizioni di settore.»;

b) la rubrica del Capo II è sostituita dalla seguente: «Modalità particolari per informare l'interessato e per il trattamento dei dati personali»;

c) l'articolo 77 è sostituito dal seguente:

«Art. 77 (Modalità particolari). - 1. Le disposizioni del presente titolo individuano modalità particolari utilizzabili dai soggetti di cui al comma 2:

a) per informare l'interessato ai sensi degli articoli 13 e 14 del Regolamento;

b) per il trattamento dei dati personali.

2. Le modalità di cui al comma 1 sono applicabili:

a) dalle strutture pubbliche e private, che erogano prestazioni sanitarie e socio-sanitarie e dagli esercenti le professioni sanitarie;

b) dai soggetti pubblici indicati all'articolo 80.»;

d) all'

1. Alla parte II, titolo VI, del decreto legislativo 30 giugno 2003, n. 196, l'articolo 96 è sostituito dal seguente:

1. Alla parte II, titolo VII, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:  

a) la rubrica è sostituita dalla seguente: «(Trattamenti a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici)»;

b) l'articolo 97 è sostituito dal seguente:

«Art. 97 (Ambito applicativo). - 1. Il presente titolo disciplina il trattamento dei dati personali effettuato a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, ai sensi dell'articolo 89 del regolamento.»;  

c) l'articolo 99 è sostituito dal seguente:

«Art. 99 (Durata del trattamento). - 1. Il trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici può essere effettuato anche oltre il periodo di tempo necessario per conseguire i diversi scopi per i quali i dati sono stati in precedenza raccolti o trattati.

2. A fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici possono comunque essere conservati o ceduti ad altro titolare i dati personali dei quali, per qualsiasi causa, è cessato il trattamento nel rispetto di quanto previsto dall'articolo 89, paragrafo 1, del Regolamento.»;

d) all'articolo 100:

1) al comma 1, le parole «sensibili o giudiziari» sono sostituite dalle seguenti: «di cui agli articoli 9 e 10 del Regolamento»;

2) al comma 2, le parole da «opporsi» fino alla fine del comma, sono sostituite dalle seguenti: «rettifica, cancellazione, limitazione e opposizione ai sensi degli articoli 16, 17, 18 e 21 del Regolamento»;  

3) dopo il comma 4, è aggiunto il seguente:

«4-bis. I diritti di cui al comma 2 si esercitano con le modalità previste dalle regole deontologiche.»;

e) la rubrica del Capo II è sostituita dalla seguente: «Trattamento a fini di archiviazione nel pubblico interesse o di ricerca storica»;

f) all'articolo 101:

1) al comma 1, le parole «per scopi storici» sono sostituite dalle seguenti: «a fini di archiviazione nel pubblico interesse o di ricerca storica» e le parole «dell'articolo 11» sono sostituite dalle seguenti: «dell'articolo 5 del regolamento»;

2) al comma 2, le parole «per scopi storici» sono sostituite dalle seguenti: «a fini di archiviazione nel pubblico interesse o di ricerca storica»;

g) all'articolo 102:

1. Alla parte II, titolo VIII, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:  

a) la rubrica è sostituita dalla seguente: «Trattamenti nell'ambito del rapporto di lavoro»;

b) l'articolo 111 è sostituito dal seguente:

«Art. 111

1. Alla parte II, titolo IX, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazion

1. Alla parte II, titolo X, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) all'articolo 121:

1) la rubrica è sostituita dalla seguente: «(Servizi interessati e definizioni)»;

2) dopo il comma 1, è aggiunto il seguente:  

«1-bis. Ai fini dell'applicazione delle disposizioni del presente titolo si intende per:

a) «comunicazione elettronica», ogni informazione scambiata o trasmessa tra un numero finito di soggetti tramite un servizio di comunicazione elettronica accessibile al pubblico. Sono escluse le informazioni trasmesse al pubblico tramite una rete di comunicazione elettronica, come parte di un servizio di radiodiffusione, salvo che le stesse informazioni siano collegate ad uncontraente o utente ricevente, identificato o identificabile;

b) «chiamata», la connessione istituita da un servizio di comunicazione elettronica accessibil e al pubblico che consente la comunicazione bidirezionale;

c) «reti di comunicazione elettronica», i sistemi di trasmissione e, se del caso, le apparecchiature di commutazione o di instradamento e altre risorse, inclusi gli elementi di rete non attivi, che consentono di trasmettere segnali via cavo, via radio, a mezzo di fibre ottiche o con altri mezzi elettromagnetici, comprese le reti satellitari, le reti terrestri mobili e fisse a commutazione di circuito e a commutazione di pacchetto, compresa Internet, le reti utilizzate per la diffusione circolare dei programmi sonori e televisivi, i sistemi per il trasporto della corrente elettrica, nella misura in cui siano utilizzati per trasmettere i segnali, le reti televisive via cavo, indipendentemente dal tipo di informazione trasportato;

d) «rete pubblica di comunicazioni», una rete di comunicazione elettronica utilizzata interamente o prevalentemente per fornire servizi di comunicazione elettronica accessibili al pubblico, che supporta il trasferimento di informazioni tra i punti terminali di reti;

e) «servizio di comunicazione elettronica», i servizi consistenti esclusivamente o prevalentemente nella trasmissione di segnali su reti di comunicazioni elettroniche, compresi i servizi di telecomunicazioni e i servizi di trasmissione nelle reti utilizzate per la diffusione circolare radiotelevisiva, nei limiti previsti da

1. Alla parte II, titolo XII, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) la rubrica è sostituita dalla seguente: «Giornalismo, libertà di informazione e di espressione»;

b) all'articolo 136, comma 1:

1) all'alinea, dopo le parole «si applicano» sono inserite le seguenti: «, ai sensi dell'articolo 85 del Regolamento,»;

2) alla lettera c), la parola «temporaneo» è soppressa, dopo la parola diffusione è inserita la parola «anche» e le parole «nell'espressione artistica» sono sostituite dalle seguenti: «nell'espressione accademica, artis

1. Alla parte III, titolo I, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:

a) prima del Capo I è inserito il seguente:

«Capo 0.I (Alternatività delle forme di tutela) - Art.140-bis (Forme alternative di tutela). - 1. Qualora ritenga che i diritti di cui gode sulla base della normativa in materia di protezione dei dati personali siano stati violati, l'interessato può proporre reclamo al Garante o ricorso dinanzi all'autorità giudiziaria.

2. Il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l'autorità giudiziaria.

3. La presentazione del reclamo al Garante rende improponibile un'ulteriore domanda dinanzi all'autorità giudiziaria tra le stesse parti e per il medesimo oggetto, salvo quanto previsto dall'articolo 10, comma 4,

1. Alla parte III, titolo II, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:  

a) la rubrica è sostituita dalla seguente: «Autorità di controllo indipendente»;

b) l'articolo 153 è sostituito dal seguente:

«Art. 153 (Garante per la protezione dei dati personali). - 1. Il Garante è composto dal Collegio, che ne costituisce il vertice, e dall'Ufficio. Il Collegio è costituito da quattro componenti, eletti due dalla Camera dei deputati e due dal Senato della Repubblica con voto limitato. I componenti devono essere eletti tra coloro che presentano la propria candidatura nell'ambito di una procedura di selezione il cui avviso deve essere pubblicato nei siti internet della Camera, del Senato e del Garante almeno sessanta giorni prima della nomina. Le candidature devono pervenire almeno trenta giorni prima della nomina e i curricula devono essere pubblicati negli stessi siti internet. Le candidature possono essere avanzate da persone che assicurino indipendenza e che risultino di comprovata esperienza nel settore della protezione dei dati personali, con particolare riferimento alle discipline giuridiche o dell'informatica.

2. I componenti eleggono nel loro ambito un presidente, il cui voto prevale in caso di parità. Eleggono altresì un vice presidente, che assume le funzioni del presidente in caso di sua assenza o impedimento.

3. L'incarico di presidente e quello di componente hanno durata settennale e non sono rinnovabili. Per tutta la durata dell'incarico il presidente e i componenti non possono esercitare, a pena di decadenza, alcuna attività professionale o di consulenza, anche non remunerata, né essere amministratori o dipendenti di enti pubblici o privati, né ricoprire cariche elettive.

4. I membri del Collegio devono mantenere il segreto, sia durante sia successivamente alla cessazione dell'incarico, in merito alle informazioni riservate cui hanno avuto accesso nell'esecuzione dei propri compiti o nell'esercizio dei propri poteri.  

5. All'atto dell'accettazione della nomina il presidente e i componenti sono collocati fuori ruolo se dipendenti di pubbliche amministrazioni o magistrati in attività di servizio; se professori universitari di ruolo, sono collocati in aspettativa senza assegni ai sensi dell'articolo 13 del decreto del Presidente della Repubblica 11 luglio 1980, n. 382. Il personale collocato fuori ruolo o in aspettativa non può essere sostituito.

6. Al presidente compete una indennità di funzione pari alla retribuzione in godimento al primo Presidente della Corte di cassazione, nei limiti previsti dalla legge per il trattamento economico annuo omnicomprensivo di chiunque riceva a carico delle finanze pubbliche emolumenti o retribuzioni nell'ambito di rapporti di lavoro dipendente o autonomo con pubbliche amministrazioni statali. Ai componenti compete una indennità pari ai due terzi di quella spettante al Presidente.

7. Alle dipendenze del Garante è posto l'Ufficio di cui all'articolo 155.

8. Il presidente, i componenti, il segretario generale e i dipendenti si astengono dal trattare, per i due anni successivi alla cessazione dell'incarico ovvero del servizio presso il Garante, procedimenti dinanzi al Garante, ivi compresa la presentazione per conto di terzi di reclami richieste di parere o interpelli.»;

c) l'articolo 154 è sostituito dal seguente:

«Art. 154 (Compiti). - 1. Oltre a quanto previsto da specifiche disposizioni e dalla Sezione II del Capo VI del regolamento, il Garante, ai sensi dell'articolo 57, paragrafo 1, lettera v), del Regolamento medesimo, anche di propria iniziativa e avvalendosi dell'Ufficio, in conformità alla disciplina vigente e nei confronti di uno o più titolari del trattamento, ha il compito di:

a) controllare se i trattamenti sono effettuati nel rispetto della disciplina applicabile, anche in caso di loro cessazione e con riferimento alla conservazione dei dati di traffico;

b) trattare i reclami presentati ai sensi del regolamento, e delle disposizioni del presente codice, anche individuando con proprio regolamento modalità specifiche per la trattazione, nonché fissando annualmente le priorità delle questioni emergenti dai reclami che potranno essere istruite nel corso dell'anno di riferimento;

c) promuovere l'adozione di regole deontologiche, nei casi di cui all'articolo 2-quater;

d) denunciare i fatti configurabili come reati perseguibili d'ufficio, dei qu

1. Alla parte III, titolo III, del decreto legislativo 30 giugno 2003, n. 196, sono apportate le seguenti modificazioni:  

a) l'articolo 166 è sostituito dal seguente:

«Art. 166 (Criteri di applicazione delle sanzioni amministrative pecuniarie e procedimento per l'adozione dei provvedimenti correttivi e sanzionatori). - 1. Sono soggette alla sanzione amministrativa di cui all'articolo 83, paragrafo 4, del Regolamento le violazioni delle disposizioni di cui agli articoli 2-quinquies, comma 2, 2-quinquiesdecies, 92, comma 1, 93, comma 1, 123, comma 4, 128, 129, comma 2, e 132-ter. Alla medesima sanzione amministrativa è soggetto colui che non effettua la valutazione di impatto di cui all'articolo 110, comma 1, primo periodo, ovvero non sottopone il programma di ricerca a consultazione preventiva del Garante a norma del terzo periodo del predetto comma.

2. Sono soggette alla sanzione amministrativa di cui all'articolo 83, paragrafo 5, del Regolamento le violazioni delle disposizioni di cui agli articoli 2-ter, 2-quinquies, comma 1, 2-sexies, 2-septies, comma "8"^N2, 2-octies, 2-terdecies, commi 1, 2, 3 e 4, 52, commi 4 e 5, 75, 78, 79, 80, 82, 92, comma 2, 93, commi 2 e 3, 96, 99, 100, commi 1, 2 e 4, 101, 105 commi 1, 2 e 4, 110-bis, commi 2 e 3, 111, 111-bis, 116, comma 1, 120, comma 2, 122, 123, commi 1, 2, 3 e 5, 124, 125, 126, 130, commi da 1 a 5, 131, 132, 132-bis, comma 2, 132-quater, 157, nonché delle misure di garanzia, delle regole deontologiche di cui rispettivamente agli articoli 2-septies e 2-quater.

3. Il Garante è l'organo competente ad adottare i provvedimenti correttivi di cui all'articolo 58, paragrafo 2, del Regolamento, nonché ad irrogare le sanzioni di cui all'articolo 83 del medesimo Regolamento e di cui ai commi 1 e 2.

4. Il procedimento per l'adozione dei provvedimenti e delle sanzioni indicati al comma "3"^N1 può essere avviato, nei confronti sia di soggetti privati, sia di autorità pubbliche ed organismi pubblici, a seguito di reclamo ai sensi dell'articolo 77 del Regolamento o di attività istruttoria d'iniziativa del Garante, nell'ambito dell'esercizio dei poteri d'indagine di cui

1. L'allegato A è ridenominato: «Regole deontologiche».

1. L'articolo 10 del decreto legislativo 1° settembre 2011, n. 150, è sostituito dal seguente:

«Art. 10 (Delle controversie in materia di applicazione delle disposizioni in materia di protezione dei dati personali). - 1. Le controversie previste dall'articolo 152 del decreto legislativo 30 giugno 2003, n. 196, sono regolate dal rito del lavoro, ove non diversamente disposto dal presente articolo.  

2. Sono competenti, in via alternativa, il tribunale del luogo in cui il titolare del trattamento risiede o h

1. In deroga all'articolo 16 della legge 24 novembre 1981, n. 689, per i procedimenti sanzionatori riguardanti le violazioni di cui agli articoli 161, 162, 162-bis, 162-ter, 163, 164, 164-bis, comma 2, del Codice in materia di protezione dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, e le violazioni delle misure di cui all'articolo

^N3

1. Entro il termine di sessanta giorni dalla data di pubblicazione nella Gazzetta Ufficiale della Repubblica italiana dell'avviso di cui al comma 3, i soggetti che dichiarano il loro attuale interesse possono presentare al Garante pe

1. Le disposizioni del codice di deontologia e di buona condotta di cui agli allegati A.5 e A.7 del codice in materia di protezione dei dati personali, di cui al decreto legislativo n. 196 del 2003, continuano a produrre effetti, sino alla definizione della procedura di approvazione cui alla lettera b), a condizione che si verifichino congiuntamente le seguenti condizioni:

a) entro sei mesi dalla data

1. Il Garante per la protezione dei dati personali, con provvedimento di carattere generale da porre in consultazione pubblica entro novanta giorni dalla data di entrata in vigore del presente decreto, individua le prescrizioni contenute nelle autorizzazioni generali già adottate, relative alle situazioni di trattamento di cui agli articoli 6, paragrafo 1, lettere c) ed e), 9, paragrafo 2, lettera b) e 4, nonché al Capo IX del regolamento (UE) 2016

1. Il presente decreto e le disposizioni dell'ordinamento nazionale si interpretano e si applicano alla luce della disciplina dell'Unione europea in materia di protezione dei dati personali e assicurano la libera circolazione dei dati personali tra Stati membri ai sensi dell'articolo 1, paragrafo 3, del Regolamento (UE) 2016/679.  

2. A decorrere dal 25 maggio 2018 le espressioni «dati sensibili» e «dati giudiziari» utilizzate ai sensi dell'articolo 4, comma 1, lettere d) ed e), del codice in materia di protezione dei dati personali, di cui al decreto legislativo n. 196 del 2003, ovunque ricorrano, si intendono riferite, rispettivamente, alle categorie particolari di dati di cui all'articolo 9 del Regolamento (UE) 2016/679 e ai dati di cui all'articolo 10 del medesimo regolamento.  

3. ^N4

4. A decorrere dal 25 maggio 2018, i provvedimenti del Garante per la protezione dei dati personali continuano ad applicarsi, in quanto compatibili con il suddetto regolamento e con le disposizioni del presente decreto.

5. A decorrere dal 25 maggio 2018, le disposizioni di cui ai commi 102

1. A decorrere dalla data di entrata in vigore del presente decreto:

a) all'articolo 37, comma 2, alinea, del decreto legislativo 18 maggio 2018, n. 51, il riferimento all'articolo 154 del codice in materia di protezione dei dati personali, di cui al

1. Le disposizioni del presente decreto che, mediante abrogazione, sostituiscono sanzioni penali con le sanzioni amministrative previste dal Regolamento (UE) 2016/679 si applicano anche alle violazioni commesse anteriormente alla data di entrata in vigore del decreto stesso, sempre che il procedimento penal

1. Nei casi previsti dall'articolo 24, comma 1, l'autorità giudiziaria, entro novanta giorni dalla data di entrata in vigore del presente decreto, dispone la trasmissione all'autorità amministrativa competente degli atti dei procedimenti penali relativi ai reati trasformati in illeciti amministrativi, salvo che il reato risulti prescritto o estinto per altra causa alla medesima data.

2. Se l'azione penale non è stata ancora esercitata, la t

1. Agli oneri derivanti dall'articolo 18 del presente decreto, pari ad € 600.000 per ciascuno degli anni dal 2019 al 2021, si provvede mediante corrispo

1. Sono abrogati i titoli, capi, sezioni, articoli e allegati del codice in materia di protezione dei dati personali, di cui al decreto legislativo n. 196 del 2003, di seguito elencati:

a) alla parte I:

1) gli articoli 3, 4, 5 e 6;

2) il titolo II, il titolo III, il titolo IV, il titolo V, il titolo VI e il titolo VII;