Art. 28 — Trasferimento di dati personali all'estero

Il trasferimento anche temporaneo fuori del territorio nazionale, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento deve essere previamente notificato al Garante, qualora sia diretto verso un Paese non appartenente all'Unione europea ((e ricorra uno dei casi individuati ai sensi dell'articolo 7, comma 1)). Il trasferimento puo' avvenire soltanto dopo quindici giorni dalla data della notificazione; il termine e' di venti giorni qualora il trasferimento riguardi taluno dei dati di cui agli articoli 22 e 24. Il trasferimento e' vietato qualora l'ordinamento dello Stato di destinazione o di transito dei dati non assicuri un livello di tutela delle persone adeguato ((...)) Sono valutate anche le modalita' del trasferimento e dei trattamenti previsti, le relative finalita', la natura dei dati e le misure di sicurezza. Il trasferimento e' comunque consentito qualora:

• a)l'interessato abbia manifestato il proprio consenso espresso ovvero, se il trasferimento riguarda taluno dei dati di cui agli articoli 22 e 24, in forma scritta;
• b)sia necessario per l'esecuzione di obblighi derivanti da un contratto del quale e' parte l'interessato o ((per l'esecuzione d misure precontrattuali adottate)) su richiesta di quest'ultimo, ovvero per la conclusione o per l'esecuzione di un contratto stipulato a favore dell'interessato;
• c)sia necessario per la salvaguardia di un interesse pubblico rilevante individuato con legge o con regolamento, ovvero specificato ai sensi degli articoli 22, comma 3, e 24, se il trasferimento riguarda taluno dei dati ivi previsti;
• d)sia necessario ai fini dello svolgimento delle ((investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397,)) o, comunque, per far valere o difendere un diritto in sede giudiziaria, sempre che i dati siano trasferiti esclusivamente per tali finalita' e per il periodo strettamente necessario al loro perseguimento;
• e)sia necessario per la salvaguardia della vita o dell'incolumita' fisica dell'interessato o di un terzo, nel caso in cui l'interessato non puo' prestare il proprio consenso per impossibilita' fisica, per incapacita' di agire o per incapacita' di intendere o di volere;
• f)sia effettuato in accoglimento di una richiesta di accesso ai documenti amministrativi, ovvero di una richiesta di informazioni estraibili da un pubblico registro, elenco, atto o documento conoscibile da chiunque, con l'osservanza delle norme che regolano la materia;
• g)sia autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell'interessato, prestate anche con un contratto ((, ovvero individuate dalla Commissione europea con le decisioni previste dagli articoli 25, paragrafo 6, e 26, paragrafo 4, della direttiva n. 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995));
• g-bis)il trattamento sia finalizzato unicamente a scopi di ricerca scientifica o di statistica e sia effettuato nel rispetto dei codici di deontologia e di buona condotta sottoscritti ai sensi dell'articolo 31. Contro il divieto di cui al comma 3 del presente articolo puo' essere proposta opposizione ai sensi dell'articolo 29, commi 6 e 7. Le disposizioni del presente articolo non si applicano al trasferimento di dati personali effettuato nell'esercizio della professione di giornalista e per l'esclusivo perseguimento delle relative finalita'. La notificazione di cui al comma 1 del presente articolo e' effettuata ai sensi dell'articolo 7 ed e' annotata in apposita sezione del registro previsto dall'articolo 31, comma 1, lettera a). La notificazione puo' essere effettuata con un unico atto unitamente a quella prevista dall'articolo 7. 9