1. In mancanza di una decisione di adeguatezza ai sensi dell’articolo 41 o di garanzie adeguate ai sensi dell’articolo 42, è ammesso il trasferimento o un complesso di trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale soltanto a condizione che:
a) l’interessato abbia acconsentito al trasferimento proposto, dopo essere stato informato dei rischi connessi a siffatti trasferimenti dovuti alla mancanza di una decisione di adeguatezza e di garanzie adeguate, oppure
b) il trasferimento sia necessario all’esecuzione di un contratto concluso tra l’interessato e il responsabile del trattamento ovvero all’esecuzione di misure precontrattuali prese su istanza dell’interessato, oppure
c) il trasferimento sia necessario per la conclusione o l’esecuzione di un contratto stipulato tra il responsabile del trattamento e un terzo a favore dell’interessato, oppure
d) il trasferimento sia necessario per motivi di interesse pubblico rilevante, oppure
e) il trasferimento sia necessario per accertare, esercitare o difendere un diritto in sede giudiziaria, oppure
f) il trasferimento sia necessario per salvaguardare un interesse vitale dell’interessato o di un terzo, qualora l’interessato si trovi nell’incapacità fisica o giuridica di dare il proprio consenso, oppure
g) il trasferimento sia effettuato a partire da un registro che, a norma del diritto dell’Unione o di uno Stato membro, mira a fornire informazioni al pubblico e può esser consultato tanto dal pubblico in generale quanto da chiunque sia in grado di dimostrare un legittimo interesse, purché sussistano i requisiti per la consultazione previsti dal diritto dell’Unione o dello Stato membro, oppure
h) il trasferimento sia necessario per il perseguimento dei legittimi interessi del responsabile del trattamento o dell’incaricato del trattamento, che non possano definirsi frequenti o ingenti, e qualora il responsabile del trattamento o l’incaricato del trattamento abbia valutato tutte le circostanze relative ad un trasferimento o ad un complesso di trasferimenti e sulla base di tale valutazione abbia offerto garanzie adeguate per la protezione dei dati personali, ove necessario.
2. Il trasferimento di cui al paragrafo 1, lettera g), non può riguardare la totalità dei dati personali o intere categorie di dati personali contenute nel registro. Se il registro è destinato ad essere consultato da persone aventi un legittimo interesse, il trasferimento è ammesso soltanto su richiesta di tali persone o qualora ne siano i destinatari.
3. Qualora il trasferimento si basi sul paragrafo 1, lettera h), il responsabile del trattamento o l’incaricato del trattamento prende in considerazione la natura dei dati, la finalità e la durata del trattamento previsto, nonché la situazione nel paese d’origine, nel paese terzo e nel paese di destinazione finale, e offre garanzie adeguate per la protezione dei dati personali, ove necessario.
4. Il paragrafo 1, lettere b), c) e h), non si applicano alle attività svolte dalle autorità pubbliche nell’esercizio dei pubblici poteri.
5. L’interesse pubblico di cui al paragrafo 1, lettera d), deve essere riconosciuto dal diritto dell’Unione o dello Stato membro cui è soggetto il responsabile del trattamento.
6. Il responsabile del trattamento o l’incaricato del trattamento attesta nella documentazione di cui all’articolo 28 la valutazione e le garanzie adeguate offerte di cui al paragrafo 1, lettera d), e informa l’autorità di controllo del trasferimento.
7. Alla Commissione è conferito il potere di adottare atti delegati conformemente all’articolo 86 al fine di precisare i “motivi di interesse pubblico rilevante” ai sensi del paragrafo 1, lettera d), e i criteri e i requisiti concernenti le garanzie adeguate di cui al paragrafo 1, lettera h)
