26 Framework Nazionale per la Cybersecurity e la Data Protection base delle competenze (tecniche, informatiche, giuridiche, ecc.) in tema di protezione di dati personali e i suoi compiti sono riassumibili nelle seguenti mansioni: assistenza/consulenza a chi effettua il trattamento; sorveglianza sull’osservanza della normativa in materia di data protection; contatto/collaborazione per le Autorità garanti e per gli interessati. Diritti degli interessati, informativa, base giuridica del trattamento Il Regolamento prevede una partecipazione attiva dell'interessato (persona fisica identificata o identificabile a cui il dato si riferisce) nel processo di trattamento dei propri dati personali. Infatti, i diritti che gli vengono riconosciuti possono essere considerati come articolazioni del più generale diritto di “autodeterminazione informativa”, intesa quale "potere di governare il flusso delle proprie informazioni". Tra i diritti previsti dal Regolamento, agli artt. 15-22, figurano i seguenti: Diritto di accesso, Diritto di rettifica, Diritto alla cancellazione (oblio), Diritto di limitazione, Diritto alla portabilità, Diritto di opposizione. In ossequio al principio di correttezza e trasparenza è necessario che l’interessato venga informato in maniera concisa, accessibile e comprensibile, con l’uso di un linguaggio semplice e chiaro (in particolare qualora il trattamento riguardi minori). L’interessato deve quindi essere informato circa l’identità e i dati di contatto del titolare del trattamento e del DPO, le finalità perseguite e tutte le altre informazioni che assicurino un trattamento corretto e trasparente, tra cui il periodo di conservazione, il diritto di presentare un reclamo all’Autorità di controllo e l’intenzione del titolare di trasferire i dati in Paesi terzi. Non sono prescritte formalità particolari per l’informativa, potendo la stessa essere fornita anche in formato elettronico o orale. Ogni trattamento di dati personali deve trovare fondamento in un’idonea base giuridica; i fondamenti di liceità del trattamento previsti dal Regolamento sono: il consenso, l’adempimento di obblighi contrattuali, gli interessi vitali della persona interessata o di terzi, gli obblighi di legge cui è soggetto il titolare, l’interesse pubblico o l’esercizio di pubblici poteri, l’interesse legittimo prevalente del titolare o di terzi cui i dati vengono comunicati. Trasferimento di dati personali verso Paesi terzi Il trasferimento di dati personali all’estero può essere effettuato soltanto nel caso in cui sia assicurata una protezione adeguata dei dati personali trasferiti nel Paese terzo. Esso è dunque consentito se sia posto in essere sulla base di una decisione di adeguatezza del Paese terzo riconosciuta dalla Commissione europea; ovvero sulla base di garanzie adeguate di natura contrattuale o pattizia che devono essere fornite dai titolari e responsabili coinvolti, quali le clausole contrattuali tipo, purché debitamente adottate, e, nel caso di un trasferimento dati extra UE all’interno di un gruppo imprenditoriale, le c.d. “binding corporate rules”, ossia le norme vincolanti d´impresa (ulteriori strumenti, ora contemplati, sono inoltre i codici di condotta e gli schemi di certificazione). Resta invece necessaria l’autorizzazione del Garante se un titolare desidera utilizzare clausole contrattuali ad-hoc (cioè non riconosciute come adeguate tramite decisione della Commissione) oppure accordi amministrativi stipulati tra autorità pubbliche. È infine previsto, in assenza di ogni altro presupposto, l’utilizzo di deroghe al divieto di trasferimento applicabili in specifiche situazioni. 3.2 Prototipo di contestualizzazione In questo paragrafo viene discusso in dettaglio il prototipo di contestualizzazione GDPR (nel seguito indicato semplicemente prototipo GDPR). Come già menzionato in §2.2.1 questo rappresenta una base di partenza per creare contestualizzazioni, calando il prototipo nello