Dal sito del Garante della Privacy si riporta una scheda esemplificativa sui doveri e responsabilità nel trattamento dei dati personali (Seconda Parte):" TRATTAMENTO DI DATI SENSIBILI E GIUDIZIARI
Soggetti privati e enti pubblici economici
I soggeti privati e gli enti pubblici economici possono effettuare un trattamento di:
- dati sensibili con il consenso scritto dell'interessato e previa autorizzazione del Garante per la protezione dei dati personali (articolo 26 del Codice), salvo alcune eccezioni specificamente previste;
- dati giudiziari se autorizzati da una espressa disposizione di legge o da un  provvedimento del Garante per la protezione dei dati personali (articolo 27 del Codice).
Soggetti pubblici
Le pubbliche amministrazioni possono effettuare un trattamento di dati sensibili e dati giudiziari sulla base delle disposizioni specifiche previste dagli articoli 20, 21 e 22 del Codice in materia di protezione dei dati personali.
 
TRASFERIMENTO DEI DATI ALL'ESTERO
Verso Paesi appartenenti all'Unione europea
Le legislazioni dei Paesi aderenti all'Unione europea (adottate in attuazione della direttiva comunitaria 95/46/CE) sono considerate equivalenti in relazione all'adeguata tutela in materia di protezione dei dati personali. Il trasferimento attraverso o verso questi Paesi non è  quindi soggetto a particolari restrizioni (articolo 42 del Codice).
Verso Paesi non appartenenti all'Unione europea
Il  trasferimento di dati personali verso Paesi non appartenenti all'Unione europea è possibile quando:
- ricorre una delle condizioni  previste dall'articolo 43 del Codice in materia di protezione dei dati personali
- oppure, è autorizzato dal Garante per la protezione dei dati personali sulla base di adeguate garanzie per i diritti dell'interessato (articolo 44 del Codice)
Fuori da questi casi, il trasferimento è vietato quando l'ordinamento del Paese di destinazione o di transito dei dati personali non assicura un livello adeguato di tutela delle persone (articolo 45 del Codice).
Il trasferimento di dati personali effettuato in violazione dell'articolo 45 del Codice è punito con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro (articolo 162, comma 2 bis del Codice).
 
CESSAZIONE DEL TRATTAMENTO
In caso di cessazione del trattamento, i dati personali devono essere (articolo 16 del Codice):
a) distrutti;
b) ceduti ad altro titolare, purchè destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti;
c) conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione;
d) conservati o ceduti ad altro titolare per scopi storici, statistici o scientifici.
  
 Per ulteriori informazioni è anche possibile contattare l'Ufficio relazioni con il pubblico (URP) del Garante
  * (Scheda di sintesi redatta dall'Ufficio del Garante a mero scopo divulgativo. Per un quadro completo della materia, si rimanda alla legislazione in tema di protezione dei dati personali e ai provvedimenti dell'Autorità. Per dubbi e domande si suggerisce di contattare l'Urp del Garante)."