{"id":8424,"date":"2017-05-24T17:31:46","date_gmt":"2017-05-24T15:31:46","guid":{"rendered":"https:\/\/www.albeeassociati.it\/?p=8424"},"modified":"2024-11-12T09:45:03","modified_gmt":"2024-11-12T08:45:03","slug":"privacy-un-anno-adeguarsi-al-gdpr","status":"publish","type":"post","link":"https:\/\/www.albeeassociati.it\/en\/privacy-un-anno-adeguarsi-al-gdpr\/","title":{"rendered":"Privacy: un anno per adeguarsi al GDPR"},"content":{"rendered":"

Esattamente un anno fa \u00e8 entrato in vigore il GDPR<\/strong> (Regolamento europeo n. 679 del 27 aprile 2016, concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione degli stessi), che diventer\u00e0 direttamente applicabile in tutti gli Stati membri decorsi due anni dall\u2019entrata in vigore, ovvero a decorrere dal 25 maggio 2018.<\/strong><\/p>\n

Il Regolamento \u00e8 destinato ad abrogare la Direttiva 95\/46\/CE, che ha portato in Italia all\u2019adozione del D.Lgs. n. 196 del 30.06.2003 (c.d. Codice Privacy<\/strong>).<\/p>\n

Entro il 25 maggio 2018 sar\u00e0<\/u>, quindi, necessario adeguarsi<\/u>, allineandosi alla nuova disciplina.<\/strong><\/p>\n

Di seguito gli aspetti di maggiore interesse.<\/p>\n

AMBITO DI APPLICAZIONE MATERIALE<\/strong><\/p>\n

Il Regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi<\/u>.<\/p>\n

Occorre, quindi, che vi sia un\u00a0trattamento di dati personali.<\/p>\n

L\u2019art. 4 del Regolamento definisce \u201cdato personale<\/u><\/em>\u201d<\/strong>, conformemente a quanto previsto nel nostro Codice privacy, \u201cqualsiasi informazione riguardante una persona fisica<\/u><\/em> identificata o identificabile<\/em>\u201d.<\/strong> Sono dati personali, ad esempio, i dati anagrafici di una persona fisica, l\u2019indirizzo di posta elettronica e i suoi recapiti.<\/p>\n

Per \u201cTrattamento<\/u><\/em>\u201d<\/u> <\/strong>si intende, invece, \u201cqualsiasi operazione o insieme di operazioni, compiute con o senza l\u2019ausilio di processi automatizzati<\/u><\/em><\/strong> e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l\u2019organizzazione, la strutturazione, la conservazione, l\u2019adattamento o la modifica, l\u2019estrazione, la consultazione, l\u2019uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l\u2019interconnessione, la limitazione, la cancellazione o la distruzione<\/em>\u201d.<\/p>\n

La novit\u00e0 rispetto alla vigente normativa \u00e8 che essa trova applicazione anche nel caso di trattamento non automatizzato che riguardi \u201cdati personali contenuti in un archivio o destinati a figurarvi<\/em>\u201d (intendendosi per \u201carchivio<\/u><\/em>\u201d: \u201cqualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico<\/em>\u201d).<\/p>\n

\"\"<\/p>\n

AMBITO DI APPLICAZIONE TERRITORIALE<\/strong><\/p>\n

Il Regolamento trova applicazione – oltre che al trattamento dei dati personali effettuato da chi \u00e8 stabilito nell\u2019Unione europea<\/u> – anche nel caso di\u00a0trattamento di dati di interessati che si trovano nell\u2019Unione<\/u><\/strong>, effettuato da un titolare o da un responsabile che non \u00e8 stabilito nell\u2019Unione, quando le attivit\u00e0 di trattamento riguardano: a) l\u2019offerta di beni o la prestazione di servizi ai suddetti interessati, indipendentemente dall\u2019obbligatoriet\u00e0 di un pagamento dell\u2019interessato<\/u><\/strong>, oppure b) il monitoraggio del loro comportamento<\/u><\/strong> nella misura in cui tale comportamento ha luogo all\u2019interno dell\u2019Unione (cfr. art. 3 Regolamento).<\/p>\n

\u00c8 stato dunque mantenuto il criterio dello stabilimento (per cui la normativa europea dovr\u00e0 essere osservata dall\u2019impresa con sede in Italia o in altro paese UE), ma al contempo viene dato rilievo anche al luogo in cui si trovano gli interessati<\/u>,<\/strong> con la conseguenza che anche una societ\u00e0 con stabilimento extra UE sar\u00e0 tenuta a rispettare il Regolamento quando il trattamento riguardi l\u2019offerta di beni o servizi a soggetti che siano nell\u2019Unione oppure il monitoraggio del loro comportamento.<\/p>\n

Per comprendere quando un\u2019impresa offra\u00a0beni o servizi ad interessati che si trovano nell\u2019Unione, baster\u00e0 leggere il considerando 23): \u201cmentre la semplice accessibilit\u00e0 del sito web del titolare del trattamento, del responsabile del trattamento o di un intermediario nell\u2019Unione, di un indirizzo di posta elettronica o di altre coordinate di contatto o l\u2019impiego di una lingua abitualmente utilizzata nel paese terzo in cui il titolare del trattamento \u00e8 stabilito sono insufficienti per accertare tale intenzione, fattori quali l\u2019utilizzo di una lingua o di una moneta abitualmente utilizzata in uno o pi\u00f9 Stati membri, con la possibilit\u00e0 di ordinare beni e servizi in tale altra lingua, o la menzione di clienti o utenti che si trovano nell\u2019Unione possono evidenziare l\u2019intenzione del titolare o del responsabile del trattamento di offrire beni o servizi agli interessati nell\u2019Unione<\/u><\/strong><\/em>\u201d.<\/strong><\/p>\n

\u00c8 stato quindi ampliato l\u2019ambito di applicazione della normativa in materia di privacy, venendo estese le garanzie ivi previste in capo agli interessati\/cittadini europei anche nel caso di trattamento effettuato al di fuori dell\u2019Unione.<\/p>\n

CASI DI ESCLUSIONE<\/strong><\/p>\n

La nuova disciplina non trova applicazione nelle ipotesi elencate all\u2019art. 2 comma 2 del Regolamento, ovvero nel caso di trattamenti effettuati:<\/p>\n

    \n
  1. per attivit\u00e0 che non rientrano nell\u2019ambito di applicazione del diritto dell\u2019Unione;<\/li>\n
  2. dagli Stati membri nell\u2019esercizio di attivit\u00e0 che rientrano nell\u2019ambito di applicazione del titolo V, capo 2, Trattato UE (politica estera e sicurezza);<\/li>\n
  3. da una persona fisica per l\u2019esercizio di attivit\u00e0 a carattere esclusivamente personale o domestico;<\/li>\n
  4. dalle autorit\u00e0 competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse.<\/li>\n<\/ol>\n

    LE FIGURE PREVISTE DAL REGOLAMENTO<\/strong><\/p>\n

    Accanto alle tradizionali figure del Titolare (coincidente con il soggetto cui competono le decisioni in ordine ad un determinato trattamento), del Responsabile (ovvero il soggetto preposto dal Titolare ad un trattamento di dati) e dell\u2019Incaricato (seppur non specificatamente menzionato dalla nuova normativa, comunque ricavabile dalla definizione di \u201cterzo\u201d all\u2019art. 4 n. 10, ove \u00e8 fatto riferimento a qualsiasi persona fisica autorizzata a compiere operazioni di trattamento dal Titolare o dal Responsabile), il Regolamento ha introdotto all\u2019art. 37 la figura del Responsabile della protezione dei dati personali (Data Protection Officer – DPO)<\/u>.<\/strong><\/p>\n

    Il titolare del trattamento e il responsabile sono tenuti a designare un DPO dei dati personali quando:<\/strong><\/p>\n

      \n
    • il trattamento \u00e8 effettuato da un’autorit\u00e0 pubblica o da un organismo pubblico<\/u><\/strong>, eccettuate le autorit\u00e0 giurisdizionali quando esercitano le loro funzioni giurisdizionali;<\/li>\n
    • le attivit\u00e0 principali del titolare del trattamento o del responsabile del trattamento consistono in trattamenti che, per loro natura, ambito di applicazione e\/o finalit\u00e0, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala<\/u>;<\/strong><\/li>\n
    • le attivit\u00e0 principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di dati sensibili e giudiziari<\/u>.<\/strong><\/li>\n<\/ul>\n

      Il DPO dovr\u00e0 possedere un’adeguata conoscenza della normativa e delle prassi di gestione dei dati personali<\/strong>; adempiere alle sue funzioni in piena autonomia e senza ricevere istruzioni.<\/p>\n

      Nello svolgimento dei suoi compiti, dovr\u00e0 principalmente: \u00a0<\/strong><\/p>\n

        \n
      • informare e consigliare il titolare o il responsabile del trattamento,<\/strong> nonch\u00e9 i dipendenti, in merito agli obblighi derivanti dal Regolamento europeo;<\/li>\n
      • verificare l\u2019attuazione e l\u2019applicazione della normativa,<\/strong> compresi la sensibilizzazione e la formazione del personale e gli audit relativi;<\/li>\n
      • fornire, se richiesto, pareri in merito alla valutazione d’impatto sulla protezione dei dati<\/strong> e sorvegliare i relativi adempimenti;<\/li>\n
      • fungere da punto di contatto per gli interessati in merito a qualunque problematica connessa al trattamento dei loro dati<\/strong> o all\u2019esercizio dei loro diritti;<\/li>\n
      • fungere da punto di contatto per il Garante<\/strong> per la protezione dei dati personali oppure, eventualmente, consultare il Garante di propria iniziativa.<\/li>\n<\/ul>\n

        Quanto alle figure tradizionali, il nuovo impianto normativo e l\u2019introduzione di nuovi principi (quali quello di accountability, di privacy by design e by default, di cui si dir\u00e0 nel prosieguo) richieder\u00e0 un maggior grado di preparazione e competenze specifiche (si pensi, a titolo meramente esemplificativo, in ambito di conservazione digitale dei documenti) a tutti i soggetti coinvolti, con la conseguenza che dovr\u00e0 essere attuata un\u2019adeguata e specifica formazione del personale.<\/p>\n

        Principali novit\u00e0:<\/strong><\/p>\n

          \n
        • l\u2019art. 28 del Regolamento specifica pi\u00f9 dettagliatamente, rispetto all\u2019art. 29 del Codice Privacy, le caratteristiche dell\u2019atto con cui il titolare designa il responsabile del trattamento (\u201ccontratto o altro atto giuridico a norma del diritto dell\u2019Unione o degli Stati membri\u201d) ed il suo contenuto;<\/li>\n<\/ul>\n
            \n
          • \u00e8 prevista la nomina di sub-responsabili del trattamento, previa autorizzazione scritta del titolare, nel rispetto degli stessi obblighi contrattuali che vincolano titolare e responsabile.<\/li>\n<\/ul>\n

            Adempimenti:<\/strong><\/p>\n

              \n
            • verificare che i contratti che attualmente disciplinano i rapporti con i responsabili del trattamento siano conformi alle previsioni di cui all\u2019art. 28;<\/li>\n
            • designare un DPO, oltre che nei casi in cui vi \u00e8 l\u2019obbligo, anche per le aziende che non sono espressamente tenute, come suggerito anche dai Garanti europei (vedi Linee Guida sui responsabili della protezione dei dati del 13 dicembre 2016 https:\/\/www.garanteprivacy.it.<\/li>\n<\/ul>\n

              \"\"<\/p>\n

              CONSENSO<\/strong><\/p>\n

              L’art. 6 del Regolamento specifica i presupposti di liceit\u00e0 del trattamento, che coincidono sostanzialmente con quelli attualmente previsti dal Codice<\/strong> Privacy (consenso, esecuzione di un contratto, adempimento di un obbligo di legge, salvaguardia degli interessi vitali dell\u2019interessato o di terzi, interesse pubblico o esercizio di pubblici poteri, interesse legittimo prevalente del titolare o di terzi).<\/p>\n

              In particolare, il Regolamento esplicita la definizione di consenso come \u201cqualsiasi manifestazione di volont\u00e0 libera, specifica, informata e inequivocabile dell\u2019interessato<\/u>,<\/strong> con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva\u00a0inequivocabile<\/u><\/strong><\/em>,<\/strong> che i dati personali che lo riguardano siano oggetto di trattamento<\/em>\u201d.<\/p>\n

              La richiesta di una manifestazione di volont\u00e0 inequivocabile potrebbe avere un grosso impatto nella prassi, posto che, ad esempio, un semplice flag potrebbe non essere ritenuto pi\u00f9 sufficiente per la manifestazione di consenso.<\/p>\n

              Principali novit\u00e0:<\/strong><\/p>\n

                \n
              • l\u2019art. 7 del Regolamento prevede, qualora il trattamento sia basato sul consenso, che il responsabile del trattamento debba essere in grado di dimostrare<\/u> la volont\u00e0 espressa dall’interessato;<\/li>\n
              • se il consenso dell’interessato \u00e8 manifestato nel contesto di una dichiarazione scritta che riguarda anche altre questioni, la richiesta deve essere presentata in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro<\/u><\/strong>. Il consenso reso in violazione al Regolamento non \u00e8 vincolante, nemmeno in parte;<\/li>\n
              • quando il trattamento riguarda dati sensibili, il Regolamento stabilisce che il consenso venga prestato dall\u2019interessato, oltre che in maniera preventiva e inequivocabile, anche in modo esplicito<\/u>. Lo stesso vale per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione, art. 22);<\/li>\n
              • il consenso non deve essere necessariamente documentato per iscritto, n\u00e9 \u00e8 richiesta la forma scritta (anche se questa modalit\u00e0 \u00e8 idonea a configurare il consenso esplicito e la sua inequivocabilit\u00e0).<\/li>\n<\/ul>\n

                Adempimenti:<\/strong><\/p>\n

                  \n
                • entro il 25 maggio 2018 raccogliere il consenso degli interessati in conformit\u00e0 a quanto prescritto dal Regolamento;<\/li>\n
                • esaminare la modulistica e verificare che la richiesta di consenso sia chiaramente distinguibile<\/strong> da altre richieste rivolte all’interessato, sia comprensibile ed utilizzi un linguaggio semplice e chiaro.<\/li>\n<\/ul>\n

                  \u00a0INFORMATIVA<\/strong><\/p>\n

                  Il Regolamento stabilisce all’art. 12 l’adozione di misure appropriate a fornire all’interessato tutte le informazioni necessarie e le comunicazioni relative al trattamento \u201cin forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro<\/u>, in particolare nel caso di informazioni destinate specificamente ai minori<\/em>\u201d.<\/strong><\/p>\n

                  Le informazioni dovranno essere fornite per iscritto o con altri mezzi, se del caso anche mediante strumenti elettronici. Se richiesto dall’interessato, le informazioni potranno essere fornite oralmente, purch\u00e9 l’identit\u00e0 dell’interessato sia provata con altri mezzi.<\/p>\n

                  L\u2019informativa, quindi, continuer\u00e0 a rivestire rilevanza fondamentale, prevedendo un contenuto molto pi\u00f9 dettagliato, come specificato agli artt. 13 e 14 del Regolamento.<\/p>\n

                  Principali novit\u00e0:<\/strong><\/p>\n

                    \n
                  • nel caso di dati personali non raccolti direttamente presso l’interessato<\/u> (art. 14)<\/em>,<\/em> l’informativa deve essere fornita entro un termine ragionevole e, comunque, non oltre 1 mese<\/u><\/strong> dalla raccolta, oppure al momento della comunicazione<\/strong><\/u> (non <\/strong>della registrazione) dei dati (a terzi o all’interessato).<\/li>\n<\/ul>\n

                    Adempimenti:<\/strong><\/p>\n

                      \n
                    • verificare la rispondenza delle informative<\/strong> al contenuto delineato dagli artt. 13 e 14, apportando modifiche ed integrazioni entro il 25 maggio 2018;<\/li>\n
                    • adottare le misure organizzative interne<\/u><\/strong> idonee a garantire il rispetto della tempistica prevista per l\u2019informativa nel caso di dati personali non raccolti direttamente presso l\u2019interessato.<\/li>\n<\/ul>\n

                      \u00a0NUOVI DIRITTI DELL\u2019INTERESSATO<\/strong><\/p>\n

                        \n
                      1. DIRITTO ALL\u2019OBLIO<\/strong><\/li>\n<\/ol>\n

                        L\u2019art. 17 del Regolamento riconosce espressamente il diritto all\u2019oblio, definito dalla giurisprudenza come il diritto di un individuo ad essere dimenticato. La norma prevede che l\u2019interessato abbia il diritto di ottenere la cancellazione (anche on-line) dei propri dati personali, ove ricorrano i seguenti motivi:<\/p>\n

                          \n
                        • i dati personali non sono pi\u00f9 necessari<\/strong> rispetto alle finalit\u00e0 per le quali sono stati raccolti o altrimenti trattati;<\/li>\n
                        • l\u2019interessato revoca il consenso su cui si basa il trattamento<\/strong> e se non sussiste altro fondamento giuridico per il trattamento;<\/li>\n
                        • l\u2019interessato si oppone al trattamento<\/strong> e non sussiste alcun motivo legittimo prevalente per procedere al trattamento;<\/li>\n
                        • i dati personali sono trattati illecitamente;<\/strong><\/li>\n
                        • i dati personali devono essere cancellati per adempiere un obbligo legale<\/strong> previsto dal diritto dell\u2019Unione o dello Stato membro cui \u00e8 soggetto il titolare del trattamento;<\/li>\n
                        • i dati personali sono stati raccolti relativamente all\u2019offerta di servizi della societ\u00e0 di informazione ai minori.<\/strong><\/li>\n<\/ul>\n

                          Accanto al predetto diritto, sorge in capo al titolare<\/u> del trattamento l\u2019obbligo di informare della richiesta di cancellazione gli altri titolari<\/u> che trattano i dati personali.<\/p>\n

                          La norma prevede alcuni casi in cui l\u2019interessato non pu\u00f2 esercitare tale diritto; ad esempio, quando il trattamento \u00e8 necessario a garantire l\u2019esercizio della libert\u00e0 di espressione e di informazione o il diritto di difesa in sede giudiziaria, ovvero per tutelare un interesse generale, quale la salute pubblica, oppure quando i dati, resi anonimi, sono necessari per la ricerca storica o per finalit\u00e0 statistiche o scientifiche.<\/p>\n

                          \"\"<\/p>\n

                            \n
                          1. ii) DIRITTO ALLA PORTABILITA\u2019 DEI DATI<\/strong><\/li>\n<\/ol>\n

                            Introdotto all\u2019art. 20 del Regolamento, consiste nel diritto dell\u2019interessato a ricevere – in formato strutturato, di uso comune e leggibile da dispositivo automatico – i dati personali che lo riguardano forniti a un titolare del trattamento, con il fine di trasmetterli ad un altro titolare.<\/p>\n

                            Non si applica ai trattamenti non automatizzati<\/strong> (archivi o registri cartacei).<\/p>\n

                            Sono portabili solo i dati trattati in forza del consenso dell\u2019interessato o di un contratto stipulato con lo stesso (non si applica, quindi, al trattamento effettuato per adempiere ad un obbligo di legge, basato sull\u2019interesse pubblico oppure sull\u2019interesse legittimo del titolare).<\/p>\n

                            Quando tecnicamente possibile, l\u2019interessato ha diritto ad ottenere che i dati siano trasferiti direttamente da un titolare ad un altro.<\/p>\n

                            Adempimenti:<\/strong><\/p>\n

                              \n
                            • predisporre le misure tecniche e organizzative necessarie a favorire l’esercizio dei diritti e il riscontro alle richieste presentate dagli interessati<\/u><\/strong> in conformit\u00e0 alle previsioni introdotte dal Regolamento.<\/li>\n<\/ul>\n

                              NUOVI OBBLIGHI<\/strong><\/p>\n

                              i) PRINCIPIO DI ACCOUNTABILITY<\/strong><\/p>\n

                              Il principio di accountability (rendicontazione\/responsabilizzazione), contemplato dalla nuova normativa europea, si traduce in un approccio proattivo ed obblighi pi\u00f9 pregnanti<\/u>,<\/strong> i quali si concretizzano nel dimostrare l\u2019adozione delle misure tecniche ed organizzative atte a garantire l\u2019applicazione del Regolamento.<\/p>\n

                              ii) PRIVACY BY DESIGN e BY DEFAULT<\/strong><\/p>\n

                              Sono i due principi chiave, previsti all\u2019art. 25 del Regolamento, di cui il titolare deve tenere conto nell\u2019adozione di misure tecniche ed organizzative.<\/p>\n

                              Il primo significa protezione dei dati sin dal momento della progettazione<\/u>.<\/strong> Il secondo richiede, invece, l\u2019adozione di misure tecniche ed organizzative adeguate a garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari<\/u> per ogni specifica finalit\u00e0 del trattamento.<\/strong><\/p>\n

                              iii) REGISTRI DELLE ATTIVITA\u2019 DI TRATTAMENTO<\/strong><\/p>\n

                              Il titolare e il responsabile hanno l\u2019obbligo di tenere un registro delle rispettive attivit\u00e0 di trattamento svolte<\/u> sotto la loro responsabilit\u00e0,<\/strong> contenente le informazioni indicate all\u2019art. 30 del Regolamento (tra cui vi sono, ad esempio, le finalit\u00e0 del trattamento, una descrizione delle categorie di interessati e di dati personali, i destinatari a cui i dati sono stati comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali e, ove possibile, i termini previsti per la cancellazione delle diverse categorie di dati etc\u2026).<\/p>\n

                              I registri devono essere tenuti in forma scritta (anche in formato elettronico) ed essere esibiti su richiesta al Garante.<\/p>\n

                              L\u2019obbligo non si applica alle imprese od organizzazioni con meno di 250 dipendenti, salvo che il trattamento effettuato dalle stesse presenti un rischio per i diritti e le libert\u00e0 dell\u2019interessato, il trattamento non sia occasionale o comprenda il trattamento di categorie particolari di dati indicati all\u2019art. 9 paragrafo 1, pressoch\u00e9 coincidenti con l\u2019attuale definizione di dati sensibili, o i dati personali relativi a condanne penali e a reati di cui all\u2019art. 10 del Regolamento.<\/p>\n

                              Adempimenti:<\/strong><\/p>\n