[sommcomm]

Vigente il nuovo sistema sul principio della accountability (in virtù del quale è responsabile ogni singolo soggetto titolare del trattamento dei dati in relazione a misure appropriate ed efficaci per la protezione dei dati e le valutazioni in materia di protezione dei dati sono rimesse al titolare e non più soggette ad autorizzazione del Garante) e non più della previsione di obblighi formali, emerge la necessità di dare indicazioni coerenti anche agli organi di controllo. Evitare che questioni considerate buone prassi in un certo contesto diventino standard generali. Non è previsto un minimo edittale, quindi non è possibile applicare l'istituto del pagamento in misura ridotta, di cui all'articolo 16 della legge n. 689 del 1981, non richiamato infatti. Inoltre aumenta il potere discrezionale del Garante. L'apparato sanzionatorio deve essere progressivo e adeguato. Nel valutare la sanzione che può arrivare al 4 per cento del fatturato mondiale totale annuo, in base alla giurisprudenza della Corte europea dei diritti dell'uomo, si tenga conto che le sanzioni amministrative pecuniarie così elevate e incisive denotano una valenza afflittiva assimilabile, ai fini delle garanzie, a quella delle sanzioni penali. In linea con quanto già previsto in altri settori in cui Autorità amministrative indipendenti irrogano rilevanti sanzioni amministrative (es. Consob, Banca d'Italia, IVASS), sarebbe opportuno stabilire che i procedimenti di controllo a carattere contenzioso e sanzionatori per violazione della normativa privacy siano svolti nel rispetto dei principi della piena conoscenza degli atti istruttori, del contraddittorio, della verbalizzazione nonché della distinzione tra funzioni istruttorie e funzioni decisorie rispetto all'irrogazione della sanzione (sul punto, vedi articolo 24, legge n. 262 del 2005); - con riguardo all'articolo 2, comma 1, lettera e) , rispetto al testo del nuovo articolo 2- quaterdecies , il Garante nazionale sottolinea che la disposizione contiene la locuzione "rischio particolarmente elevato", che sembra introdurre una nuova categoria di trattamenti i quali richiederebbero un intervento interpretativo per individuare le fattispecie soggette all'autorizzazione preliminare, di difficile apprezzamento dei titolari e di dubbia compatibilità con il Regolamento. Il Regolamento agli articoli 35 e 36, dei quali la disposizione in questione costituisce diretta attuazione, fanno riferimento solo a "rischi elevati". Pertanto, si suggerisce di sopprimere l'avverbio "particolarmente" dal citato articolo 2- quaterdecies ; - si noti che, con riguardo all'articolo 2, comma 1, lettera e) , rispetto al testo del nuovo dell'articolo 2- decies , sarebbe opportuno valutare se, tra i casi a ricorrere dei quali l'esercizio dei diritti può essere limitato, inserire anche un riferimento alle disposizioni di contrasto al finanziamento del terrorismo e alla proliferazione delle armi di distruzione di massa all'elenco delle situazioni individuate dall'articolo 23 del Regolamento, al ricorrere delle quali l'esercizio dei diritti dell'interessato (di accesso, cancellazione, portabilità) possono essere limitati dallo Stato membro; - con riguardo all'articolo 2, comma 1, lettera e) , rispetto al testo del nuovo testo dell'articolo 2- septies , alla luce delle preoccupazioni e considerazioni manifestate da alcuni soggetti intervenuti nell'ambito delle audizioni, si è ritenuto di non poter chiarire che le misure di garanzia recate dal garante, da cui derivano misure di sicurezza (ad esempio cifratura, crittografia, minimizzazione) per le imprese, siano applicabili limitatamente ai trattamenti su larga scala per non determinare discriminazioni aprioristiche difficilmente coordinabili con gli spazi normativi lasciati liberi dal Regolamento; - con riguardo all'articolo 3, comma 2, lettera a) , che interviene sull'articolo 2- sexiesdecies , comma 1, lettera c) , n. 1, si ritiene utile mantenere l'attuale formulazione della disposizione dello schema, che garantisce una più ampia tutela del diritto alla riservatezza nell'ambito degli atti giudiziari. L'attività di cancellazione dei dati dei soggetti coinvolti da atti giudiziari e simili sarebbe in ogni caso rimessa all'iniziativa dell'interessato, il quale con specifica manifestazione di interesse può attivare o meno la procedura. Non sembrano determinarsi, pertanto, maggiori oneri in capo agli uffici giudiziari e alle altre autorità eventualmente competenti; - con riguardo all'articolo 7, comma 1, rispetto al testo del nuovo articolo 96, è emersa l'esigenza di consentire agli istituti scolastici l'uso di foto ed immagini degli studenti anche attraverso forme di pubblicazione sul sito istituzionale, previa adeguata informativa agli interessati e nel rispetto del principio di minimizzazione dei trattamenti. Invece, in questa sede, alla luce dei principi e criteri direttivi della legge di delega n. 163 del 2017, non è possibile intervenire sulla eventuale compensazione economica (anche tramite una maggiore retribuzione) per la responsabilità di cui sarebbe titolare il dirigente scolastico per il trattamento dei suddetti dati; - con riguardo all'articolo 13, comma 1, lettera e) , potrebbe essere utile un supplemento di riflessione sulla possibilità di aggiungere qualche riferimento, al comma 5 dell'articolo 142, ai principi del giusto processo. Infatti la disposizione demanda ad un regolamento amministrativo la disciplina del "processo" dinnanzi all'Autorità, senza salvaguardare i principi del contraddittorio e del giusto processo. Potrebbe determinarsi il rischio di un abbassamento degli standard di tutela e partecipazione degli interessati al procedimento. Inoltre, sembra non prevedere una chiara separazione tra funzioni istruttorie e di accusa e funzione decisorie. Sono, infine, omessi riferimenti anche al principio di piena conoscibilità degli addebiti, di accesso ai documenti contenuti nel fascicolo e di esercizio dei poteri di difesa; - con riguardo all'articolo 22, comma 12, sarebbe auspicabile specificare quali norme contenute nella vecchia formulazione del decreto legislativo. 196 del 2003 e già abrogate, resteranno applicabili nel periodo transitorio, anche per favorire una lettura ed una interpretazione più agevole; - con riferimento specifico alla salvaguardia dei diritti del minore in materia di protezione dei dati personali e salvaguardia dei suoi diritti e libertà fondamentali, in un'ottica di maggior tutela di tale categoria di soggetti, sarebbe opportuna la previsione di una serie di strumenti semplificati e una revisione dei criteri di legittimazione per interagire con il Garante privacy, di cui sarebbe opportuno tenere conto; - con riguardo all'impianto sanzionatorio, è emerso in sede di audizioni un contrasto dottrinario sulla possibile violazione del divieto di bis in idem , alla luce della giurisprudenza della Corte Europea dei Diritti dell'Uomo, della Corte di Giustizia dell'Unione Europea, nonché delle supreme autorità giurisdizionali italiane; - è importante che il decreto legislativo finale rechi un linguaggio chiaro, sia di facile applicazione e non comporti ulteriori oneri economici (anche a causa dell'eventuale ricorso a consulenti giuridici chiamati a chiarirne la portata e gli effetti) in capo ai destinatari;