[sommcomm]

All'articolo 2-quaterdecies, sarebbe utile un parametro valutativo per i "rischi particolarmente elevati", ivi richiamati. Con riferimento all'articolo 11, che modifica l'articolo 122, comma 1, del Codice, appare irragionevole l'impossibilità di informare gli interessati "con modalità semplificate" nell'ambito dei servizi di comunicazione elettronica, che includono anche il trattamento attraverso siti internet , naturalmente con modalità tali da rendere comprensibili agli utenti il trattamento che si intende effettuare; - all'articolo 18, il dies ad quem per la definizione dei procedimenti sanzionatori da parte del Garante è individuato nel 21 marzo 2018 senza una ragione apparente, in luogo del momento di entrata in vigore dello schema di decreto o di applicazione diretta del Regolamento; - al fine di tutelare i soggetti maggiormente vulnerabili, potrebbe essere opportuno prevedere più diffusamente il ricorso ad un linguaggio chiaro, idoneo ed adeguato, con particolare attenzione in caso di minori di età, sia in relazioni alle informazioni e comunicazioni, sia alla modulistica, alle regole deontologiche e alle procedure previste; - la norma transitoria prevista dal comma 2 dell'articolo 139 non appare coordinata con la disciplina transitoria, di cui all'articolo 20 del medesimo schema, che prende in specifica considerazione anche il vigente Codice per il trattamento dei dati in ambito giornalistico; - in relazione al parametro di conformità con la Convenzione europea per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali all'articolo 142 dello schema, lo svolgimento del procedimento davanti alla Autorità garante viene demandato ad un regolamento amministrativo senza che vengano definiti i principi del contraddittorio tipici delle norme di procedura stabilite con leggi primarie delle altre Authority pubbliche, in una possibile violazione dei principi di cui all'articolo 6 CEDU; - l'articolo 11 dello schema di decreto interviene sugli articoli da 121 a 134 del Codice, relativi alle comunicazioni elettroniche e inseriti in attuazione della direttiva 2002/58/CE. Si tratta di disposizioni che non sono oggetto della nuova disciplina sulla protezione dei dati. Si riportano le preoccupazioni espresse in sede di audizioni, precisando che il punto non rientra nell'ambito della delega. In particolare, il predetto articolo 11: a) all'articolo 122, relativo ai cookies , ovvero all'archiviazione delle informazioni nell'apparecchio terminale di un utente, conferma la necessità di raccogliere il consenso dell'interessato, ma sopprime le disposizioni sulle modalità semplificate di informativa all'utente. Si tratta delle modalità attualmente disciplinate dall'articolo 13 comma 3, del Codice, abrogato dalla riforma. Occorrerebbe invece - come già evidenziato - una previsione volta a rendere di immediata comprensione per gli interessati il trattamento che si intende effettuare; b) all'articolo 125, relativo all'identificazione della linea chiamante, e all'articolo 130, relativo alle chiamate indesiderate, aggiunge una disposizione volta a garantire il rispetto dell'articolo 2, comma 1, della legge n. 5 del 2018, che impone l'identificazione della linea chiamante anche ai call center . Con riferimento al richiamo all'articolo 2 della legge n. 5 del 2018, occorre segnalare che non risulta che l'AGCOM abbia ancora individuato i due codici o prefissi specifici atti a distinguere in modo univoco le chiamate telefoniche finalizzate ad attività statistiche da quelle finalizzate al compimento di ricerche di mercato e ad attività di pubblicità, vendita e comunicazione commerciale; c) all'articolo 130, comma 1, del Codice reca un riferimento all'articolo 2, comma 14, della legge 11 gennaio 2018, n. 5, palesemente errato, tenuto conto che l'articolo 2 consta di un solo comma. Il riferimento normativo corretto parrebbe dunque essere l'articolo 1, comma 14, della medesima legge n. 5 del 2018, con cui si è disposto il divieto di utilizzo di compositori telefonici per la ricerca automatica di numeri anche non inseriti negli elenchi di abbonati; d) non reca modifiche al comma 4 del citato articolo 130, relativo alla cosiddetta "eccezione del soft spam ", perdendo l'occasione di occuparsi anche di profili di natura sostanziale relativi al coordinamento e all'adeguamento della disciplina, tenuto conto di quanto dispone l'articolo 6 del Regolamento in riferimento alle condizioni di liceità del trattamento; - vi è incertezza tra i soggetti istituzionali e gli operatori economici rispetto agli obblighi di adeguamento all'articolo 37 del Regolamento, sulla figura del Data Protection Officer , il Responsabile del trattamento dei dati. Occorre chiarire se sia necessario per le piccole imprese provvedere alla designazione del responsabile per la protezione dei dati (DPO - Data Protection Officer ), nonché tenere il registro per le operazioni relative al trattamento dei dati. Essendo obbligatorio dotarsene per quelle strutture che implicano un trattamento di dati "su larga scala" (articolo 37 Regolamento). Si potrebbe specificare questo termine per evitare ambiguità e vaghezza. Ovvero si potrebbero escludere una serie di soggetti in ragione del tipo di attività svolta o del volume dell'attività stessa, dall'obbligo di designazione del DPO; ovvero in subordine, semplificarlo. Nel caso delle scuole, il Garante ha tracciato il profilo di competenze professionali a cui il DPO/RPD deve rispondere. Si tratta di una figura che non può essere reperita tra le professionalità a disposizione di una scuola. Rivolgendosi alla "ricerca di mercato", è emerso che profili simili comporterebbero notevoli costi per le scuole: si dovrebbe garantire che la nomina del RPD sia effettuata a livello di amministrazione centrale o periferica e non dalla singola scuola, individuando un apposito ufficio (regionale o nazionale) con personale in grado di fornire anche consulenza; - si rappresenta la questione sollevata in sede di audizioni, sulla quale tuttavia non residuano spazi di intervento per il legislatore, sul tema relativo all'aggravio funzionale delle scuole derivante dall'adeguamento alla normativa. È stato sollecitato un chiarimento sul fatto che tale valutazione non è da effettuare da parte della singola scuola, ma deve procedere centralmente l'amministrazione (il MIUR), in ragione della contitolarità della responsabilità del trattamento e gestione dei dati tra scuole e MIUR. Le scuole temono di essere lasciate sole sia in senso funzionale che organizzativo; - sui poteri del Garante in materia di sanzioni vi è incertezza; al riguardo si potrebbe indicare precisamente l'applicazione progressiva dei poteri correttivi del Garante, tenendo conto della proporzionalità e della gravità delle eventuali violazioni rilevate e dell'eventuale recidiva. Il Regolamento introduce (articolo 40) il codice di condotta, strumento per le imprese con meno di 250 addetti, che non è al momento utilizzabile senza le indicazioni uniformi sul funzionamento del monitoraggio previsto dall'articolo 41 del Regolamento. In sostanza, in caso di violazione dei nuovi adempimenti introdotti dal Regolamento UE, si applicano solo i poteri correttivi attribuiti al Garante (di cui all'articolo 58, paragrafo 2, del Regolamento) in luogo delle sanzioni economiche.