Source: http://www.forgionegianluca.it/PUBBLICO_IMPIEGO/DOTTRINA/privacy/PRIVACY.php
Timestamp: 2020-01-26 06:31:30+00:00

Document:
﻿ PRIVACY - Ogni Ente Pubblico e Aziende, entro il prossimo 25 maggio 2018, dovranno adeguarsi al nuovo Regolamento UE 2016/679 in materia di Privacy
Deliberazione del garante per la protezione dei dati personali n. 17 del 19 aprile 2007 - Linee guida in materia di trattamento di dati personali per finalità di pubblicazione e diffusione di atti e documenti di enti locali
Linee guida sui responsabili della protezione dei dati - Adottate il 13 dicembre 2016 Versione emendata e adottata in data 5 aprile 2017 - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI
Nuove Faq sul Responsabile della Protezione dei dati (RPD) in ambito pubblico - (in aggiunta a quelle adottate dal Gruppo Art. 29 in Allegato alle Linee guida sul RPD)
Ogni Ente Pubblico e Aziende, entro il prossimo 25 maggio 2018, dovranno adeguarsi al nuovo Regolamento UE 2016/679 in materia di Privacy
In data 25 maggio 2018, entrerà in vigore il Regolamento UE n. 2016/679 (pubblicato in data 4 maggio 2016 in Gazzetta Ufficiale Europea)
Tale Regolamento si inserisce all'interno di quello che, insieme alla Direttiva 2016/680, è stato definito il "Pacchetto europeo protezione dati".
Gli Stati membri ad ogni modo, sebbene il Regolamento, in quanto tale, non abbia bisogno di recepimento, hanno due anni per adeguare le proprie normative interne nonché, le aziende, per essere sensibilizzate alle novità introdotte.
Ciò, anche in considerazione del fatto che il Regolamento attribuisce alla Commissione europea il potere di adottare atti delegati e di esecuzione, al fine di rendere operativa la disciplina, ma lascia ai legislatori nazionali la facoltà di introdurre, a seconda delle circostanze, norme nazionali ad hoc.
Le novità introdotte con il Regolamento riguarderanno, dal punto di vista delle aziende (i c.d. "titolari" del trattamento dei dati personali) tutte quelle che – salvo qualche eccezione, una in particolare di cui si dirà tra breve, relativamente alle aziende medio e piccole – avendo uno stabilimento all'interno dell'UE, trattano dati personali, indipendentemente dal fatto che il trattamento sia effettuato nell'UE stessa.
Dal punto di vista, invece, delle persone fisiche – i c.d. "interessati" al trattamento dei propri dati – la nuova normativa si applicherà a tutti i soggetti presenti nell'UE anche quando, sebbene l'azienda titolare del trattamento non abbia uno stabilimento in territorio UE, il trattamento stesso riguardi (i) l'offerta di beni o la prestazione di servizi ai soggetti interessati o (ii) il monitoraggio del loro comportamento, nella misura in cui tale comportamento abbia luogo all'interno dell'UE.
(i) riconosce espressamente il "diritto all'oblio", ovvero la possibilità per l'interessato di decidere che siano cancellati e non sottoposti ulteriormente a trattamento i propri dati personali non più necessari per le finalità per le quali sono stati raccolti, nel caso di revoca del consenso o quando si sia opposto al trattamento dei dati personali che lo riguardano o quando il trattamento dei suoi dati personali non sia altrimenti conforme al Regolamento;
(ii) stabilisce il diritto alla "portabilità dei dati", in virtù del quale l'interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti, qualora l'interessato abbia fornito il proprio consenso al trattamento o se questo sia necessario per l'esecuzione di un contratto;
(iii) sancisce il principio di "accountability", per cui il titolare dovrà dimostrare l'adozione di politiche privacy e misure adeguate in conformità al Regolamento;
(iv) introduce il principio della "privacy by design" (dal quale discende l'attuazione di adeguate misure tecniche e organizzative sia all'atto della progettazione che dell'esecuzione del trattamento) nonché quello della "privacy by default" (che ricalca il principio di necessità di cui all'attuale disciplina, stabilendo che i dati vengano trattati solamente per le finalità previste e per il periodo strettamente necessario a tali fini).
Infine, per quanto concerne il "sistema sanzionatorio", il Regolamento ha aumentato l'ammontare delle sanzioni amministrative pecuniarie, che potranno arrivare fino ad un massimo di 20 milioni di Euro o fino al 4% del fatturato mondiale totale annuo, lasciando peraltro ciascuno Stato membro libero di adottare norme relative ad altre sanzioni.
Il Responsabile della Protezione dei dati (art. 37 GDPR) - Data Protection Officer ("DPO")
Questa nuova figura – e professionalità – va ad affiancarsi alla nomenclatura già conosciuta nel nostro Codice Privacy, ovvero al "titolare", al "responsabile" e all' "incaricato" del trattamento dei dati.
Il DPO dovrà essere obbligatoriamente presente all'interno di tutte (i) le aziende pubbliche nonché in tutte quelle ove i trattamenti presentino specifici rischi, come ad esempio (ii) le aziende nelle quali sia richiesto un monitoraggio regolare e sistematico degli "interessati", su larga scala, e quelle (iii) che trattano i c.d. "dati sensibili".
Il titolare del trattamento - articoli 24 e seguenti del Regolamento UE 2016/679 del 27 aprile 2016 e il Codice della privacy (D.lgs. 196/2003),
[...] f) "titolare", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza; [...]
Art. 28 (Titolare del trattamento)
Altra novità di rilievo, è l'introduzione dell'obbligo, per ogni azienda titolare del trattamento dei dati, di tenere un "registro delle attività di trattamento", svolte sotto la propria responsabilità, nonché quello di effettuare una "valutazione di impatto sulla protezione dei dati".
Quest'ultimo adempimento, in particolare, è richiesto ad esempio in relazione (i) ai trattamenti automatizzati, ivi compresa la profilazione, o con riguardo (ii) ai trattamenti su larga scala di categorie particolari di dati (sensibili), nonché relativamente ai dati ottenuti dalla sorveglianza sistematica, sempre su larga scala, di zone accessibili al pubblico. Sarà ad ogni modo il Garante Privacy (per quanto riguarda l'Italia), a redigere e rendere pubblico l'elenco delle tipologie di trattamenti soggetti al requisito della "valutazione di impatto sulla protezione dei dati".
Il comma 5 dell'art. 30 del Regolamento esoneri dagli adempimenti appena accennati le piccole e medie imprese, quelle dunque con meno di 250 dipendenti, a meno che, però, "...il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati (sensibili)...o i dati personali relativi a condanne penali..." (si vedrà come sarà interpretato ed applicato tale articolo, nella prassi).
Incaricato del trattamento dei dati personali contenuti nelle banche dati e nei procedimenti
Art 18 del “Regolamento per la gestione della riservatezza dei dati personali”
“[...] 6. Il dirigente o funzionario apicale designato a svolgere le funzioni di “titolare del trattamento” a mente del comma precedente può, in ogni momento, con provvedimento motivato, designare un responsabile diverso dai soggetti di cui al precedente comma 3. I responsabili dei servizi, nell’ambito dei poteri di organizzazione delle attività rimesse alla loro responsabilità possono individuare articolazioni di dettaglio nell’esercizio della loro responsabilità [...]”
Art. 4 (Definizioni) del Codice della privacy (D.lgs. 196/2003),
[...] h) "incaricati", le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile; [...]
Art. 30 (Incaricati del trattamento) del Codice della privacy (D.lgs. 196/2003),
Incaricato della sicurezza dei trattamenti dei dati personali
Codice della privacy (D.lgs. 196/2003), con particolare riferimento a:
TITOLO V - Sicurezza dei dati e dei sistemi - CAPO I - Misure di sicurezza
Art. 31 (Obblighi di sicurezza)
Art. 32 (Obblighi relativi ai fornitori di servizi di comunicazione elettronica accessibili al pubblico)
Art. 32-bis (Adempimenti conseguenti ad una violazione di dati personali)
CAPO II - Misure minime di sicurezza
Art. 33 (Misure minime)
Art. 34 (Trattamenti con strumenti elettronici)
Art. 35 (Trattamenti senza l'ausilio di strumenti elettronici)
Art. 36 (Adeguamento)
Allegato B - Disciplinare tecnico in materia di misure minime di sicurezza - (artt. da 33 a 36 del codice)

References: ARTICOLO 29
 Art. 29

Art. 28

Art. 4

Art. 30

Art. 31

Art. 32

Art. 32

Art. 33

Art. 34

Art. 35

Art. 36