Source: https://futurolink.it/archives/1888
Timestamp: 2018-11-18 18:29:41+00:00

Document:
﻿ Decreto di adeguamento al GDPR - Futuro Link
Decreto di adeguamento al GDPR - Futuro Link
Decreto di adeguamento al GDPR
By: futuro.admin agosto 23, 2018 Nessun commento
Di recente e per l’esattezza lo scorso 22 maggio il Governo ha incassato il parere favorevole del Garante sullo schema di decreto legislativo di adeguamento al GDPR (Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679).
Dall’esame del parere si intuisce che il responso del garante è stato piuttosto sofferto e difatti colpisce il fatto che il parere non è stato espresso all’unanimità, ma solo a maggioranza.
In effetti non poche sono le osservazioni che l’Autorità muove al Decreto, sebbene bisogna sempre essere consapevoli del fatto che il parere è obbligatorio, ma non vincolante.
Innanzitutto si ritiene del tutto inopportuna la conferma della deroga all’articolo 132, commi 1 ed 1-bis del Codice, introdotta dall’articolo 24 della Legge 20 novembre 2017, n. 167, recante “Disposizioni per l’adempimento degli obblighi derivanti dall’appartenenza dell’Italia all’Unione europea – Legge europea 2017” contenuta nell’articolo 11, comma 1, lett. i), numero 3, dello schema di decreto. Difatti secondo l’Autorità la conferma della predetta deroga determina rilevanti criticità, come già segnalato nel parere del 22 febbraio 2018 reso sullo schema di decreto di recepimento della direttiva (UE) 2016/680, in ordine al rispetto del principio di proporzionalità tra esigenze investigative e limitazioni del diritto alla protezione dei dati dei cittadini, affermato dalla Corte di giustizia Ue con le sentenze Digital Rights Ireland (resa in data 8 aprile 2014 nelle cause riunite C-293/12 e C-594/12,) e Tele2 e Watson (resa il 21 dicembre 2016, nelle cause riunite C 203/15 e C 698/15).
Altra disposizione oggetto di osservazione dell’Autorità è l’art. 154-ter del codice come riformulato dallo schema di decreto legislativo (“Potere di agire e rappresentanza in giudizio”) nella parte in cui prevede che il Garante ai sensi dell’articolo 1 del r.d. n. 1611/1933 venga rappresentato in giudizio dall’Avvocatura dello Stato alla pari di tutte le amministrazioni statali. In effetti l’Autorità ritiene che nell’ipotesi specifica debba essere applicato l’art. 43 del r.d. n. 1611/1933 che prevede il patrocinio facoltativo per le amministrazioni non statali e non l’art. 1 che, invece, prevede il patrocinio obbligatorio.
Diverse, poi, sono le osservazioni dell’Autorità rispetto alla configurazione dei nuovi illeciti penali previsti nel decreto.
Innanzitutto in ordine all’elemento soggettivo del delitto di trattamento illecito di dati, di cui al novellato articolo 167 del Codice, il Garante sottolinea l’opportunità di considerare, quale oggetto alternativo del dolo specifico anche il nocumento, in ragione dell’esigenza di presidiare con la sanzione penale condotte connotate da un simile disvalore, anche quando sorrette dal dolo di danno e non solo da quello di profitto.
Inoltre in merito alla disposizione di cui al comma 6 dell’articolo 167 – pur comprendendone la ratio, volta a garantire maggiore conformità al principio del ne bis in idem – si rileva la parziale difformità rispetto alla norma di cui all’art. 187-terdecies del d.lgs. n. 58 del 1998, che limita l’esazione della pena pecuniaria “alla parte eccedente quella riscossa dall’Autorità amministrativa”; circostanza che non ricorre nella disposizione in esame.
Riguardo, poi, le fattispecie di reato introdotte all’articolo 167-bis del Codice, la previsione del titolare e del responsabile del trattamento, nonché del soggetto designato a norma dell’articolo 2-terdecies, quali unici soggetti attivi del reato, solleva perplessità in ragione della mancata considerazione delle persone suscettibili di operare quali autorizzate al trattamento.
Viene criticata anche l’abrogazione dell’articolo 170, recante il delitto di inosservanza di provvedimenti del Garante, che va considerata in rapporto alle scelte compiute in sede di recepimento della direttiva (UE) 2016/680 e, in particolare, all’introduzione, in quella sede disposta, di una norma incriminatrice dell’inosservanza dei provvedimenti del Garante, del tutto analoga all’attuale articolo 170. Di conseguenza qualora tale ultima norma venisse abrogata, si determinerebbe un’irragionevole disparità di trattamento per cui l’inadempimento del medesimo provvedimento del Garante, se imputabile ad organi incaricati di funzioni di accertamento, prevenzione, repressione dei reati, integrerebbe gli estremi di tale delitto, mentre se imputabile a qualsiasi altro soggetto rileverebbe esclusivamente ai fini sanzionatori amministrativi (art. 83, par. 5, lett. e) Reg.).
Al fine poi di correggere diverse criticità il Garante suggerisce alcune integrazioni all’articolo 166 del Codice (concernente le sanzioni amministrative pecuniarie), nella nuova formulazione proposta, che ai commi 1 e 2 individua le disposizioni del Decreto legislativo n. 196/2003 la cui violazione è sanzionata, rispettivamente, ai sensi dell’articolo 83, par. 4 o par. 5 del Regolamento a seconda della gravità.
Riguardo poi i trattamenti particolari, il Garante suggerisce un’integrazione dell’articolo 2-sexies che disciplina il trattamento di dati particolari (già “sensibili” in base al previgente Codice) per “motivi di interesse pubblico rilevante” ai sensi dell’articolo 9, par. 1, lett. g) del GDPR, riproducendo in maniera sostanzialmente inalterata il regime normativo previsto al previgente articolo 20 del Codice per i trattamenti di dati sensibili effettuati da soggetti pubblici.
Difatti, nonostante il Regolamento richieda che, per il trattamento di tali dati, il diritto nazionale individui “misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”, il comma 1 del nuovo articolo 2-sexies si limita a prevedere che la “legge o, nei casi previsti dalla legge, il regolamento, specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante” senza più richiedere, come previsto dall’analogo articolo 20 del Codice il parere conforme del Garante sull’atto da adottare. Non sono inoltre previsti i necessari richiami al fatto che l’atto normativo debba contenere anche le specifiche misure a tutela degli interessati richieste dal Regolamento (e previste ad esempio anche dall’art. 2-octies per i “dati giudiziari”).
Il Garante suggerisce anche una maggiore precisazione delle misure di garanzia previste dall’articolo 2-septies introdotto nel Codice dall’articolo 2, comma 1, lettera e) dello schema di decreto, in attuazione di quanto previsto dall’articolo 9, paragrafo 4, del Regolamento, a tutela dei dati genetici, biometrici e relativi alla salute.
In merito al trattamento dei dati biometrici per finalità di sicurezza il garante suggerisce di inserire, all’interno dell’articolo 2-septies, un comma 6-bis, che legittimi ai sensi dell’articolo 9, par. 2 lett. b) del Regolamento, le tecniche di riconoscimento biometrico per specifiche finalità di sicurezza, in aggiunta o in sostituzione degli ordinari sistemi di autenticazione informatica, basati su informazioni nella disponibilità cognitiva (password, user id) o su dispositivi (badge, token). Ciò peraltro in armonia a quanto già prescritto o autorizzato, in alcuni casi, dal Garante nel vigente quadro normativo (in applicazione della sopra citata regola 2 dell’allegato B al Codice). In effetti l’articolo 9 del Regolamento, che ha inserito i dati biometrici nella categoria dei dati “particolari” (già “sensibili”) vietandone, in via generale, il relativo trattamento, prevede, con riguardo all’impiego in ambito lavoristico, che il trattamento sia consentito quando “necessario per assolvere gli obblighi ed esercitare i diritti specifici del titolare del trattamento o dell’interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale, nella misura in cui sia autorizzato dal diritto dell’Unione o degli Stati membri o da un contratto collettivo ai sensi del diritto degli Stati membri, in presenza di garanzie appropriate per i diritti fondamentali e gli interessi dell’interessato”.
Con riferimento, poi, al consenso del minore in relazione ai servizi della società dell’informazione il Garante non condivide il limite dei 16 anni contenuto nell’art. 2-quinquies del Codice come modificato dallo schema di decreto, poiché tale limite non appare coerente con altre disposizioni dell’ordinamento che individuano, invece, a quattordici anni il limite di età consentito per esercitare determinate azioni giuridiche. Si pensi, fra le tante, alle disposizioni in materia di cyberbullismo che consentono al minore ultraquattordicenne di esercitare i diritti previsti a propria tutela contro atti di cyberbullismo nei suoi confronti (v. art. 2, c. 1, l. n. 71 del 2017).
Molti sono anche i dubbi interpretativi dell’Autorità sulla nuova formulazione dell’art. 110-bis contenuta del decreto dove il concetto di riutilizzo sembra coincidere con l’utilizzo da parte di terzi, a fini commerciali o non commerciali, diversi da quelli iniziali per i quali le informazioni sono state prodotte, e riguarda soltanto i documenti contenenti dati pubblici (indipendentemente dal fatto che si tratti di dati personali o meno) nella disponibilità di pubbliche amministrazioni e di organismi di diritto pubblico.
Secondo il Garante se la nozione di riutilizzo andasse interpretata alla luce della predetta disciplina essa non potrebbe estendersi, in generale, ai dati sensibili e giudiziari e, in particolare, a quelli attinenti alla salute e alla vita sessuale, per il trattamento dei quali il Regolamento individua particolari condizioni e limiti (cfr. artt. 9 e 10).
Anche in merito alla figura del DPO l’Autorità ritiene opportuno estendere all’autorità giudiziaria nell’esercizio delle funzioni giurisdizionali diverse da quelle penali l’obbligo di designazione, coerentemente con la scelta compiuta in occasione del recepimento della direttiva (UE) 2016/680, relativamente ai trattamenti svolti dall’autorità giudiziaria nell’esercizio della funzione giurisdizionale in sede penale.
In realtà molte altre sono le osservazioni del Garante allo schema di decreto e come si è potuto vedere in alcuni casi l’Autorità si limita a suggerire delle integrazioni, mentre in altri casi delle modifiche più radicali al fine di risolvere criticità e dubbi interpretativi. Resta da vedere quali di questi suggerimenti vengano accolti, sebbene ritengo che proprio in questo caso specifico le osservazioni del Garante vadano tenute in debito conto.
Futuro Link.
La nostra missione è fornire al nostro cliente ciò di cui hanno bisogno!
Privacy&Gdpr
Seguici sù
Futuro Link - Via Contrada Difesa 16, 86080 Belmonte del Sannio (IS) C.F., P.IVA e N. Iscrizione Registro Imprese di Isernia:
00935850941 Rea 43401 - Cap. investito. € 15.000 - Futuro Link e un marchio depositato e registrato presso EUIPO. Deposito n. 552V - 44EM-1. Copyright tutti i diritti riservati vietata la riproduzione totale anche parziale © ® TradeMark.

References: articolo 167
 articolo 170
 articolo 20
 articolo 2
 articolo 20
 art. 2