Source: https://www.slideshare.net/carlofavaretti/tarallo-privacy
Timestamp: 2018-10-22 16:47:54+00:00

Document:
AI and Machine Learning Demystified... by Carol Smith 3139810 views
The AI Rush by Jean-Baptiste Dumont 816269 views
Harry Surden - Artificial Intellige... by Harry Surden 425458 views
1. © Pasquale Tarallo Linee Guida in vista della piena applicazione prevista per il 25 Maggio 2018 Regolamento Europeo per la Protezione dei Dati Personali 2016/679
2. © Pasquale Tarallo 2 Copyright Licenza Creative Commons CC BY-NC-SA 3.0 IT per essere successivamente UTILIZZATO, MODIFICATO DISTRIBUITO LIBERAMENTE con Licenza Creative Commons CC BY-NC-SA 3.0 IT (Attribuzione – Non commerciale – Condividi allo stesso modo 3.0 Italia) Questa presentazione è parte di un progetto editoriale più ampio Ideato, Realizzato e Distribuito GRATUITAMENTE per tentare una Chiave di Lettura al Regolamento Europeo per la Protezione dei Dati Personali 2016/679 (in inglese General Data Protection Regulation, GDPR). Può essere richiesto via mail in formato ppt all’Autore Pasquale Tarallo
3. 3 Contenuti 1 Perché si promuove la Protezione dei Dati Personali 2 La Guida dell’Autorità Garante 3 Fondamenti di Liceità 4 Informativa 5 Diritti degli interessati 6 Titolare, responsabile, incaricato del Trattamento 7 Approccio basato sul rischio e Responsabilizzazione 8 Il Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali 9 Conclusioni
4. 4 © Pasquale Tarallo 1 Perché si promuove la Protezione dei Dati Personali
5. © Pasquale Tarallo 5 Il nuovo scenario digitale mostra che la Rete è pervasiva, immateriale ed immediatamente disponibile a molti utenti La rapidità e l’intensità dell'evoluzione tecnologica hanno condotto all’aumento di soggetti ed oggetti connessi fra loro (per questo si parla di rete delle cose, Internet Of Things, IoT). Si assiste al conseguente scambio e condivisione di dati fra Individui ed Organizzazioni di diverso genere e tipo (o scopo, quali Istituzioni, Imprese, Enti no Profit, etc.) in tutto il mondo sia fisico che digitale.
6. © Pasquale Tarallo 6 L’importanza della Sicurezza delle Informazioni è discussa in maniera più approfondita in ALTRA PRESENTAZIONE
7. © Pasquale Tarallo 7 Considerato che qualcosa è cambiato, cosa deve essere preso in considerazione ? Come Proteggere i Dati Personali ? Come Proteggere le Informazioni ? Cosa bisogna prendere in considerazione
8. © Pasquale Tarallo 8 Il fenomeno dei Big Data L’innovazione comporta nuove sfide. Tra le altre, la portata della condivisione e della raccolta dei BIG DATA* • da un lato dovrebbe facilitare ancora di più la loro libera circolazione sia all'interno dell'Unione che per il loro trasferimento verso paesi terzi e organizzazioni internazionali, • mentre dall’altro dovrebbe garantire un elevato livello di protezione da eventuali violazioni dei dati personali. *Definizione nella slide successiva.
9. © Pasquale Tarallo 9 A proposito di Big Data, cosa sono e come possono essere trattati ? Talvolta si usa l’espressione inglese BIG DATA per fare riferimento ai grandi volumi di dati, siano essi grezzi o strutturati, in una forma definita in termini di Volume, Velocità, Varietà e Veridicità che potrebbero essere trattari in formato Elettronico, per Iscritto o Visivamente. Individui Organizzazioni Oggetti Profilazione e/o Condivisione Il Trattamento può comprendere la Raccolta, la Registrazione, la Conservazione, il Recupero, la Trasmissione, il Blocco o la Cancellazione dei dati. Anche per Sostenere oppure Opporsi alla Profilazione e/o Condivisione dei medesimi.
10. © Pasquale Tarallo 10 In virtù dell’enorme quantità di Norme presenti alcuni anni fa si avviò un confronto per armonizzarle in tutta l’Unione
11. © Pasquale Tarallo 11 Considerate le nuove minacce e le violazioni dei dati personali si decise di accelerare la trasformazione normativa con il GDPR Abbiamo scelto un Regolamento perché non necessita un recepimento dei Paesi Membri ed è in grado di disciplinare la Protezione del Trattamento dei Dati Personali delle Persone Fisiche e della loro Circolazione in tutta l’Unione Europea
12. © Pasquale Tarallo 12 Il Regolamento per la Protezione dei Dati Personali A seguito della pubblicazione sulla Gazzetta Ufficiale dell’Unione Europea del 04 Giugno 2016, è entrato formalmente in vigore il 24 maggio 2016 il Regolamento Europeo per la Protezione dei Dati Personali 2016/679 o nella sua accezione inglese General Data Protection Regulation (GDPR).
13. © Pasquale Tarallo 13 Dall’approvazione all’applicazione Il GDPR diverrà pienamente applicabile a decorrere dal 25 maggio 2018 (secondo quanto previsto dall’art. 99 delle disposizioni finali) Pubblicazione sulla Gazzetta Ufficiale UE: 04 Maggio 2016 Entrata in vigore (dopo 20 gg): 24 Maggio 2016 Effettiva applicazione: 25 Maggio 2018
14. © Pasquale Tarallo 14 Alcuni primi dettagli del GDPR Per favorire l’applicazione del GDPR ciascuno stato membro è stato chiamato ad istituire un’Autorità Sovrintendente Indipendente per  dare udienza ai reclami,  effettuare indagini,  sanzionare le infrazioni amministrative,  ecc. • Le autorità sovrintendenti in ciascuno stato membro collaboreranno con le altre, fornendo assistenza reciproca e organizzando operazioni congiunte sotto il coordinamento e la supervisione di una apposita commissione europea per la protezione dei dati (EDPB, European Data Protection Board).
15. © Pasquale Tarallo 15 Il WP 29 • Inizialmente il gruppo di lavoro delle diverse autorità è stato citato anche come WP 29 (Working Party Article 29) poiché è stato istituito dall'art. 29 della direttiva 95/46, come organismo consultivo e indipendente. • Il WP 29 è composto da un rappresentante delle autorità di protezione dei dati personali designate da ciascuno Stato membro, dal GEPD (Garante europeo della protezione dei dati), nonché da un rappresentante della Commissione appositamente istituita in sede UE. • Il 25 Maggio 2018, all’atto della piena applicazione del GDPR, il WP29 verrà sostituito dall’EDPB (European Data Protection Board)
16. © Pasquale Tarallo 16 Compiti del WP 29 Fra i compiti più rilevanti del WP29 vi sono i seguenti: • formulare pareri sul livello di tutela nella Comunità e nei paesi terzi • fornire consulenze alla Commissione in merito ad ogni progetto di modifica della direttiva, ogni progetto di misure addizionali o specifiche da prendere ai fini della tutela dei diritti e delle libertà, nonché in merito a qualsiasi altro progetto di misure comunitarie che incidano su tali diritti e libertà • formulare pareri sui codici di condotta elaborati a livello comunitario • formulare di propria iniziativa raccomandazioni su qualsiasi questione riguardi la protezione dei dati personali nella Comunità • definire i criteri di adeguatezza per i paesi terzi.
17. © Pasquale Tarallo 17 Meccanismo di coerenza all’interno dell’UE Il Regolamento prevede un MECCANISMO DI COERENZA, gestito dal Garante Europeo per la Protezione dei Dati (GEPD, oppure nella versione inglese EDPS, European Data Protection Supervisor) che uniforma l'interpretazione e applicazione del Regolamento in tutti i Paesi dell'Unione. In particolare viene indicato che, qualora ci siano delle divergenze tra le legislazioni degli stati membri che possano pregiudicare l'equivalenza della tutela persone, interviene il WP29 informando la speciale commissione dell’UE, formulando pareri e raccomandazioni. La Commissione è tenuta ad informare il gruppo del seguito dato ai suoi pareri e raccomandazioni.
18. © Pasquale Tarallo 18 Il riconoscimento di una Leading Authority favorisce la disponibilità di un punto di contatto unico • Qualora un’impresa abbia più stabilimenti nell'UE, avrà un'unica Autorità sovrintendente come propria «Autorità principale« a cui fare riferimento, sulla base dell'ubicazione del proprio "stabilimento principale" (ossia il luogo dove si realizzano le principali attività di gestione). • L’Autorità principale agirà quale "sportello unico (noto anche come meccanismo dell’One Stop Shop, ovvero unico negozio dove trovo tutto)" per supervisionare tutte le attività di gestione dati di quell’impresa nell’UE. L’Autorità principale fungerà anche da capofila (Leading Authority) nei confronti delle altre Autorità nazionali cooperando ed avendo la competenza di emettere decisioni vincolanti per la altre autorità.
19. © Pasquale Tarallo 19 Nonostante l’approssimarsi del 25 Maggio permangono i Dubbi su modalità, costi, opportunità e necessità di essere conformi Considerando le principali novità introdotte dal nuovo Regolamento si deve riflettere sui possibili approcci da utilizzare per confermare l’ìmportanza della protezione dei dati personali e giungere alla scadenza del 25 maggio 2018 con le idee più CHIARE non solo ai fini della conformità.
20. © Pasquale Tarallo 20 In sintesi si chiede di comprendere COSA FARE Seguendo l’Autorità Garante per la Protezione dei Dati Personali si distinguono LE AZIONI CHE POSSONO ESSERE INTRAPRESE IMMEDIATAMENTE in quanto basate su disposizioni precise del Regolamento che non lasciano spazi a interventi del legislatore nazionale, rispetto alle altre norme del Regolamento, come quelle che disciplinano i trattamenti per finalità di interesse pubblico ovvero in ottemperanza a obblighi di legge.
21. 21 © Pasquale Tarallo 2 Il GDPR nella sua Formulazione Originale
22. © Pasquale Tarallo 22 Il Regolamento Generale per la Protezione dei Dati Personali si compone di 11 Capi suddivisi in 99 Articoli e 173 Considerando 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 43 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99
23. © Pasquale Tarallo 23 Nel Capo I si disciplinano le DISPOSIZIONI GENERALI in 4 Articoli 1. Oggetto e finalità 2. Ambito di applicazione materiale 3. Ambito di applicazione territoriale 4. Definizioni 1 2 3 4
24. © Pasquale Tarallo 24 Nel Capo II si disciplinano i PRINCIPI in 11 Articoli 5 6 7 8 9 10 11 5. Principi applicabili al Trattamento di dati personali 6. Liceità del Trattamento 7. Condizioni per il consenso 8. Condizioni applicabili al consenso dei minori in relazione ai servizi della società dell'informazione 9. Trattamento di categorie particolari di dati personali 10. Trattamento dei dati personali relativi a condanne penali e reati 11. Trattamento che non richiede l'identificazione
25. © Pasquale Tarallo 25 Nel Capo IV si disciplinano il TITOLARE ed il RESPONSABILE del Trattamento in 3 Sezioni e 20 Articoli Sezione 1 - Obblighi generali Sezione 2 - Sicurezza dei dati personali Sezione 3 - Valutazione d'impatto sulla protezione dei dati e consultazione preventiva Sezione 4 - Responsabile della protezione dei dati Sezione 5 - Codici di condotta e certificazione 23 12 13 14 15 16 17 18 19 20 21 22
26. © Pasquale Tarallo 26 Nel Capo III si disciplinano i DIRITTI DELL’INTERESSATO in 5 Sezioni e 12 Articoli Sezione 1 - Trasparenza e modalità Sezione 2 - Informazione e accesso ai dati personali Sezione 3 - Rettifica e cancellazione Sezione 4 - Diritto di opposizione e processo decisionale automatizzato relativo alle persone fisiche Sezione 5 - Limitazioni 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43
27. © Pasquale Tarallo 27 Nel Capo V si disciplinano i Trasferimenti di dati verso paesi terzi o organizzazioni internazionali in 7 Articoli 44 45 46 47 48 49 50 44. Principio generale per il trasferimento 45. Trasferimento sulla base di una decisione di adeguatezza 46. Trasferimento soggetto a garanzie adeguate 47. Norme vincolanti d'impresa 48. Trasferimento o comunicazione non autorizzati dal diritto dell'Unione 49. Deroghe in specifiche situazioni 50. Cooperazione internazionale per la protezione dei dati personali
28. © Pasquale Tarallo 28 Nel Capo VI si disciplinano le Autorità di controllo indipendenti in 2 Sezioni e 9 Articoli 51 52 53 54 55 56 57 58 59 Sezione 1 - Indipendenza Sezione 2 – Competenza, compiti e poteri
29. © Pasquale Tarallo 29 Nel Capo VI si disciplinano la Cooperazione e la Coerenza in 3 Sezioni e 26 Articoli Sezione 1 - Cooperazione Sezione 2 – Coerenza Sezione 3 – Comitato europeo per la protezione dei dati 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76
30. © Pasquale Tarallo 30 Nel Capo VIII si disciplinano i Mezzi di ricorso, le responsabilità e le sanzioni in 8 Articoli 77. Diritto di proporre reclamo all'autorità di controllo 78. Diritto a un ricorso giurisdizionale effettivo nei confronti dell'autorità di controllo 79. Diritto a un ricorso giurisdizionale effettivo nei confronti del titolare del Trattamento o del responsabile del Trattamento 80. Rappresentanza degli interessati 81. Sospensione delle azioni 82. Diritto al risarcimento e responsabilità 83. Condizioni generali per infliggere sanzioni amministrative pecuniarie 84. Sanzioni 77 78 79 80 81 82 83 84
31. © Pasquale Tarallo 31 Nel Capo IX si disciplinano le Disposizioni relative a specifiche situazioni di Trattamento in 7 Articoli 85 86 87 88 89 90 91 85. Trattamento e libertà d'espressione e di informazione 86. Trattamento e accesso del pubblico ai documenti ufficiali 87. Trattamento del numero di identificazione nazionale 88. Trattamento dei dati nell'ambito dei rapporti di lavoro 89. Garanzie e deroghe relative al Trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici 90. Obblighi di segretezza 91. Norme di protezione dei dati vigenti presso chiese e associazioni religiose
32. © Pasquale Tarallo 32 Nel Capo X si disciplinano gli Atti delegati e gli Atti di esecuzione in 2 Articoli 92 93 92. Esercizio della delega 93. Procedura di comitato
33. © Pasquale Tarallo 33 Nel Capo XI si riportano le Disposizioni Finali in 6 Articoli 94. Abrogazione della direttiva 95/46/CE 95. Rapporto con la direttiva 2002/58/CE 96. Rapporto con accordi precedentemente conclusi 97. Relazioni della Commissione 98. Riesame di altri atti legislativi dell'Unione in materia di protezione dei dati 99. Entrata in vigore e applicazione 9694 95 97 98 99
34. © Pasquale Tarallo 34 Per Esplicitare il lessico utilizzato nel GDPR si riportano per esteso il CAPO 1 ed i Relativi Articoli (A) e Considerando (C) 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 43 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99
35. © Pasquale Tarallo 35 Come abbiamo visto nel Capo I si disciplinano le DISPOSIZIONI GENERALI in 4 Articoli 1. Oggetto e finalità 2. Ambito di applicazione materiale 3. Ambito di applicazione territoriale 4. Definizioni 1 2 3 4
36. © Pasquale Tarallo 36 Vediamo i Dettagli Esaminiamo in dettaglio l’Art.1 (A1) Oggetto e Finalità (C1-14, C170, C172) Vediamo i Dettagli
37. © Pasquale Tarallo 37 Disposizioni Generali (Capo I) Oggetto e Finalità (A1) • Il Regolamento stabilisce norme relative alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali, nonché norme relative alla libera circolazione di tali dati. • Esso protegge i diritti e le libertà fondamentali delle persone fisiche, in particolare il diritto alla protezione dei dati personali. • La libera circolazione dei dati personali nell’Unione non può essere limitata né vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al Trattamento dei dati personali.
38. © Pasquale Tarallo 38 Disposizioni Generali (Capo I) Oggetto e Finalità (C1) • La protezione delle persone fisiche con riguardo al Trattamento dei dati di carattere personale è un diritto fondamentale. L’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea («Carta») e l’articolo 16, paragrafo 1, del trattato sul funzionamento dell’Unione europea («TFUE») stabiliscono che ogni persona ha diritto alla protezione dei dati di carattere personale che la riguardano.
39. © Pasquale Tarallo 39 Disposizioni Generali (Capo I) Oggetto e Finalità (C14) • È opportuno che la protezione prevista dal presente regolamento si applichi alle persone fisiche, a prescindere dalla nazionalità o dal luogo di residenza, in relazione al Trattamento dei loro dati personali. • Il presente regolamento non disciplina il Trattamento dei dati personali relativi a persone giuridiche, in particolare imprese dotate di personalità giuridica, compresi il nome e la forma della persona giuridica e i suoi dati di contatto.
40. © Pasquale Tarallo 40 Disposizioni Generali (Capo I) Oggetto e Finalità (C170) • Poiché l’obiettivo del presente regolamento, vale a dire garantire un livello equivalente di tutela delle persone fisiche e la libera circolazione dei dati personali nell’Unione, non può essere conseguito in misura sufficiente dagli Stati membri ma, a motivo della portata e degli effetti dell’azione in questione, può essere conseguito meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea (TUE). • Il presente regolamento si limita a quanto è necessario per conseguire tale obiettivo in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.
41. © Pasquale Tarallo 41 Disposizioni Generali (Capo I) Oggetto e Finalità (C172) • Il Garante europeo della protezione dei dati è stato consultato conformemente all’articolo 28, paragrafo 2, del regolamento (CE) n. 45/2001 e ha espresso un parere il 7 marzo 2012
42. © Pasquale Tarallo 42 Vediamo i Dettagli Esaminiamo in dettaglio l’Art.2 (A2) Ambito di Applicazione Materiale (C15-21) Vediamo i Dettagli
43. © Pasquale Tarallo 43 Disposizioni Generali Ambito di Applicazione Materiale (A2) 1. Il GDPR si applica alle PERSONE FISICHE, a prescindere dalla nazionalità o dal luogo di residenza, in relazione al Trattamento dei loro dati personali contenuti in un archivio o destinati a figurarvi.
44. © Pasquale Tarallo 44 Disposizioni Generali (Capo I) Ambito di Applicazione Materiale (A2) (continua) 2. Il regolamento non si applica ai trattamenti di alcune categorie di Dati Personali (esplicitate nelle prossime diapositive).
45. © Pasquale Tarallo 45 Disposizioni Generali: Ambito di applicazione materiale Esclusioni • per attività che non rientrano nell'ambito di applicazione del diritto dell’UE • effettuato dagli Stati membri nell'esercizio di attività relative alla POLITICA ESTERA e di SICUREZZA NAZIONALE o COMUNE DELL’UE • effettuato dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di REATI O ESECUZIONE DI SANZIONI PENALI incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse. IL GDPR non si applica per il Trattamento dei dati personali effettuato
46. © Pasquale Tarallo 46 Disposizioni Generali: Ambito di applicazione materiale Esclusioni (continua) Inoltre, Il GDPR non si applica ai Trattamenti di dati personali effettuati da una persona fisica per l'esercizio di attività a carattere esclusivamente personale o domestico e quindi senza una connessione con un'attività commerciale o professionale. Le attività a carattere personale o domestico dovrebbero comprendere la corrispondenza e gli indirizzari, o l'uso dei social network e attività online intraprese nel quadro di tali attività. Tuttavia, il GDPR si applica comunque ai titolari del Trattamento o ai responsabili del Trattamento che forniscono i mezzi per trattare dati personali nell’ambito di tali attività a carattere personale o domestico.
47. © Pasquale Tarallo 47 Disposizioni Generali (Capo I) Ambito di Applicazione Materiale (A2) (continua) 3. Per il Trattamento dei dati personali da parte di istituzioni, organi, uffici e agenzie dell’Unione, si applica il regolamento (CE) n. 45/2001. Il regolamento (CE) n. 45/2001 e gli altri atti giuridici dell’Unione applicabili a tale Trattamento di dati personali devono essere adeguati ai principi e alle norme del presente regolamento conformemente all’articolo 98. 4. Il Regolamento non pregiudica pertanto l’applicazione della direttiva 2000/31/CE, in particolare le norme relative alla responsabilità dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva.
48. © Pasquale Tarallo 48 Disposizioni Generali (Capo I) Ambito di Applicazione Materiale (C15) • Al fine di evitare l’insorgere di gravi rischi di elusione, la protezione delle persone fisiche dovrebbe essere neutrale sotto il profilo tecnologico e non dovrebbe dipendere dalle tecniche impiegate. • La protezione delle persone fisiche dovrebbe applicarsi sia al Trattamento automatizzato che al Trattamento manuale dei dati personali, se i dati personali sono contenuti o destinati a essere contenuti in un archivio. • Non dovrebbero rientrare nell’ambito di applicazione del presente regolamento i fascicoli o le serie di fascicoli non strutturati secondo criteri specifici, così come le rispettive copertine.
49. © Pasquale Tarallo 49 Disposizioni Generali (Capo I) Ambito di Applicazione Materiale (C21) • Il presente regolamento non pregiudica l’applicazione della direttiva 2000/31/CE del Parlamento europeo e del Consiglio, in particolare delle norme relative alla responsabilità dei prestatori intermediari di servizi di cui agli articoli da 12 a 15 della medesima direttiva. • Detta direttiva mira a contribuire al buon funzionamento del mercato interno garantendo la libera circolazione dei servizi della società dell’informazione tra Stati membri.
50. © Pasquale Tarallo 50 Vediamo i Dettagli Esaminiamo in dettaglio l’Art.3 (A3) Ambito di Applicazione Territoriale (C22-25) Vediamo i Dettagli
51. © Pasquale Tarallo 51 Disposizioni Generali Ambito di Applicazione Territoriale (A3) 1. Il presente regolamento si applica al Trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento da parte di un titolare del Trattamento o di un responsabile del Trattamento nell’Unione, indipendentemente dal fatto che il Trattamento sia effettuato o meno nell’Unione
52. © Pasquale Tarallo 52 Disposizioni Generali Ambito di Applicazione Territoriale (C22) • Qualsiasi Trattamento di dati personali effettuato nell’ambito delle attività di uno stabilimento di un titolare del Trattamento o responsabile del Trattamento nel territorio dell’Unione dovrebbe essere conforme al presente regolamento, indipendentemente dal fatto che il Trattamento avvenga all’interno dell’Unione. • Lo stabilimento implica l’effettivo e reale svolgimento di attività nel quadro di un’organizzazione stabile. • A tale riguardo, non è determinante la forma giuridica assunta, sia essa una succursale o una filiale dotata di personalità giuridica.
53. © Pasquale Tarallo 53 Disposizioni Generali Ambito di Applicazione Territoriale (A3) 2. Il presente regolamento si applica al Trattamento dei Dati di Interessati che si trovano nell'Unione, effettuato da un titolare o da un responsabile che non è stabilito nell'Unione, quando le attività di Trattamento riguardano: • l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatorietà di un pagamento dell'interessato; • oppure il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione.
54. © Pasquale Tarallo 54 Disposizioni Generali Ambito di Applicazione Territoriale (C23) • Onde evitare che una persona fisica venga privata della protezione cui ha diritto in base al presente regolamento, è opportuno che questo disciplini il Trattamento dei dati personali degli interessati che si trovano nell’Unione effettuato da un titolare del Trattamento o da un responsabile del Trattamento non stabilito nell’Unione, quando le attività di Trattamento sono connesse all’offerta di beni o servizi a detti interessati indipendentemente dal fatto che vi sia un pagamento correlato.
55. © Pasquale Tarallo 55 Disposizioni Generali Ambito di Applicazione Territoriale (C23) (continua) • Per determinare se tale titolare o responsabile del Trattamento stia offrendo beni o servizi agli interessati che si trovano nell’Unione, è opportuno verificare se risulta che il titolare o il responsabile del Trattamento intenda fornire servizi agli interessati in uno o più Stati membri dell’Unione.
56. © Pasquale Tarallo 56 Disposizioni Generali Ambito di Applicazione Territoriale (C23) (continua) • Mentre la semplice accessibilità del sito web del titolare del Trattamento, del responsabile del Trattamento o di un intermediario nell’Unione, di un indirizzo di posta elettronica o di altre coordinate di contatto o l’impiego di una lingua abitualmente utilizzata nel paese terzo in cui il titolare del Trattamento è stabilito sono insufficienti per accertare tale intenzione, fattori quali l’utilizzo di una lingua o di una moneta abitualmente utilizzata in uno o più Stati membri, con la possibilità di ordinare beni e servizi in tale altra lingua, o la menzione di clienti o utenti che si trovano nell’Unione possono evidenziare l’intenzione del titolare o del responsabile del Trattamento di offrire beni o servizi agli interessati nell’Unione
57. © Pasquale Tarallo 57 Disposizioni Generali Ambito di Applicazione Territoriale (C24) • È opportuno che anche il Trattamento dei dati personali degli interessati che si trovano nell’Unione ad opera di un titolare del Trattamento o di un responsabile del Trattamento non stabilito nell’Unione sia soggetto al presente regolamento quando è riferito al monitoraggio del comportamento di detti interessati, nella misura in cui tale comportamento ha luogo all’interno dell’Unione. • Per stabilire se un’attività di Trattamento sia assimilabile al controllo del comportamento dell’interessato, è opportuno verificare se le persone fisiche sono tracciate su internet, compreso l’eventuale ricorso successivo a tecniche di Trattamento dei dati personali che consistono nella profilazione della persona fisica, in particolare per adottare decisioni che la riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali.
58. © Pasquale Tarallo 58 Disposizioni Generali Ambito di Applicazione Territoriale (A3) 3. Il presente regolamento si applica al Trattamento dei dati personali effettuato da un titolare che non è stabilito nell'Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico. (ad esempio in una a rappresentanza diplomatica o consolare
59. © Pasquale Tarallo 59 Disposizioni Generali Ambito di Applicazione Territoriale (C25) • Laddove vige il diritto di uno Stato membro in virtù del diritto internazionale pubblico, ad esempio nella rappresentanza diplomatica o consolare di uno Stato membro, il presente regolamento dovrebbe applicarsi anche a un titolare del Trattamento non stabilito nell’Unione.
60. © Pasquale Tarallo 60 Vediamo i Dettagli Esaminiamo in dettaglio l’Art.4 (A4) Definizioni (vari Considerando) Vediamo i Dettagli
61. © Pasquale Tarallo 61 Disposizioni Generali Definizioni
62. © Pasquale Tarallo 62 Disposizioni Generali - Definizioni Dato Personale (A4 comma 1) Un DATO PERSONALE è Qualsiasi informazione riguardante una persona fisica identificata o identificabile («Interessato») con particolare riferimento a un identificativo. Possibili identificativi • il nome, • un numero di identificazione, • i dati relativi all'ubicazione, • un identificativo online • uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica (dati biometrici), • uno o più elementi caratteristici della sua identità economica, culturale o sociale
63. © Pasquale Tarallo 63 Disposizioni Generali Il Dato Personale: alcune considerazioni dell’autore Secondo gli estensori del GDPR è auspicabile applicare i principi di protezione dei dati a tutte le informazioni relative a una persona fisica identificata o identificabile. Si noti che si utilizza in modo equivalente il termine DATO ed il termine INFORMAZIONE. I puristi potrebbero obiettare che il termine DATO è sinonimo di dato grezzo, primitivo, senza alcuna forma di Trattamento, mentre quando si parla di INFORMAZIONE si prevede già qualche forma di elaborazione, aggregazione, etc. Tuttavia, questa distinzione non emerge nel GDPR.
64. © Pasquale Tarallo 64 Disposizioni Generali Dato Personale (C26)
65. © Pasquale Tarallo 65 Disposizioni Generali Dato Personale (C26) (continua)
66. © Pasquale Tarallo 66 Disposizioni Generali Dato Personale (C26) (continua)
67. © Pasquale Tarallo 67 Disposizioni Generali Dato Personale (C27)
68. © Pasquale Tarallo 68 Disposizioni Generali Dato Personale (C30)
69. © Pasquale Tarallo 69 Disposizioni Generali - Definizioni Trattamento (A4 comma 2)
70. © Pasquale Tarallo 70 Disposizioni Generali Il Trattamento: qualche esempio riportati nell’Art. 4 Esempi di Trattamento dei dati personali sono: • la raccolta, • la registrazione, • l'organizzazione, • la strutturazione, • la conservazione, • l'adattamento o la modifica, • l'estrazione, • la consultazione, • l'uso, • la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, • il raffronto o l'interconnessione, • la limitazione, • la cancellazione, • la distruzione.
71. © Pasquale Tarallo 71 Disposizioni Generali . Definizioni Limitazione del Trattamento (A4 comma 3)
72. © Pasquale Tarallo 72 Disposizioni Generali La Limitazione del Trattamento (C67)
73. © Pasquale Tarallo 73 Disposizioni Generali La Limitazione del Trattamento (C67) (continua)
74. © Pasquale Tarallo 74 Disposizioni Generali - Definizioni Profilazione (A4 comma 4)
75. © Pasquale Tarallo 75 Disposizioni Generali - Definizioni Profilazione (A4 comma 4) (continua)
76. © Pasquale Tarallo 76 Disposizioni Generali - Definizioni La Profilazione (C24)
77. © Pasquale Tarallo 77 Disposizioni Generali - Definizioni La Profilazione (C24) (continua)
78. © Pasquale Tarallo 78 Disposizioni Generali - Definizioni La Profilazione (C30)
79. © Pasquale Tarallo 79 Disposizioni Generali - Definizioni La Profilazione (C71)
80. © Pasquale Tarallo 80 Disposizioni Generali - Definizioni La Profilazione (C71) (continua)
81. © Pasquale Tarallo 81 Disposizioni Generali - Definizioni La Profilazione (C71) (continua)
82. © Pasquale Tarallo 82 Disposizioni Generali - Definizioni La Profilazione (C71) (continua)
83. © Pasquale Tarallo 83 Disposizioni Generali - Definizioni La Profilazione (C71) (continua)
84. © Pasquale Tarallo 84 Disposizioni Generali - Definizioni La Profilazione (C71) (continua)
85. © Pasquale Tarallo 85 Disposizioni Generali - Definizioni La Profilazione (C71) (continua)
86. © Pasquale Tarallo 86 Disposizioni Generali - Definizioni La Profilazione (C72)
87. © Pasquale Tarallo 87 Disposizioni Generali - Definizioni Pseudonimizzazione (A4 comma 5)
88. © Pasquale Tarallo 88 Disposizioni Generali - Definizioni Pseudonimizzazione (C26)
89. © Pasquale Tarallo 89 Disposizioni Generali - Definizioni Pseudonimizzazione (C26) (continua)
90. © Pasquale Tarallo 90 Disposizioni Generali - Definizioni Pseudonimizzazione (C26) (continua)
91. © Pasquale Tarallo 91 Disposizioni Generali - Definizioni Pseudonimizzazione (C26) (continua)
92. © Pasquale Tarallo 92 Disposizioni Generali - Definizioni Pseudonimizzazione (C28)
93. © Pasquale Tarallo 93 Disposizioni Generali - Definizioni Pseudonimizzazione (C29)
94. © Pasquale Tarallo 94 Disposizioni Generali - Definizioni Pseudonimizzazione (C29) (continua)
95. © Pasquale Tarallo 95 Disposizioni Generali - Definizioni Archivio (A4 comma 6)
96. © Pasquale Tarallo 96 Disposizioni Generali - Definizioni Archivio (C15)
97. © Pasquale Tarallo 97 Disposizioni Generali - Definizioni Titolare del Trattamento (A4 comma 7)
98. © Pasquale Tarallo 98 Disposizioni Generali - Definizioni Titolare del Trattamento (C74)
99. © Pasquale Tarallo 99 Disposizioni Generali - Definizioni Titolare del Trattamento (C74) (continua)
100. © Pasquale Tarallo 100 Disposizioni Generali - Definizioni Responsabile del Trattamento (A4 comma 8)
101. © Pasquale Tarallo 101 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 1 di 10
102. © Pasquale Tarallo 102 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 2 di 10
103. © Pasquale Tarallo 103 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 3 di 10
104. © Pasquale Tarallo 104 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 4 di 10
105. © Pasquale Tarallo 105 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 5 di 11
106. © Pasquale Tarallo 106 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 6 di 10
107. © Pasquale Tarallo 107 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 7 di 11
108. © Pasquale Tarallo 108 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 8 di 10
109. © Pasquale Tarallo 109 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 9 di 10
110. © Pasquale Tarallo 110 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 10 di 10
111. © Pasquale Tarallo 111 Disposizioni Generali - Definizioni Il Responsabile: alcune considerazioni – 10 di 10
112. © Pasquale Tarallo 112 Disposizioni Generali - Definizioni Destinatario (A4 comma 9)
113. © Pasquale Tarallo 113 Disposizioni Generali - Definizioni Il Destinatario (C31)
114. © Pasquale Tarallo 114 Disposizioni Generali - Definizioni Il Destinatario (C31) (continua)
115. © Pasquale Tarallo 115 Disposizioni Generali - Definizioni Terzi (A4 comma 10)
116. © Pasquale Tarallo 116 Disposizioni Generali - Definizioni Consenso dell’Interessato (A4 comma 11)
117. © Pasquale Tarallo 117 Disposizioni Generali - Definizioni Consenso dell’Interessato (C32)
118. © Pasquale Tarallo 118 Disposizioni Generali - Definizioni Consenso dell’Interessato (C32) (continua)
119. © Pasquale Tarallo 119 Disposizioni Generali - Definizioni Consenso dell’Interessato (C32) (continua)
120. © Pasquale Tarallo 120 Disposizioni Generali - Definizioni Il Consenso (C33)
121. © Pasquale Tarallo 121 Disposizioni Generali - Definizioni Violazione dei dati personali (A4 comma 12)
122. © Pasquale Tarallo 122 Disposizioni Generali - Definizioni Violazione dei dati personali (C85)
123. © Pasquale Tarallo 123 Disposizioni Generali - Definizioni Violazione dei dati personali (C85) (continua)
124. © Pasquale Tarallo 124 Disposizioni Generali - Definizioni Dati Genetici (A4 comma 13)
125. © Pasquale Tarallo 125 Disposizioni Generali - Definizioni Dati Genetici (C34)
126. © Pasquale Tarallo 126 Disposizioni Generali - Definizioni Dati Biometrici (A4 comma 14)
127. © Pasquale Tarallo 127 Disposizioni Generali - Definizioni Dati Biometrici (C51)
128. © Pasquale Tarallo 128 Disposizioni Generali - Definizioni Dati Biometrici (C51) (continua)
129. © Pasquale Tarallo 129 Disposizioni Generali - Definizioni Dati Biometrici (C51) (continua)
130. © Pasquale Tarallo 130 Disposizioni Generali - Definizioni Dati Biometrici (C51) (continua)
131. © Pasquale Tarallo 131 Disposizioni Generali - Definizioni Dati relativi alla salute (A4 comma 15)
132. © Pasquale Tarallo 132 Disposizioni Generali - Definizioni Dati relativi alla salute (C35)
133. © Pasquale Tarallo 133 Disposizioni Generali - Definizioni Dati relativi alla salute (C35) (continua)
134. © Pasquale Tarallo 134 Disposizioni Generali - Definizioni Dati relativi alla salute (C35) (continua)
135. © Pasquale Tarallo 135 Disposizioni Generali - Definizioni Stabilimento Principale (A4 comma 16)
136. © Pasquale Tarallo 136 Disposizioni Generali - Definizioni Stabilimento Principale (A4 comma 16) (continua)
137. © Pasquale Tarallo 137 Disposizioni Generali - Definizioni Stabilimento Principale (C36)
138. © Pasquale Tarallo 138 Disposizioni Generali - Definizioni Stabilimento Principale (C36) (continua)
139. © Pasquale Tarallo 139 Disposizioni Generali - Definizioni Stabilimento Principale (C36) (continua)
140. © Pasquale Tarallo 140 Disposizioni Generali - Definizioni Stabilimento Principale (C36) (continua)
141. © Pasquale Tarallo 141 Disposizioni Generali - Definizioni Stabilimento Principale (C36) (continua)
142. © Pasquale Tarallo 142 Disposizioni Generali - Definizioni Stabilimento Principale (C37)
143. © Pasquale Tarallo 143 Disposizioni Generali - Definizioni Rappresentante (A4 comma 17)
144. © Pasquale Tarallo 144 Disposizioni Generali - Definizioni Il Rappresentante (C80)
145. © Pasquale Tarallo 145 Disposizioni Generali - Definizioni Il Rappresentante (C80) (continua)
146. © Pasquale Tarallo 146 Disposizioni Generali - Definizioni Il Rappresentante (C80) (continua)
147. © Pasquale Tarallo 147 Disposizioni Generali - Definizioni Il Rappresentante (C80) (continua)
148. © Pasquale Tarallo 148 Disposizioni Generali - Definizioni Impresa (A4 comma 18)
149. © Pasquale Tarallo 149 Disposizioni Generali - Definizioni Gruppo Imprenditoriale (A4 comma 19)
150. © Pasquale Tarallo 150 Disposizioni Generali - Definizioni Gruppo Imprenditoriale (C37)
151. © Pasquale Tarallo 151 Disposizioni Generali - Definizioni Gruppo Imprenditoriale (C37) (continua)
152. © Pasquale Tarallo 152 Disposizioni Generali - Definizioni Il Gruppo Imprenditoriale (C48)
153. © Pasquale Tarallo 153 Disposizioni Generali - Definizioni Norme Vincolanti di Impresa (A4 comma 20)
154. © Pasquale Tarallo 154 Disposizioni Generali - Definizioni Norme Vincolanti di Impresa (C37, già discusse, e C110)
155. © Pasquale Tarallo 155 Disposizioni Generali - Definizioni Autorità di Controllo (A4 comma 21)
156. © Pasquale Tarallo 156 Disposizioni Generali - Definizioni Autorità di Controllo Interessate (A4 comma 22)
157. © Pasquale Tarallo 157 Disposizioni Generali - Definizioni Autorità di Controllo Interessate (C124)
158. © Pasquale Tarallo 158 Disposizioni Generali - Definizioni Autorità di Controllo Interessate (C124) (continua)
159. © Pasquale Tarallo 159 Disposizioni Generali - Definizioni Autorità di Controllo Interessate (C124) (continua)
160. © Pasquale Tarallo 160 Disposizioni Generali - Definizioni Trattamento transfrontaliero (A4 comma 23)
161. © Pasquale Tarallo 161 Disposizioni Generali – Definizioni Obiezione pertinente e motivata (A4 comma 24)
162. © Pasquale Tarallo 162 Disposizioni Generali - Definizioni Servizio della Società dell’informazione (A4 comma 25)
163. © Pasquale Tarallo 163 Disposizioni Generali - Definizioni Organizzazione Internazionale (A4 comma 26)
164. 164 © Pasquale Tarallo 2 La Guida dell’Autorità Garante per la Protezione dei Dati Personali
165. © Pasquale Tarallo 165 Una chiave di Lettura al GDPR è suggerita dalla nostra Autorità Garante per la Protezione dei Dati Personali con una GUIDA La guida qui riportata • Trae origine dal testo redatto dalla nostra Autorità Garante per la Protezione dei Dati Personali (*) Inoltre • Tiene conto del modo in cui il nuovo Regolamento trova applicazione nel nuovo scenario digitale * L’autorità richiama l’attenzione sulla possibilità che in seguito si potranno apportare opportune integrazioni e modifiche alla Guida alla luce dell'evoluzione della riflessione a livello nazionale ed europeo
166. © Pasquale Tarallo 166 Trasferimento dei dati Approccio basato sul rischio & Accountability Titolare, Responsabile, e Incaricato del Trattamento Diritti degli interessati Informativa Fondamenti di liceità del Trattamento La nostra Autorità Garante ha preso in esame vari punti per spiegare i passi utili alla comprensione del GDPR
167. 167 © Pasquale Tarallo 3 I Fondamenti di Liceità
168. © Pasquale Tarallo 168 Fondamenti di liceità del Trattamento
169. © Pasquale Tarallo 169 I Fondamenti di Liceità Il regolamento conferma che ogni Trattamento deve trovare fondamento in un'idonea base giuridica; i fondamenti di liceità del Trattamento sono indicati all'art. 6 del regolamento e coincidono, in linea di massima, con quelli previsti attualmente dal Codice, ovvero: • il CONSENSO • l’adempimento ad OBBLIGHI CONTRATTUALI • gli INTERESSI VITALI della persona interessata o di terzi • gli OBBLIGHI DI LEGGE cui è soggetto il Titolare • l’INTERESSE PUBBLICO o l’ESERCIZIO DI PUBBLICI POTERI • l’INTERESSE LEGITTIMO prevalente del Titolare o di terzi cui i dati vengono comunicati.
170. © Pasquale Tarallo 170 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Il Consenso Cosa Bisogna Chiedersi ?
171. © Pasquale Tarallo 171 Cosa CAMBIA Il Consenso Cosa Cambia • DEVE essere ESPLICITO per i DATI SENSIBILI (si veda art. 9 Regolamento), anche per le DECISIONI basate su TRATTAMENTI AUTOMATIZZATI (compresa la profilazione – art. 22). • NON deve essere necessariamente DOCUMENTATO PER ISCRITTO, né è richiesta la "forma scritta", anche se questa è modalità idonea a configurare l'inequivocabilità del consenso e il suo essere esplicito (per i dati sensibili). • Il Titolare (art. 7.1) DEVE essere in grado di DIMOSTRARE che l'Interessato ha prestato il consenso a uno specifico Trattamento.. • Il consenso dei MINORI è valido a partire dai SEDICI ANNI: prima di tale età occorre raccogliere il consenso dei genitori o di chi ne fa le veci.
172. © Pasquale Tarallo 172 Cosa è INVARIATO Il Consenso Cosa è Invariato • DEVE ESSERE, in tutti i casi, LIBERO, SPECIFICO, INFORMATO E INEQUIVOCABILE • NON È AMMESSO IL CONSENSO TACITO O PRESUNTO (no a caselle pre-spuntate su un modulo). • DEVE ESSERE MANIFESTATO attraverso una apposita dichiarazione o azione positiva inequivocabile (gli approfondimenti sono riportati nei considerando 39 e 42 del regolamento)
173. © Pasquale Tarallo 173 Ancora sul Consenso – 1 di 3
174. © Pasquale Tarallo 174 Ancora sul Consenso – 2 di 3
175. © Pasquale Tarallo 175 Ancora sul Consenso – 3 di 3
176. © Pasquale Tarallo 176 Cosa CAMBIA L’Interesse Vitale di un Terzo Cosa Cambia • Il Regolamento per la Protezione dei Dati Personali consente di invocare l’INTERESSE VITALE DI UN TERZO unicamente nel caso in cui nessuna delle altre condizioni di liceità può trovare applicazione (sul punto vale il Considerando 46)
177. © Pasquale Tarallo 177 Cosa è INVARIATO L’Interesse Vitale di un Terzo Cosa è Invariato • Dalla Guida dell’Autorità si evince che non vi sono indicazioni del Regolamento su questo punto che lascino invariati norme o disposizioni della legislazione attualmente in vigore.
178. © Pasquale Tarallo 178 Cosa CAMBIA L’Interesse Legittimo Prevalente di un Titolare o di un Terzo - Cosa Cambia • Il BILANCIAMENTO fra legittimo interesse del Titolare o del terzo e diritti e libertà dell'Interessato non spetta all'Autorità ma è COMPITO DELLO STESSO TITOLARE* DEL TRATTAMENTO. * Il Regolamento fa leva sul cosiddetto principio di RESPONSABILIZZAZIONE (ACCOUNTABILITY) introdotto per indurre il Titolare a mettere in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il Trattamento sia effettuato conformemente al Regolamento. medesimo. Sul punto di torna in seguito.
179. © Pasquale Tarallo 179 Cosa è INVARIATO L’Interesse Legittimo Prevalente di un Titolare o di un Terzo - Cosa è Invariato • L'interesse legittimo del Titolare o del terzo DEVE PREVALERE sui diritti e le libertà fondamentali dell'Interessato per costituire un valido fondamento di liceità. • Il Regolamento sancisce espressamente che l'interesse legittimo del Titolare NON COSTITUISCE IDONEA BASE GIURIDICA per i trattamenti svolti dalle autorità pubbliche in esecuzione dei rispettivi compiti.
180. © Pasquale Tarallo 180 Ancora sull’Interesse Legittimo – 1 di 2
181. © Pasquale Tarallo 181 Ancora sull’Interesse Legittimo – 2 di 2
182. 182 © Pasquale Tarallo 4 L’Informativa
183. © Pasquale Tarallo 183 Fondamenti di liceità del Trattamento Informativa
184. © Pasquale Tarallo 184 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR L’Informativa
185. © Pasquale Tarallo 185 Cosa CAMBIA L’Informativa – Contenuti ed Obblighi del Titolare Cosa Cambia – 1 di 3 CONTENUTI DELL’INFORMATIVA I contenuti dell'informativa sono elencati in modo tassativo dal Regolamento negli articoli 13, paragrafo 1, e 14, paragrafo 1, del regolamento e in parte SONO PIÙ AMPI RISPETTO AL CODICE. In questo senso il Regolamento prevede che IL TITOLARE DEVE SEMPRE specificare • i dati di contatto del Responsabile per la Protezione dei Dati (in italiano RPD oppure in inglese DPO) se esistente • la base giuridica del Trattamento • qual è il suo interesse legittimo se quest'ultimo costituisce la base giuridica del Trattamento.
186. © Pasquale Tarallo 186 Cosa CAMBIA L’Informativa – Contenuti ed Obblighi del Titolare Cosa Cambia – 2 di 3 CONTENUTI DELL’INFORMATIVA Inoltre il Titolare DEVE SEMPRE specificare • se trasferisce i dati personali in Paesi terzi e, in caso affermativo, attraverso quali strumenti, come ad esempio:  si tratta di un Paese terzo giudicato adeguato dalla Commissione europea  si utilizzano Regole Vincolanti per aziende multinazionali con più sedi locali (Binding Corporate Rules – BCR) per trasferimenti infragruppo  sono state inserite specifiche clausole contrattuali modello, ecc..
187. © Pasquale Tarallo 187 Cosa CAMBIA L’Informativa – Contenuti ed Obblighi del Titolare Cosa Cambia – 3 di 3 CONTENUTI DELL’INFORMATIVA • Il Regolamento prevede anche ulteriori informazioni in quanto «necessarie per garantire un Trattamento corretto e trasparente». In particolare, il Titolare deve specificare:  il periodo di conservazione dei dati o i criteri seguiti per stabilire tale periodo di conservazione  il diritto di presentare un reclamo all'autorità di controllo  se il Trattamento comporta processi decisionali automatizzati (anche la profilazione), l'informativa deve specificarlo  deve indicare anche la logica di tali processi decisionali e le conseguenze previste per l'Interessato.
188. © Pasquale Tarallo 188 Cosa CAMBIA L’Informativa – Tempistica Cosa Cambia TEMPI DELL'INFORMATIVA • Nel caso di dati personali non raccolti direttamente presso l'Interessato l'informativa deve essere fornita entro un termine ragionevole che non può superare 1 mese dalla raccolta, • oppure al momento della comunicazione (NON della registrazione) dei dati (a terzi o all'Interessato)
189. © Pasquale Tarallo 189 Cosa CAMBIA L’Informativa - Modalità Cosa Cambia MODALITÀ DELL'INFORMATIVA Il Regolamento specifica molto più in dettaglio rispetto al Codice le caratteristiche dell'informativa, che deve avere forma • concisa • trasparente • intelligibile • e facilmente accessibile per l'Interessato occorre utilizzare un linguaggio chiaro e semplice, e per i minori occorre prevedere informative idonee (come riportato anche dal Considerando 58).
190. © Pasquale Tarallo 190 Cosa CAMBIA L’Informativa - Modalità Cosa Cambia MODALITÀ DELL'INFORMATIVA • L'informativa è data, in linea di principio, per iscritto e preferibilmente in formato elettronico (soprattutto nel contesto di servizi online) anche se sono ammessi "altri mezzi", quindi può essere fornita anche oralmente, ma nel rispetto delle caratteristiche di cui sopra (art. 12, paragrafo 1). • Il Regolamento ammette l'utilizzo di icone per presentare i contenuti dell'informativa in forma sintetica, ma solo "in combinazione" con l'informativa estesa. Le icone dovranno essere identiche in tutta l'Ue e saranno definite prossimamente dalla Commissione europea.
191. © Pasquale Tarallo 191 Cosa CAMBIA L’Informativa - Modalità Cosa Cambia MODALITÀ DELL'INFORMATIVA • Sono inoltre parzialmente diversi i requisiti che il Regolamento fissa per l'esonero dall'informativa (come si esplicita nell’art. 13, paragrafo 4 e art. 14, paragrafo 5 del regolamento, oltre a quanto previsto nell'articolo 23, paragrafo 1, di quest'ultimo) , • Spetta al Titolare, in caso di dati personali raccolti da fonti diverse dall'Interessato, valutare se la prestazione dell'informativa agli interessati comporti uno sforzo sproporzionato
192. © Pasquale Tarallo 192 Cosa è INVARIATO L’Informativa - Modalità Cosa è Invariato MODALITÀ DELL'INFORMATIVA • L'informativa deve essere fornita all'Interessato prima di effettuare la raccolta dei dati (se raccolti direttamente presso l'Interessato, come si evince nell’art. 13). • Se i dati non sono raccolti direttamente presso l'Interessato (art.14), l'informativa deve comprendere anche le categorie dei dati personali oggetto di Trattamento.
193. © Pasquale Tarallo 193 Cosa è INVARIATO L’Informativa - Modalità Cosa è Invariato MODALITÀ DELL'INFORMATIVA • In tutti i casi, il Titolare deve specificare la propria identità e quella dell'eventuale rappresentante nel territorio italiano, le finalità del Trattamento, i diritti degli interessati (compreso il diritto alla portabilità dei dati), se esiste un Responsabile del Trattamento e la sua identità, e quali sono i destinatari dei dati. NOTA: ogni volta che le finalità cambiano si impone di informarne l'Interessato prima di procedere al Trattamento ulteriore.
194. © Pasquale Tarallo 194 Ancora sull’Informativa - 1 di 5
195. © Pasquale Tarallo 195 Ancora sull’Informativa - 2 di 5
196. © Pasquale Tarallo 196 Ancora sull’Informativa - 3 di 5
197. © Pasquale Tarallo 197 Ancora sull’Informativa - 1 di 5
198. © Pasquale Tarallo 198 Ancora sull’Informativa - 1 di 5
199. 199 © Pasquale Tarallo 5 I Diritti degli Interessati
200. © Pasquale Tarallo 200 I Diritti degli Interessati Il Regolamento disciplina • Il diritto di ACCESSO • Il diritto di cancellazione (DIRITTO ALL’OBLIO) • Il diritto alla LIMITAZIONE DEL TRATTAMENTO • Il diritto alla PORTABILITÀ DEI DATI • le Modalità per l’ESERCIZIO DEI DIRITTI
201. © Pasquale Tarallo 201 Fondamenti di liceità del Trattamento Informativa Diritti degli interessati
202. © Pasquale Tarallo 202 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Modalità per l’esercizio dei diritti Cosa è Cambiato
203. © Pasquale Tarallo 203 Modalità per l’esercizio dei diritti Cosa è cambiato – 1 di 2 • Il termine per la risposta all'Interessato è, per tutti i diritti (compreso il diritto di accesso), 1 mese, estendibili fino a 3 mesi in casi di particolare complessità • il Titolare deve comunque dare un riscontro all'Interessato ENTRO 1 MESE DALLA RICHIESTA, anche in caso di diniego • SPETTA AL TITOLARE valutare la complessità del riscontro all'Interessato e stabilire l'ammontare dell'eventuale contributo da chiedere all'Interessato, ma soltanto se si tratta di richieste manifestamente infondate o eccessive (anche ripetitive) (art. 12.5) , a differenza di quanto prevedono gli art. 9, comma 5, e 10, commi 7 e 8, del Codice=, ovvero se sono chieste più "copie" dei dati personali nel caso del diritto di accesso (art. 15, paragrafo 3. Cosa CAMBIA
204. © Pasquale Tarallo 204 Modalità per l’esercizio dei diritti Cosa è cambiato – 2 di 2 • Nel caso di richieste di più copie il Titolare deve tenere conto dei costi amministrativi sostenuti. • Il riscontro all'Interessato di regola deve avvenire in forma scritta anche attraverso strumenti elettronici che ne favoriscano l'accessibilità • Può essere dato oralmente solo se così richiede l'Interessato (art. 12, paragrafo 1; oppure anche art. 15, paragrafo 3) • La risposta fornita all'Interessato non deve essere solo "intelligibile", ma anche CONCISA, TRASPARENTE E FACILMENTE ACCESSIBILE, oltre a utilizzare un LINGUAGGIO SEMPLICE E CHIARO. Cosa CAMBIA
205. © Pasquale Tarallo 205 Modalità per l’esercizio dei diritti Cosa è Invariato – 1 di 2 • Il Titolare del Trattamento deve agevolare l'esercizio dei diritti da parte dell'Interessato, adottando ogni misura (tecnica e organizzativa) a ciò idonea. • Benché sia il solo Titolare a dover dare riscontro in caso di esercizio dei diritti (artt. 15-22), il responsabile è tenuto a collaborare con il titolare ai fini dell'esercizio dei diritti degli interessati (art. 28, paragrafo 3, lettera e), • L'esercizio dei diritti è, in linea di principio, gratuito per l'Interessato, ma possono esservi eccezioni (riportate nelle slide precedenti, dove abbiamo visto cosa cambia). • Il Titolare ha il diritto di chiedere informazioni necessarie a identificare l'Interessato, e quest'ultimo ha il dovere di fornirle, secondo modalità idonee (come disciplinato, in particolare, agli art. 11, paragrafo 2 e art. 12, paragrafo 6) Cosa è INVARIATO
206. © Pasquale Tarallo 206 Modalità per l’esercizio dei diritti Cosa è Invariato – 2 di 2 • Sono ammesse deroghe ai diritti riconosciuti dal Regolamento, ma solo sul fondamento di disposizioni normative nazionali ai sensi dell'articolo 23 nonché di altri articoli relativi ad ambiti specifici (si vedano, in particolare, art. 17, paragrafo 3, per quanto riguarda il diritto alla cancellazione/"oblio", art. 83 trattamenti di natura giornalistica e art. 89 trattamenti per finalità di ricerca scientifica o storica o di statistica). • In via generale, possono continuare a essere applicate tutte le deroghe previste dall'art. 8, comma 2, del Codice in quanto compatibili con le disposizioni citate. • Al momento il Garante sta valutando la piena rispondenza delle disposizioni del Codice con altri requisiti fissati per la legislazione nazionale per renderla coerente con il Regolamento Cosa è INVARIATO
207. © Pasquale Tarallo 207 Esercizio dei diritti Ulteriori Raccomandazioni – 1 di 2
208. © Pasquale Tarallo 208 Esercizio dei diritti Ulteriori Raccomandazioni – 2 di 2
209. © Pasquale Tarallo 209 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Diritto di accesso
210. © Pasquale Tarallo 210 Diritto di accesso Cosa Cambia • Il diritto di accesso prevede in ogni caso il DIRITTO DI RICEVERE UNA COPIA DEI DATI personali oggetto di Trattamento. • Fra le informazioni che il Titolare deve fornire non rientrano le "modalità" del Trattamento, mentre occorre INDICARE IL PERIODO DI CONSERVAZIONE previsto o, se non è possibile, i criteri utilizzati per definire tale periodo, nonché le garanzie applicate in caso di trasferimento dei dati verso Paesi terzi. Cosa CAMBIA
211. © Pasquale Tarallo 211 Diritto d accesso Cosa è Invariato • Dalla Guida dell’Autorità si evince che non vi sono indicazioni del Regolamento su questo punto che lascino invariati norme o disposizioni della legislazione attualmente in vigore. Cosa è INVARIATO
212. © Pasquale Tarallo 212 Ancora sul Diritto di Accesso
213. © Pasquale Tarallo 213 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Diritto di cancellazione/all’oblio
214. © Pasquale Tarallo 214 Diritto alla cancellazione/all’oblio Cosa cambia • Il diritto cosiddetto "all'oblio" si configura come un diritto alla cancellazione dei propri dati personali in forma rafforzata. • Si prevede, infatti, l'obbligo per i titolari (se hanno "reso pubblici" i dati personali dell'Interessato: ad esempio, pubblicandoli su un sito web) di informare della richiesta di cancellazione altri titolari che trattano i dati personali cancellati, compresi "qualsiasi link, copia o riproduzione (come si evince dall’art. 17 paragrafo 2). • Ha un campo di applicazione più esteso di quello espresso dal Codice (art.7, comma 3, lettera b), poiché l'Interessato ha il diritto di chiedere la cancellazione dei propri dati, per esempio, anche dopo revoca del consenso al Trattamento (come si evince dall’art. 17 paragrafo 1). Cosa CAMBIA
215. © Pasquale Tarallo 215 Diritto alla cancellazione/all’oblio Cosa è Invariato Dalla Guida dell’Autorità si evince che non vi sono indicazioni del Regolamento su questo punto che lascino invariati norme o disposizioni della legislazione attualmente in vigore. Cosa è INVARIATO
216. © Pasquale Tarallo 216 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Diritto di Limitazione del Trattamento
217. © Pasquale Tarallo 217 Diritto di Limitazione del Trattamento Cosa Cambia • Si tratta di un diritto diverso e più esteso rispetto al "blocco" del Trattamento di cui all'art. 7, comma 3, lettera a), del Codice: in particolare, È ESERCITABILE NON SOLO IN CASO DI VIOLAZIONE DEI PRESUPPOSTI DI LICEITÀ DEL TRATTAMENTO (quale alternativa alla cancellazione dei dati stessi), BENSÌ ANCHE SE L'INTERESSATO CHIEDE LA RETTIFICA DEI DATI (in attesa di tale rettifica da parte del Titolare) O SI OPPONE AL LORO TRATTAMENTO ai sensi dell'art. 21 del regolamento (in attesa della valutazione da parte del Titolare). • Esclusa la conservazione, OGNI ALTRO TRATTAMENTO DEL DATO DI CUI SI CHIEDE LA LIMITAZIONE È VIETATO a meno che ricorrano determinate circostanze (consenso dell'Interessato, accertamento diritti in sede giudiziaria, tutela diritti di altra persona fisica o giuridica, interesse pubblico rilevante). Cosa CAMBIA
218. © Pasquale Tarallo 218 Diritto di Limitazione del Trattamento Cosa è Invariato • Dalla Guida dell’Autorità si evince che non vi sono indicazioni del Regolamento su questo punto che lascino invariati norme o disposizioni della legislazione attualmente in vigore. Cosa è INVARIATO
219. © Pasquale Tarallo 219 Ancora sulle Limitazioni del Trattamento
220. © Pasquale Tarallo 220 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Diritto alla portabilità dei dati
221. © Pasquale Tarallo 221 Diritto alla portabilità dei dati Cosa Cambia • Si tratta di uno dei nuovi diritti previsti dal Regolamento, anche se non è del tutto sconosciuto ai consumatori (si pensi alla portabilità del numero telefonico). • Non si applica ai trattamenti non automatizzati (quindi non si applica agli archivi o registri cartacei) e sono previste specifiche condizioni per il suo esercizio. • Sono portabili solo i dati trattati con il consenso dell'Interessato o sulla base di un contratto stipulato con l'Interessato (quindi non si applica ai dati il cui Trattamento si fonda sull'interesse pubblico o sull'interesse legittimo del Titolare, per esempio), e solo i dati che siano stati "forniti" dall'Interessato al Titolare. • Il Titolare deve essere in grado di trasferire direttamente i dati portabili a un altro Titolare indicato dall'Interessato, se tecnicamente possibile. Cosa CAMBIA
222. © Pasquale Tarallo 222 Diritto alla portabilità dei dati Cosa è Invariato • Essendo una nuova disposizione prevista dal Regolamento non vi sono norme o disposizioni nella legislazione attualmente in vigore. Cosa è INVARIATO
223. © Pasquale Tarallo 223 Ancora sul Diritto alla Portabilità dei Dati - 1 di 2
224. © Pasquale Tarallo 224 Ancora sul Diritto alla Portabilità dei Dati - 2 di 2
225. 225 © Pasquale Tarallo 6 Titolare, responsabile, incaricato del Trattamento
226. © Pasquale Tarallo 226 Fondamenti di liceità del Trattamento Informativa Diritti degli interessati Titolare, Responsabile, e Incaricato del Trattamento
227. © Pasquale Tarallo 227 Titolare, Responsabile, Incaricato del Trattamento Cosa è INVARIATOCosa CAMBIA Diventa opportuno chiedersi Diventa opportuno chiedersi
228. © Pasquale Tarallo 228 Titolare, Responsabile, Incaricato Cosa Cambia – 1 di 4 • All’art. 26 del Regolamento si disciplina LA CONTITOLARITÀ DEL TRATTAMENTO E SI IMPONE AI TITOLARI DI DEFINIRE SPECIFICAMENTE (con un atto giuridicamente valido ai sensi del diritto nazionale) IL RISPETTIVO AMBITO DI RESPONSABILITÀ E I COMPITI CON PARTICOLARE RIGUARDO ALL'ESERCIZIO DEI DIRITTI DEGLI INTERESSATI, che hanno comunque la possibilità di rivolgersi indifferentemente a uno qualsiasi dei titolari operanti congiuntamente. • Si fissano più dettagliatamente (rispetto all'art. 29 del Codice) le CARATTERISTICHE DELL'ATTO con cui il Titolare designa un Responsabile del Trattamento attribuendogli specifici compiti: deve trattarsi, infatti, di un contratto (o altro atto giuridico conforme al diritto nazionale). Cosa CAMBIA
229. © Pasquale Tarallo 229 Titolare, Responsabile, Incaricato Cosa Cambia – 2 di 4 • L'atto con cui il Titolare designa un Responsabile del Trattamento deve disciplinare tassativamente almeno le materie riportate dal Regolamento al fine di dimostrare che il Responsabile fornisce "garanzie sufficienti" su:  la NATURA  la DURATA  le FINALITÀ DEL TRATTAMENTO o dei trattamenti assegnati  le CATEGORIE DI DATI oggetto di Trattamento,  le MISURE TECNICHE E ORGANIZZATIVE adeguate a consentire il rispetto delle istruzioni impartite dal Titolare e, in via generale, delle disposizioni contenute nel Regolamento. Cosa CAMBIA
230. © Pasquale Tarallo 230 Titolare, Responsabile, Incaricato Cosa Cambia – 3 di 4 • Si consente (art. 28 par. 4) la nomina di sub- responsabili del Trattamento da parte di un Responsabile, per specifiche attività di Trattamento, nel rispetto degli stessi obblighi contrattuali che legano Titolare e Responsabile primario • il Responsabile risponde dinanzi al Titolare dell'inadempimento dell'eventuale sub-Responsabile, anche ai fini del risarcimento di eventuali danni causati dal Trattamento, salvo dimostri che l'evento dannoso "non gli è in alcun modo imputabile« (art,82 par, 1 e 3).Cosa CAMBIA
231. © Pasquale Tarallo 231 Titolare, Responsabile, Incaricato Cosa Cambia - 4 di 4 • Si prevedono obblighi specifici in capo ai responsabili del Trattamento, in quanto distinti da quelli pertinenti ai rispettivi titolari. Ciò riguarda, in particolare:  la tenuta del REGISTRO DEI TRATTAMENTI svolti  L'ADOZIONE DI IDONEE MISURE TECNICHE E ORGANIZZATIVE per garantire la sicurezza dei trattamenti  la designazione di un RPD-DPO, nei casi previsti dal Regolamento o dal diritto nazionale. • Si ricorda, infine, che anche il Responsabile non stabilito nell'Ue dovrà designare un rappresentante in Italia quando ricorrono particolari condizioni di cui all'art. 27, paragrafo 3, del regolamento – diversamente da quanto prevede oggi l'art. 5, comma 2, del Codice. • Cosa CAMBIA
232. © Pasquale Tarallo 232 Titolare, Responsabile, Incaricato Cosa è Cambiato • Il Regolamento definisce caratteristiche soggettive e responsabilità di Titolare e Responsabile del Trattamento negli stessi termini di cui alla direttiva 95/46/CE (e, quindi, al Codice italiano). • Pur non prevedendo espressamente la figura dell' "incaricato" del Trattamento, il Regolamento non ne esclude la presenza in quanto fa riferimento a "persone autorizzate al Trattamento dei dati personali sotto l'autorità diretta del Titolare o del Responsabile (come si evince in particolare, all’art. 4, n. 10, del regolamento) . Cosa è INVARIATO
233. © Pasquale Tarallo 233 Ancora sul Titolare, il Responsabile, l’Incaricato - 1 di 7
234. © Pasquale Tarallo 234 Ancora sul Titolare, il Responsabile, l’Incaricato - 2 di 7
235. © Pasquale Tarallo 235 Ancora sul Titolare, il Responsabile, l’Incaricato - 3 di 7
236. © Pasquale Tarallo 236 Ancora sul Titolare, il Responsabile, l’Incaricato - 4 di 7
237. © Pasquale Tarallo 237 Ancora sul Titolare, il Responsabile, l’Incaricato - 5 di 7
238. © Pasquale Tarallo 238 Ancora sul Titolare, il Responsabile, l’Incaricato - 6 di 7
239. © Pasquale Tarallo 239 Ancora sul Titolare, il Responsabile, l’Incaricato - 7 di 7
240. 240 © Pasquale Tarallo 7 Approccio basato sul rischio e responsabilizzazione
241. © Pasquale Tarallo 241 Fondamenti di liceità del Trattamento Informativa Diritti degli interessati Titolare, Responsabile, e Incaricato del Trattamento Approccio basato sul rischio & Accountability
242. © Pasquale Tarallo 242 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Approccio basato sul rischio e responsabilizzazione
243. © Pasquale Tarallo 243 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 1 di 8 • Il Regolamento pone con forza l'accento sulla capacità di dare conto con responsabilità (ACCOUNTABILITY nell'accezione inglese) dei titolari e dei responsabili – ossia, sulla rispettiva capacità di dare luogo a comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l'applicazione del Regolamento (come si legge (si negli artt. 23-25, in particolare, e l'intero Capo IV). • Si tratta di una GRANDE NOVITÀ PER LA PROTEZIONE DEI DATI in quanto viene affidato ai titolari il compito di decidere autonomamente le modalità, le garanzie e i limiti del Trattamento dei dati personali – nel rispetto delle disposizioni normative e alla luce di alcuni criteri specifici indicati nel Regolamento.
244. © Pasquale Tarallo 244 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 2 di 8 • Uno dei primi criteri individuati per l’accountability è sintetizzato dalle due espressioni inglesi «DATA PROTECTION BY DEFAULT» e DATA PROTECTION BY DESIGN", ossia dalla NECESSITÀ DI CONFIGURARE IL TRATTAMENTO PREVEDENDO FIN DALL'INIZIO LE GARANZIE INDISPENSABILI "al fine di soddisfare i requisiti" del Regolamento e tutelare i diritti degli interessati – tenendo conto del contesto complessivo ove il Trattamento si colloca e dei rischi per i diritti e le libertà degli interessati.
245. © Pasquale Tarallo 245 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 3 di 8 • Quanto fin qui delineato deve avvenire a monte, prima di procedere al Trattamento dei dati vero e proprio ("sia al momento di determinare i mezzi del Trattamento sia all'atto del Trattamento stesso«, secondo quanto afferma l'art. 25 del regolamento, e richiede, pertanto, un'analisi preventiva sugli impatti relativi alla protezione dei dato (DPIA – DATA PROTECION IMPACT ASSESSMENT) e un impegno applicativo da parte dei titolari che devono sostanziarsi in una serie di attività specifiche e dimostrabili.
246. © Pasquale Tarallo 246 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 4 di 8 • Fondamentali fra tali attività sono quelle connesse al secondo criterio individuato nel Regolamento rispetto alla gestione degli obblighi dei titolari, ossia il rischio inerente al Trattamento, ovvero il RISCHIO DI IMPATTI NEGATIVI sulle libertà e i diritti degli interessati (come esplicitano nei (si vedano considerando 75-77).
247. © Pasquale Tarallo 247 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 5 di 8 • Gli impatti dovranno essere analizzati attraverso un apposito PROCESSO DI VALUTAZIONE (come disciplinato negli art, 35-36) o PIA, cioè Privacy Impact Assessment, tenendo conto dei rischi noti o evidenziabili e delle misure tecniche e organizzative (anche di sicurezza) che il Titolare ritiene di dover adottare per mitigare tali rischi.
248. © Pasquale Tarallo 248 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 6 di 8 • All'esito di questa valutazione di impatto il Titolare potrà decidere in autonomia se iniziare il Trattamento (avendo adottato le misure idonee a mitigare sufficientemente il rischio) ovvero consultare l'autorità di controllo competente per ottenere indicazioni su come gestire il rischio residuale. • L'autorità non avrà il compito di "autorizzare" il Trattamento, bensì di indicare le misure ulteriori eventualmente da implementare a cura del Titolare e potrà (come disposto all’art. 58 del Regolamento), ove necessario, adottare tutte le misure correttive:  ammonimento del Titolare  limitazione, oppure  divieto di procedere al Trattamento.
249. © Pasquale Tarallo 249 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 7 di 8 • L'intervento delle autorità di controllo sarà quindi principalmente "ex post", ossia si collocherà successivamente alle determinazioni assunte autonomamente dal Titolare. • Questo spiega l'ABOLIZIONE a partire dal 25 maggio 2018 di alcuni istituti finora previsti, come la NOTIFICA PREVENTIVA dei trattamenti all'autorità di controllo e il cosiddetto PRIOR CHECKING (O VERIFICA PRELIMINARE), sostituiti da obblighi di tenuta di un Registro dei trattamenti da parte del Titolare/Responsabile e, appunto, di effettuazione di valutazioni di impatto in piena autonomia.
250. © Pasquale Tarallo 250 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Cosa Cambia – 8 di 8 • Alle autorità di controllo, e in particolare al "Comitato europeo della protezione dei dati" (l'erede dell'attuale Gruppo "Articolo 29") spetterà un ruolo fondamentale al fine di garantire uniformità di approccio e fornire ausili interpretativi e analitici: il Comitato è chiamato, infatti, a produrre linee-guida e altri documenti di indirizzo su queste e altre tematiche connesse, anche per garantire quegli adattamenti che si renderanno necessari alla luce dello sviluppo delle tecnologie e dei sistemi di Trattamento dati.
251. © Pasquale Tarallo 251 Cosa CAMBIA Approccio basato sul rischio e responsabilizzazione Registro dei trattamenti – Cosa Cambia • Tutti i titolari e i responsabili di Trattamento, eccettuati gli organismi con meno di 250 dipendenti ma solo se non effettuano trattamenti a rischio, devono tenere un Registro delle operazioni di Trattamento. • Si tratta di uno strumento fondamentale non soltanto ai fini dell'eventuale supervisione da parte del Garante, ma anche allo scopo di disporre di un quadro aggiornato dei trattamenti in essere all'interno di un'azienda o di un soggetto pubblico – indispensabile per ogni valutazione e analisi del rischio. • Il Registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante.
252. © Pasquale Tarallo 252 Ancora sul Registro dei Trattamenti – 1 di 3
253. © Pasquale Tarallo 253 Ancora sul Registro dei Trattamenti – 2 di 3
254. © Pasquale Tarallo 254 Ancora sul Registro dei Trattamenti – 3 di 3
255. © Pasquale Tarallo 255 Approccio basato sul rischio e responsabilizzazione Misure di sicurezza – Cosa Cambia – 1 di 3 • Le misure di sicurezza devono "garantire un livello di sicurezza adeguato al rischio" del Trattamento (art. 32, paragrafo 1); in questo senso, la lista di cui al paragrafo 1 dell'art. 32 è una lista aperta e non esaustiva ("tra le altre, se del caso"). • Per lo stesso motivo, non potranno sussistere dopo il 25 maggio 2018 obblighi generalizzati di adozione di misure "minime" di sicurezza (ex art. 33 Codice) poiché tale valutazione sarà rimessa, caso per caso, al titolare e al responsabile in rapporto ai rischi specificamente individuati come da art. 32 del regolamento.Cosa CAMBIA
256. © Pasquale Tarallo 256 Approccio basato sul rischio e responsabilizzazione Misure di sicurezza – Cosa Cambia – 2 di 3 • Si richiama l'attenzione anche sulla possibilità di utilizzare l'adesione a specifici codici di condotta o a schemi di certificazione per attestare l'adeguatezza delle misure di sicurezza adottate. • Tuttavia, facendo anche riferimento alle prescrizioni contenute, in particolare, nell'Allegato "B" al Codice, l'Autorità potrà valutare la definizione di linee-guida o buone prassi sulla base dei risultati positivi conseguiti in questi anni. Cosa CAMBIA
257. © Pasquale Tarallo 257 Approccio basato sul rischio e responsabilizzazione Misure di sicurezza – Cosa Cambia – 2 di 3 • Per alcune tipologie di trattamenti (quelli di cui all'art. 6, paragrafo 1), lettere c) ed e) del regolamento) potranno restare in vigore (in base all'art. 6, paragrafo 2, del regolamento) le misure di sicurezza attualmente previste attraverso le disposizioni di legge volta per volta applicabili: è il caso, in particolare, dei trattamenti di dati sensibili svolti dai soggetti pubblici per finalità di rilevante interesse pubblico nel rispetto degli specifici regolamenti attuativi (ex artt. 20 e 22 Codice), ove questi ultimi contengano disposizioni in materia di sicurezza dei trattamenti. •Cosa CAMBIA
258. © Pasquale Tarallo 258 Approccio basato sul rischio e responsabilizzazione Violazione dei dati (data Breach) – Cosa Cambia • A partire dal 25 maggio 2018, tutti i titolari – e non soltanto i fornitori di servizi di comunicazione elettronica accessibili al pubblico, come avviene oggi – dovranno notificare all'autorità di controllo le violazioni di dati personali di cui vengano a conoscenza, entro 72 ore e comunque "senza ingiustificato ritardo", ma soltanto se ritengono probabile che da tale violazione derivino rischi per i diritti e le libertà degli interessati (si veda considerando 85). • La notifica all'autorità dell'avvenuta violazione non è obbligatoria, essendo subordinata alla valutazione del rischio per gli interessati che spetta, ancora una volta, al titolare. Cosa CAMBIA
259. © Pasquale Tarallo 259 Approccio basato sul rischio e responsabilizzazione Violazione dei dati (data Breach) – Cosa Cambia • Se la probabilità di tale rischio è elevata, si dovrà informare delle violazione anche gli interessati, sempre "senza ingiustificato ritardo"; fanno eccezione le circostanze indicate al paragrafo 3 dell'art. 34, che coincidono solo in parte con quelle attualmente menzionate nell'art. 32-bis del Codice. • I contenuti della notifica all'autorità e della comunicazione agli interessati sono indicati, in via non esclusiva, agli artt. 33 e 34 del regolamento. • Su questo e su tutta la disciplina in materia, il Comitato europeo della protezione dati (si veda art. 70, paragrafo 1, lettere g) e h) ) è stato chiamato a formulare linee- guida specifiche, alle quali sta già lavorando il Gruppo "Articolo 29". Cosa CAMBIA
260. © Pasquale Tarallo 260 Approccio basato sul rischio e responsabilizzazione Violazione dei dati (data Breach) – Cosa Cambia • La nostra Autorità ha messo a disposizione un modello per la notifica dei trattamenti da parte dei fornitori di servizi di comunicazione elettronica accessibili al pubblico che intende rielaborare al fine di renderlo utilizzabile da tutti i titolari di Trattamento secondo quanto prevede il regolamento. Cosa CAMBIA
261. © Pasquale Tarallo 261 Ancora sulle violazioni dei dati
262. © Pasquale Tarallo 262 Approccio basato sul rischio e responsabilizzazione Data Protection Officer (DPO) – Cosa Cambia – 1 di 2 • Anche la designazione di un "Responsabile della Protezione Dati" (RPD, ovvero DPO se si utilizza l'acronimo inglese: Data Protection Officer) riflette l'approccio responsabilizzante che è proprio del Regolamento, essendo finalizzata a facilitare l'attuazione del Regolamento da parte del Titolare/del Responsabile. • Non è un caso, infatti, che fra i compiti del RPD rientrino "la sensibilizzazione e la formazione del personale" e la sorveglianza sullo svolgimento della valutazione di impatto. Cosa CAMBIA
263. © Pasquale Tarallo 263 Approccio basato sul rischio e responsabilizzazione Data Protection Officer (DPO) – Cosa Cambia – 2 di 2 • La designazione del DPO è obbligatoria in alcuni casi, e il Regolamento tratteggia le caratteristiche soggettive e oggettive di questa figura (indipendenza, autorevolezza, competenze manageriali: si vedano I termini che il WP29 ha ritenuto opportuno chiarire attraverso alcune linee- guida di recente pubblicazione, disponibili anche sul sito del Garante con le rispettive domande ricorrenti (FAQ). Cosa CAMBIA
264. 264 © Pasquale Tarallo 8 Trasferimento dei dati verso Paesi terzi e Organizzazioni Internazionali
265. © Pasquale Tarallo 265 Fondamenti di liceità del Trattamento Informativa Diritti degli interessati Titolare, Responsabile, e Incaricato del Trattamento Approccio basato sul rischio & Accountability Trasferimento dei dati
266. © Pasquale Tarallo 266 Cosa è INVARIATOCosa CAMBIA Articoli del Codice Privacy e Altre Disposizioni Articoli e Considerando del GDPR Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali
267. © Pasquale Tarallo 267 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 1 di 9 • Viene meno il requisito dell'autorizzazione nazionale (si vedano art. 45, paragrafo 1, e art. 46, paragrafo 2). • Il trasferimento verso un Paese terzo "adeguato" ai sensi della decisione assunta in futuro dalla Commissione, ovvero sulla base di clausole contrattuali modello, debitamente adottate, o di norme vincolanti d'impresa approvate attraverso la specifica procedura di cui all'art. 47 del regolamento, potrà avere inizio senza attendere l'autorizzazione nazionale del Garante - a differenza di quanto attualmente previsto dall'art. 44 del Codice. Cosa CAMBIA
268. © Pasquale Tarallo 268 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 2 di 9 • L'autorizzazione del Garante sarà ancora necessaria se un titolare desidera utilizzare clausole contrattuali ad- hoc (cioè non riconosciute come adeguate tramite decisione della Commissione europea) oppure accordi amministrativi stipulati tra autorità pubbliche – una delle novità introdotte dal regolamento. Cosa CAMBIA
269. © Pasquale Tarallo 269 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 3 di 9 • Il Regolamento consente di ricorrere anche a codici di condotta ovvero a schemi di certificazione per dimostrare le "garanzie adeguate" previste. • Ciò significa che i titolari o i responsabili del Trattamento stabiliti in un Paese terzo potranno far valere gli impegni sottoscritti attraverso l'adesione al codice di condotta o allo schema di certificazione, ove questi disciplinino anche o esclusivamente i trasferimenti di dati verso Paesi terzi, al fine di legittimare tali trasferimenti. • Tuttavia, (si vedano art. 40, paragrafo 3, e art. 42, paragrafo 2) tali titolari dovranno assumere, inoltre, un impegno vincolante mediante uno specifico strumento contrattuale o un altro strumento che sia giuridicamente vincolante e azionabile dagli interessati. Cosa CAMBIA
270. © Pasquale Tarallo 270 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 4 di 9 • Il Regolamento vieta trasferimenti di dati verso titolari o responsabili in un Paese terzo sulla base di decisioni giudiziarie o ordinanze amministrative emesse da autorità di tale Paese terzo, a meno dell'esistenza di accordi internazionali in particolare di mutua assistenza giudiziaria o analoghi accordi fra gli Stati (art. 48). • Si potranno utilizzare, tuttavia, gli altri presupposti e in particolare le deroghe previste per situazioni specifiche. Cosa CAMBIA
271. © Pasquale Tarallo 271 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 5 di 9 • Si deve ricordare che il Regolamento sancisce come sia lecito trasferire dati personali verso un Paese terzo non adeguato "per importanti motivi di interesse pubblico", in deroga al divieto generale. • In questo caso deve trattarsi di un interesse pubblico riconosciuto dal diritto dello Stato membro del Titolare o dal diritto dell'Ue (si veda art. 49, paragrafo 4) e dunque non può essere fatto valere l'interesse pubblico dello Stato terzo ricevente. Cosa CAMBIA
272. © Pasquale Tarallo 272 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 6 di 9 • Il Regolamento fissa i requisiti per l'approvazione delle norme vincolanti d'impresa e i contenuti obbligatori di tali norme. • L'elenco indicato al riguardo nel paragrafo 2 dell'art. 47 non è esaustivo e, pertanto, potranno essere previsti dalle autorità competenti, a seconda dei casi, requisiti ulteriori. • Ad ogni modo, l'approvazione delle norme vincolanti d'impresa dovrà avvenire esclusivamente attraverso il meccanismo di coerenza di cui agli artt. 63-65 del regolamento – ossia, è previsto in ogni caso l'intervento del Comitato europeo per la protezione dei dati (coe disciplinato all’art. 65, paragrafo 1, lettera d). Cosa CAMBIA
273. © Pasquale Tarallo 273 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 7 di 9 • Il Regolamento al Capo V ha confermato l'approccio attualmente vigente in base alla direttiva 95/46 e al Codice Italiano per quanto riguarda i flussi di dati al di fuori dell'Unione europea e dello spazio economico europeo, prevedendo che tali flussi sono vietati, in linea di principio a meno che intervengano specifiche garanzie. Cosa è INVARIATO
274. © Pasquale Tarallo 274 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 8 di 9 • Il Regolamento ha confermato la possibilità di deroga se intervengono le seguenti specifiche garanzie:  l’adeguatezza del Paese terzo riconosciuta tramite decisione della Commissione europea (art. 44, comma 1, lettera b), del Codice);  l’assenza di decisioni di adeguatezza della Commissione, garanzie adeguate di natura contrattuale o pattizia che devono essere fornite dai titolari coinvolti (fra cui le norme vincolanti d'impresa - BCR, e clausole contrattuali modello, come descritto all’art. 44, comma 1, lettera a) del Codice);  in assenza di ogni altro presupposto, utilizzo di deroghe al divieto di trasferimento applicabili in specifiche situazioni corrispondenti in parte alle disposizioni dell'art. 43, comma 1, del Codice). Cosa è INVARIATO
275. © Pasquale Tarallo 275 Trasferimento dei dati verso Paesi Terzi e Organizzazioni Internazionali – 9 di 9 • Le decisioni di adeguatezza sinora adottate dalla Commissione (livello di protezione dati in Paesi terzi, a partire dallo scudo per la Privacy (Privacy Shield), e clausole contrattuali tipo per titolari e responsabili) e gli accordi internazionali in materia di trasferimento dati stipulati prima del 24 maggio 2016 dagli Stati membri restano in vigore fino a loro eventuale revisione o modifica. • Restano valide, conseguentemente, le autorizzazioni nazionali sinora emesse dal Garante successivamente a tali decisioni di adeguatezza della Commissione • Restano valide, inoltre, le autorizzazioni nazionali che il Garante ha rilasciato in questi anni per specifici casi, sino a loro eventuale modifica Cosa è INVARIATO
276. 276 © Pasquale Tarallo 9 Conclusioni
277. © Pasquale Tarallo 277 Contenuti di questa presentazione e di ulteriori contributi Come specificato al principio della presentazione i contenuti fin qui esposti fanno parte di un progetto editoriale più ampio Ideato, Realizzato e Distribuito GRATUITAMENTE che può essere richiesto in formato ppt via mail inviando i propri riferimenti completi a Pasquale Tarallo
278. © Pasquale Tarallo 278 Riferimenti dell’autore e dove trovare altri contributi simili Email pasqualetarallo@tin.it Tel. +39 02 90377918 Mobile +39 3394561469

References: art. 9
 art. 22
 art. 14
 art. 9
 art. 15
 art. 11
 art. 12
 art. 17
 art. 83
 art. 89
 art. 33
 art. 32
 art. 70
 art. 45
 art. 46
 art. 40
 art. 42
 art. 49