Source: https://silviamartinellilaw.com/2018/05/11/d-lgs-privacy-nuova-bozza-del-5-maggio-2018/
Timestamp: 2019-02-17 08:55:13+00:00
Document Index: 37459579

Matched Legal Cases: ['art. 92', 'art. 93', 'art. 31', 'art. 32', 'art 20', 'art. 19', 'art. 23', 'art. 26', 'sentenza ', 'art. 33', 'art. 100']

D.lgs Privacy – Nuova bozza del 5 maggio 2018 – Silvia Martinelli
L’articolo 2-quater (Regole deontologiche) demanda al Garante l’adozione di regole deontologiche per i trattamenti previsti dalle disposizioni di cui agli articoli 6, paragrafo 1, lettere c) ed e), 9, paragrafo 4, e al Capo IX del Regolamento e ne verifica la conformità alle disposizioni vigenti anche attraverso l’esame di osservazioni di soggetti interessati e contribuisce a garantirne la diffusione e il rispetto.
Il comma 2 individua alcuni ambiti per i quali il trattamento si ritiene compiuto per interesse pubblico (come ad es.: accesso a documenti amministrativi e accesso civico; tenuta degli atti e dei registri dello stato civile, delle anagrafi, delle liste elettorali, rilascio di documenti di riconoscimento o di viaggio; attività dei soggetti pubblici dirette all’applicazione, anche tramite i loro concessionari, delle disposizioni in materia tributaria e doganale; concessione, liquidazione, modifica e revoca di benefici economici, agevolazioni, elargizioni, altri emolumenti e abilitazioni; rapporti tra i soggetti pubblici e gli enti del terzo settore; attività sanzionatorie e di tutela in sede amministrativa o giudiziaria; instaurazione, gestione ed estinzione di rapporti di lavoro). All’elenco indicato si aggiungono tutti gli ambiti individuati dalla legge.
Viene inserito altresì il Titolo I-ter – Disposizioni in materia di diritti dell’interessato -nel quale sono fatti confluire gli articoli dall’11 al 13 della bozza di marzo.
– interessi tutelati in base alle disposizioni in materia di riciclaggio;
– interessi tutelati in base alle disposizioni in materia di sostegno alle vittime di richieste estorsive;
– attività di Commissioni parlamentari d’inchiesta istituite ai sensi dell’articolo 82 della Costituzione (si applica in questo caso la disciplina prevista dai regolamenti parlamentari o dalla legge istitutiva della Commissione di inchiesta);
– attività svolte da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di legge, per esclusive finalità inerenti alla politica monetaria e valutaria, al sistema dei pagamenti, al controllo degli intermediari e dei mercati creditizi e finanziari, nonché alla tutela della loro stabilità;
– svolgimento delle investigazioni difensive o all’esercizio di un diritto in sede giudiziaria.
In questi casi i diritti dell’interessato sono esercitati conformemente alle disposizioni di legge e o di regolamento che regolano il settore. Tuttavia, l’esercizio dei medesimi può, in ogni caso, essere ritardato, limitato o escluso con comunicazione motivata e resa senza ritardo all’interessato, per il tempo e nei limiti in cui ciò costituisca una misura necessaria e proporzionata, tenuto conto dei diritti fondamentali e dei legittimi interessi dell’interessato. In tali casi, i diritti dell’interessato possono essere esercitati anche tramite il Garante con le modalità di cui all’articolo 160. In tale ipotesi, il Garante informa l’interessato di aver eseguito tutte le verifiche necessarie o di aver svolto un riesame, nonché del diritto dell’interessato di proporre ricorso giurisdizionale.
Il Titolo I-quater – Disposizioni relative al titolare del trattamento e responsabile del trattamento – include il precedente Titolo IV della bozza di marzo del decreto ed in particolare gli articoli dal 14 al 16.
L’articolo 2-quaterdecies (Trattamento che presenta rischi specifici per l’esecuzione di un compito di interesse pubblico) disciplina la possibilità di trattamenti svolti per l’esecuzione di un compito di interesse pubblico che può presentare rischi particolarmente elevati ai sensi dell’articolo 35 del Regolamento, il Garante può, sulla base di quanto disposto dall’articolo 36, paragrafo 5, del medesimo Regolamento e con provvedimenti di carattere generale adottati d’ufficio, prescrivere misure e accorgimenti a garanzia dell’interessato, che il titolare del trattamento è tenuto ad adottare.
E’ sostituito l’articolo 129 (Elenchi dei contraenti) il quale demanda al Garante di individuare con proprio provvedimento, in cooperazione con l’Autorità per le garanzie nelle comunicazioni e in conformità alla normativa dell’Unione europea, le modalità di inserimento e di successivo utilizzo dei dati personali relativi ai contraenti negli elenchi cartacei o elettronici a disposizione del pubblico.
L’articolo 132 (Conservazione di dati di traffico per altre finalità) è modificato precisando che il difensore dell’imputato o della persona sottoposta alle indagini, solo quando può derivare un pregiudizio effettivo e concreto per lo svolgimento delle investigazioni difensive di cui alla legge 7 dicembre 2000, n. 397, può richiedere l’accesso diretto alle comunicazioni telefoniche in entrata; diversamente i diritti di cui agli articoli da 12 a 22 del Regolamento possono essere esercitati con le modalità di cui all’articolo 2-decies, comma 3, terzo, quarto e quinto periodo.
Tali misure assicurano la protezione dei dati relativi al traffico ed all’ubicazione e degli altri dati personali archiviati o trasmessi dalla distruzione anche accidentale, da perdita o alterazione anche accidentale e da archiviazione, trattamento, accesso o divulgazione non autorizzati o illeciti, nonché garantiscono l’attuazione di una politica di sicurezza (comma 4).
Quando la sicurezza del servizio o dei dati personali richiede anche l’adozione di misure che riguardano la rete, il fornitore del servizio di comunicazione elettronica accessibile al pubblico adotta tali misure congiuntamente con il fornitore della rete pubblica di comunicazioni. In caso di mancato accordo, su richiesta di uno dei fornitori, la controversia è definita dall’Autorità per le garanzie nelle comunicazioni secondo le modalità previste dalla normativa vigente (Cfr. articolo art. 92 bozza di marzo).
L’articolo 132-quater (Informazioni sui rischi) prevede che il fornitore di un servizio di comunicazione elettronica accessibile al pubblico sia tenuto ad informare gli abbonati e gli utenti se sussiste un particolare rischio di violazione della sicurezza della rete, indicando – quando il rischio è al di fuori dell’ambito di applicazione delle misure che il fornitore stesso è tenuto ad adottare – tutti i possibili rimedi e i relativi costi presumibili. Analoghe informazioni sono rese al Garante per la protezione dei dati personali e all’Autorità per le garanzie nelle comunicazioni (Cfr. art. 93 bozza di marzo).
Si tratta di una forma di tutela alternativa pertanto il reclamo al Garante non può essere proposto se, per il medesimo oggetto e tra le stesse parti, è stata già adita l’autorità giudiziaria.
La presentazione del reclamo al Garante rende improponibile, viceversa, un’ulteriore domanda dinanzi all’autorità giudiziaria tra le stesse parti e per il medesimo oggetto (Cfr. art. 31 bozza di marzo).
L’articolo 152 (Autorità giudiziaria ordinaria) dispone che tutte le controversie che riguardano le materie oggetto dei ricorsi giurisdizionali di cui agli articoli 78 e 79 del Regolamento e quelli comunque riguardanti l’applicazione della normativa in materia di protezione dei dati personali, nonché il diritto al risarcimento del danno ai sensi dell’articolo 82 del medesimo Regolamento, sono attribuite all’autorità giudiziaria ordinaria. (Cfr. art. 32 della bozza di marzo).
L’articolo 153 (Garante per la protezione dei dati personali) individua la struttura del Garante, il quale si compone del Collegio e dell’Ufficio. Il Collegio è costituito da quattro componenti, eletti due dalla Camera dei deputati e due dal Senato della Repubblica con voto limitato. I componenti sono scelti tra persone che assicurano indipendenza e che risultino di comprovata esperienza nel settore della protezione dei dati personali, con particolare riferimento alle discipline giuridiche o dell’informatica.
Il comma 5, in particolare, disciplina il termine per l’espressione dei pareri da parte del Garante che è pari a 45 giorni salvo diverse previsioni di legge. Decorso il termine, l’amministrazione può procedere indipendentemente dall’acquisizione del parere. Quando, per esigenze istruttorie, non può essere rispettato il termine di cui al presente comma, tale termine può essere interrotto per una sola volta e il parere deve essere reso definitivamente entro venti giorni dal ricevimento degli elementi istruttori da parte delle amministrazioni interessate (Cfr. art 20 bozza di marzo).
Le spese di funzionamento del Garante sono poste a carico di un fondo stanziato a tale scopo nel bilancio dello Stato e iscritto in apposita Missione e programma di spesa del Ministero dell’economia e delle finanze (Cfr. art. 19 bozza di marzo).
L’articolo 157 (Richiesta di informazioni e di esibizione di documenti) prevede che il Garante possa richiedere al titolare, al responsabile, al rappresentante del titolare o del responsabile, all’interessato o anche a terzi di fornire informazioni e di esibire documenti anche con riferimento al contenuto di banche di dati (Cfr. art. 23 bozza di marzo).
Tali controlli sono eseguiti da personale dell’Ufficio, con la partecipazione, se del caso, di componenti o personale di autorità di controllo di altri Stati membri dell’Unione europea (comma 2).
Gli accertamenti, se svolti in un’abitazione o in un altro luogo di privata dimora o nelle relative appartenenze, sono effettuati con l’assenso informato del titolare o del responsabile, oppure previa autorizzazione del presidente del tribunale competente per territorio in relazione al luogo dell’accertamento, il quale provvede con decreto motivato senza ritardo, al più tardi entro tre giorni dal ricevimento della richiesta del Garante quando è documentata l’indifferibilità dell’accertamento (comma 4).
Se il trattamento non risulta conforme alle norme del Regolamento ovvero alle disposizioni di legge o di regolamento, il Garante indica al titolare o al responsabile le necessarie modificazioni ed integrazioni e ne verifica l’attuazione. Se l’accertamento è stato richiesto dall’interessato, a quest’ultimo è fornito in ogni caso un riscontro circa il relativo esito, se ciò non pregiudica azioni od operazioni a tutela dell’ordine e della sicurezza pubblica o di prevenzione e repressione di reati o ricorrono motivi di difesa o di sicurezza dello Stato.
Gli accertamenti non sono delegabili. Quando risulta necessario in ragione della specificità della verifica, il componente designato può farsi assistere da personale specializzato tenuto al segreto su ciò di cui sono venuti a conoscenza in ordine a notizie che devono rimanere segrete. Gli atti e i documenti acquisiti sono custoditi secondo modalità tali da assicurarne la segretezza e sono conoscibili dal presidente e dai componenti del Garante e, se necessario per lo svolgimento delle funzioni dell’organo, da un numero delimitato di addetti all’Ufficio (comma 3).
La validità, l’efficacia e l’utilizzabilità di atti, documenti e provvedimenti nel procedimento giudiziario basati sul trattamento di dati personali non conforme a disposizioni di legge o di regolamento restano disciplinate dalle pertinenti disposizioni processuali nella materia civile e penale (comma 5) (Cfr. art. 26 bozza di marzo)
L’articolo 167 (Trattamento illecito di dati) dispone la reclusione da sei mesi ad un anno e sei mesi per chiunque, al fine di trarre per sé o per altri profitto, operando in violazione di quanto disposto dagli articoli 123, 126 e 130 o dal provvedimento di cui all’articolo 129 arreca danno all’interessato. Altresì prevede che è punito con la reclusione da uno a tre anni chiunque, al fine di trarre per sé o per altri profitto, procedendo al trattamento dei dati personali di cui agli articoli 9 e 10 del Regolamento in violazione delle disposizioni di cui agli articoli 2-sexies e 2-octies, o delle misure di garanzia ad esso relative arreca nocumento all’interessato.
L’articolo 171 (Violazioni delle disposizioni in materia di controlli a distanza e indagini sulle opinioni dei lavoratori) che dispone che la violazione delle disposizioni di cui agli articoli 4, primo e secondo comma commi 1 e 2, e 8 della legge 20 maggio 1970, n. 300, è punita con le sanzioni di cui all’articolo 38 della medesima legge.
Il ricorso avverso i provvedimenti del Garante per la protezione dei dati personali, ivi compresi quelli emessi a seguito di un reclamo dell’interessato, è proposto, a pena di inammissibilità, entro trenta giorni dalla data di comunicazione del provvedimento ovvero entro sessanta giorni se il ricorrente risiede all’estero (comma 3).
Il giudice fissa l’udienza di comparizione delle parti con decreto con il quale assegna al ricorrente il termine perentorio entro cui notificarlo alle altre parti e al Garante. Tra il giorno della notificazione e l’udienza di comparizione intercorrono non meno di trenta giorni.
Se alla prima udienza il ricorrente non compare senza addurre alcun legittimo impedimento, il giudice dispone la cancellazione della causa dal ruolo e dichiara l’estinzione del processo, ponendo a carico del ricorrente le spese di giudizio (comma 8).
La sentenza che definisce il giudizio non è appellabile e può prescrivere le misure necessarie anche in deroga al divieto di cui all’articolo 4 della legge 20 marzo 1865, n. 2248, allegato E), anche in relazione all’eventuale atto del soggetto pubblico titolare o responsabile dei dati, nonché il risarcimento del danno (Cfr. art. 33 della bozza di marzo).
Entro novanta giorni dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati personali verifica la conformità al regolamento (UE) 2016/679 delle disposizioni di cui sopra. Le disposizioni ritenute compatibili, ridenominate regole deontologiche, sono pubblicate nella Gazzetta Ufficiale della Repubblica italiana e, con decreto del Ministro della giustizia, sono successivamente riportate nell’allegato A del codice in materia di protezione dei dati personali, di cui al decreto legislativo n. 196 del 2003.
L’articolo 25 (Trasmissione degli atti all’autorità amministrativa) dispone la trasmissione all’autorità amministrativa competente degli atti dei procedimenti penali relativi ai reati trasformati in illeciti amministrativi (Cfr. art. 100 bozza di marzo).
http://www.infoparlamento.it/tematiche/approfondimenti/dlgs-privacy-nuova-bozza-del-5-maggio-2018
Tagged: Data protection, GDPR, Privacy