Source: http://www.previti.it/en/tag/privacy-en/
Timestamp: 2017-12-16 20:41:55+00:00
Document Index: 179345699

Matched Legal Cases: ['CGUE\n', 'CGUE ', 'art. 26', 'CGUE\n', 'sentenza ', 'art. 164', 'sentenza ', 'art. 164', 'art.13', 'art 23', 'sentenza ', 'art. 360', 'art. 164', 'sentenza ', 'sentenza ', 'sentenza ', 'art. 615', 'art. 614', 'art. 615', 'art. 615', 'art. 7', 'art. 152', 'art. 152', 'art. 10', 'art. 77', 'art. 78', 'art. 79', 'art. 80', 'art. 81', 'art. 82', 'art. 77', 'art. 77', 'art. 56', 'art. 60', 'art. 82', 'art. 80']

privacy Archivi - Studio Previti
Webtracking e responsabilità del trattamento dei dati personali: il parere della CGUE
01/12/2017 /in Uncategorized, Newsletters
Con il parere sulla domanda di pronuncia pregiudiziale proposta dalla Corte amministrativa federale tedesca in merito alla causa promossa da “Wirtschaftsakademie” contro l’Autorità di vigilanza regionale per la protezione dei dati del Land Schleswig-Holstein (in seguito “ULD”), l’Avvocato Generale della CGUE (Causa-C-210/16) si è espresso con riguardo al trattamento dei dati personali sui social network.
Nel caso specifico, la Wirtschaftsakademie offre servizi di formazione attraverso una fanpage gestita sul social network Facebook. Quest’ultimo raccoglie i dati personali degli utenti attraverso cookie, al fine di realizzare statistiche sugli utenti destinate al gestore di Facebook con il fine di agevolare la diffusione di pubblicità mirate. L’oggetto della controversia riguarda la legittimità di un provvedimento emesso dall’ULD nei confronti della Wirtschaftsakademie, con cui le viene richiesto di disattivare la fanpage gestita sul sito di Facebook Ireland Ltd. Infatti, gli utenti Facebook non sarebbero informati della raccolta dei loro dati personali per fini statistici o pubblicitari.
L’Avvocato Generale ha respinto le deduzioni di Facebook secondo cui le sue attività di elaborazione dati nell’Unione Europea cadrebbero esclusivamente sotto la giurisdizione dell’Autorità irlandese per la protezione dei dati personali.
Infatti, sebbene le sue attività di elaborazione dei dati siano gestite congiuntamente da Facebook Inc. negli Stati Uniti e da Facebook Irlanda –sede europea- ciò non toglie che Facebook abbia altre filiali, tra cui quella tedesca, in altri Stati membri dell’Ue che promuovono e vendono sul territorio spazi pubblicitari sui social network.
Da queste considerazioni ed in applicazione dell’art. 26 della direttiva 95/46 e dei principi stabiliti nella decisione Google Spain, l’Avvocato Generale ha ribadito che “Ciascuna autorità di controllo, indipendentemente dalla legge nazionale applicabile al trattamento in questione, è competente per esercitare, nel territorio del suo Stato membro, i poteri attribuitile a norma del paragrafo 3. Ciascuna autorità può essere invitata ad esercitare i suoi poteri su domanda dell’autorità di un altro Stato membro”. Pertanto, nel caso di specie, il trattamento dei dati personali tramite cookie, che Facebook ha utilizzato per migliorare il suo targeting di pubblicità, dev’essere considerato quale attività svolta nell’ambito del suo stabilimento tedesco. Di conseguenza, Facebook sarebbe sotto la giurisdizione della Data Protection Authority tedesca, in quanto la promozione e la vendita di spazi pubblicitari era, appunto, di competenza della filiale tedesca.
In futuro, tali fattispecie saranno certamente risolte in maniera diversa alla luce del GDPR (2016/679) “General Data Protection Regulation” che entrerà in vigore il 25 maggio 2018, in quanto si applicherà il meccanismo di sportello unico. Ed in particolare, “un responsabile del trattamento che compie trattamenti transfrontalieri, come Facebook, avrà quale interlocutore una sola autorità di vigilanza, vale a dire l’autorità di vigilanza capogruppo/capofila che sarà quella del luogo in cui si trova lo stabilimento principale del responsabile del trattamento”.
Le azioni regolamentate saranno guidate dall’autorità dove risiede la capogruppo,che nel caso in esame sarà probabilmente il Commissario irlandese per la protezione dei dati.
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-12-01 09:50:042017-12-01 09:50:39Webtracking e responsabilità del trattamento dei dati personali: il parere della CGUE
Il “sistema di gestione privacy” alla luce del GDPR – vademecum per l’avvocato in studio e nella consulenza al cliente
28/11/2017 /in Events
1.12.2017 – Camera di Commercio Sala “du Tillot” – Via Verdi, 2 Parma.
L’evento organizzato da Associazione Forense di Parma ha l’obiettivo principale di fornire una formazione pratico-operativa utile ad orientare l’Avvocato nella conoscenza e nell’inquadramento del vasto quadro del GDPR, per arrivare a realizzare una metodologia efficace di possibile gestione e realizzazione degli strumenti applicabili.
Con il nuovo Regolamento europeo generale sulla protezione dei dati, l’approccio alle problematiche privacy subisce un profondo mutamento. Tutti gli avvocati utilizzano dati personali nella propria attività professionale: dati dei clienti, delle controparti, dei Colleghi, dei fornitori, di terzi. Ciò rende l’avvocato titolare del trattamento con obblighi ben precisi. Chi rispetta la privacy, peraltro, beneficerà di sgravi e semplificazioni, ma chi non sarà adeguato si esporrà a grossi rischi di natura civilistica e penalistica, e ciò rende imprescindibile la conoscenza della normativa in materia di tutela dei dati personali.
La normativa prevede sanzioni fino al 4% del fatturato annuo o, nel caso in cui fosse superiore, fino a 20 milioni di euro.
In quest’ottica, si rende necessaria un’attenta costruzione sia del modello di gestione dei dati, sia del sistema di conservazione degli stessi, per conformarsi alle nuove norme e per poter svolgere correttamente la propria professione.
Ai partecipanti verranno riconosciuti n. 2 crediti formativi in materia obbligatoria di deontologia.
Avv. Vincenzo Colarocco – Avvocato specializzato in proprietà intellettuale ed industriale, privacy, Diritto delle Nuove Tecnologie e social&media law, Socio fondatore di Lex Digital, membro del circolo dei Giuristi Telematici, dell’Osservatorio Web e Legalità e del Centro Studi di informatica Giuridica.
Avv. Lucio Scudiero – Avvocato specializzato in diritti della protezione dei dati personali e diritto europeo. Svolge attività di consulenza legale e di Data Protection Officer, certificato da Tuv Italia. Direttore esecutivo di Lex Digital.
Moderatore avv. Michele Baroc
Per gli ISCRITTI all’Associazione Forense Parma la partecipazione all’evento è GRATUITA
Per i NON iscritti all’Associazione Forense Parma La partecipazione all’evento prevede un versamento di € 25,00 tramite bonifico alle seguenti coordinate bancarie: IBAN: IT 81 T 03015 03200 000003541650 oppure anche in contanti presso la segreteria organizzativa. Iscriversi tramite questo link
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-11-28 17:04:522017-11-29 12:56:51Il “sistema di gestione privacy” alla luce del GDPR - vademecum per l'avvocato in studio e nella consulenza al cliente
16/10/2017 /in Uncategorized
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 redazione http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png redazione2017-10-16 14:52:342017-11-29 11:57:18GDPR 2016/679: la UE cambia la privacy
06/10/2017 /in Newsletters
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-10-06 09:59:292017-10-06 10:29:03Regolamento privacy, per il DPO competenze specifiche, non attestati formali
Responsabile l’impresa per cessione di banche dati a fini elettorali senza il consenso
06/10/2017 /in Uncategorized, Newsletters
La Corte di Cassazione Civile, con la sentenza n. 18619/2017, è intervenuta sul tema della responsabilità delle imprese nel caso di cessione di banche dati per fini elettorali senza consenso ed informativa privacy, ritenendo in particolare applicabile l’aggravante prevista dall’art. 164 bis del Codice privacy anche nel semplice caso di acquisizione della banca dati, non rilevando ai fini della sanzione amministrativa che i soggetti presenti nel data base non siano stati poi successivamente raggiunti da sms elettorali.
Nel caso di specie, un’azienda (A) aveva commissionato ad altra azienda (B) la realizzazione di una campagna pubblicitaria mediante l’invio di sms ad un data base di anagrafiche appartenente ad una terza azienda (C), che era titolare del trattamento.
L’azienda B si era poi rivolta ad un’altra azienda (D), incaricandola dell’invio dei messaggi ai destinatari dell’archivio e aveva nominato una dipendente di quest’ultima società responsabile del trattamento.
Il Garante per la protezione dei dati personali aveva irrogato nel caso in esame una sanzione amministrativa di 64.000 euro alla società B per avere ceduto a terzi (la società D) dati presenti in un data base, in mancanza di specifico consenso degli interessati ai sensi dell’artt. 13 e 23 del Codice privacy.
L’azienda impugnava l’ordinanza del Garante privacy di fronte al Tribunale di Milano. Il Tribunale accoglieva in parte, con la sentenza n. 1748 del 5 febbraio 2014 e rideterminava la sanzione del Garante privacy di 64.000 euro a 20.000 euro, compensando integralmente le spese di lite.
Il Tribunale di Milano osservava come la sopra citata designazione a responsabile del trattamento non rendeva conformi i trattamenti di dati effettuati, in quanto la nomina non era stata effettuata, come richiesto dalla normativa, dalla società C titolare del trattamento, ma era stata effettuata direttamente dall’impresa B, la quale non era stata tuttavia autorizzata a cedere a sua volta a terzi i dati presenti nell’archivio della prima società.
Il Tribunale confermava la sanzione amministrativa del Garante privacy ma riteneva di escludere l’aggravante prevista dall’art. 164 bis del D.Lgs. 196 del 2003, che prevede l’aggravamento delle sanzioni in ipotesi in cui la violazione coinvolga numerosi interessati.
Secondo il Tribunale di Milano, alla luce dell’istruttoria era stato accertato esclusivamente il numero di utenze presenti nel database (oltre 200.000) ma non il numero dei soggetti effettivamente risultanti destinatari degli sms elettorali inviati dalla società B.
Il Tribunale ha, così, ridotto l’importo della sanzione da 64.000 a 20.000 euro, di cui 8.000 euro per violazione dell’art.13 (Omessa e inidonea informativa) e 8.000 euro per la violazione dell’art 23 (consenso al trattamento dei dati).
Il Tribunale ha optato per una riduzione dell’importo della sanzione amministrativa alla luce della limitata rilevanza economica del contratto tra C e B, della mancanza di precedenti violazioni in tema di trattamento di dati personali, delle condizioni economiche dell’agente. Secondo il Tribunale, la violazione del trattamento dei dati è di modesta gravità, in considerazione dell’assenza di prova circa l’effettivo numero di utenti raggiunti dagli sms.
Il Garante per la protezione dei dati personali proponeva ricorso in Cassazione contro la sentenza e rappresentava, ai sensi dell’art. 360, primo comma, del cpc, la violazione e falsa applicazione degli artt. 13, 23 e 164 bis, terzo comma del Codice della Privacy.
Secondo la Cassazione, la circostanza rilevata dal Tribunale di Milano, per cui non vi sarebbe stata prova del numero di soggetti presenti nel data base raggiunti dagli sms elettorali, è irrilevante ai fini della sanzione amministrativa contestata.
Secondo la Cassazione, la valutazione del Tribunale di Milano di insussistenza dell’aggravante prevista dall’art. 164 bis del Codice del Privacy è quindi erronea.
Il Tribunale di Milano non si è infatti focalizzato sulla cessione non autorizzata di dati, ma sul successivo trattamento di dati ed utilizzo per fini elettorali, che configurano altre violazione della normativa sulla protezione dei dati.
La Cassazione ha pertanto accolto il ricorso, ha cassato il provvedimento impugnato e ha rinviato la decisione al Tribunale di Milano, in persona di diverso magistrato.
La sentenza in esame è di interesse per gli operatori e le imprese, che dovranno pertanto ripensare e rimodulare i propri trattamenti di dati alla luce della normativa privacy ed anche alla luce dell’inasprimento delle sanzioni previste dal nuovo regolamento privacy europeo (sanzioni fino a 10-20 milioni di euro o percentuali del 2/4% del fatturato se superiori).
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-10-06 09:56:542017-10-06 09:57:23Responsabile l’impresa per cessione di banche dati a fini elettorali senza il consenso
08/09/2017 /in Uncategorized, Newsletters
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-09-08 16:03:242017-09-08 16:04:38Dati personali contenuti in una biobanca: annullato il blocco statuito dal Garante Privacy
03/08/2017 /in Uncategorized, Newsletters
La Corte di Cassazione Penale, con la recente sentenza 12 luglio 2017, n. 34151, si è pronunciata su un ricorso proposto avverso la sentenza con cui la Corte d’appello, andando di contrario avviso rispetto al Tribunale, aveva assolto un imputato dal reato di interferenze illecite nella vita privata. L’uomo aveva installato una telecamera sul muro del pianerottolo condominiale, nella parte contigua alla porta d’ingresso della propria abitazione, con cui inquadrava la porzione di pianerottolo prospiciente la porta suddetta, nonché la rampa delle scale condominiali e una larga parte del pianerottolo condominiale, in tal modo videoregistrando chiunque entrasse nel raggio d’azione della telecamera. La Suprema Corte – nel respingere la tesi della parte civile, vicino di casa dell’imputato, secondo cui la Corte d’appello aveva male interpretato l’art. 615/bis c.p. e la giurisprudenza formatasi sul punto, in quanto il pianerottolo condominiale costituirebbe “appartenenza” di un luogo di “privata dimora” ai sensi dell’art. 614 c.p. (richiamato dall’art. 615 bis c.p.) – ha invece affermato che le scale di un condominio e i pianerottoli delle scale condominiali non assolvono alla funzione di consentire l’esplicazione della vita privata al riparo da sguardi indiscreti, perché sono, in realtà, destinati all’uso di un numero indeterminato di soggetti e di conseguenza la tutela penalistica di cui all’art. 615 bis c.p. non si estende alle immagini eventualmente ivi riprese.
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-08-03 12:51:102017-08-04 15:19:11Non viola la privacy la telecamera privata puntata sulla scala condominiale
Tempo scaduto per la conservazione: vecchi dati telefonici da distruggere
Scade l’obbligo, per gli operatori telefonici e gli internet provider, di conservare i dati del traffico telefonico e telematico più vecchi, precedenti cioè i termini ordinari di conservazione. Ed è allarme sulle inchieste per i reati più gravi, mafia o terrorismo, che di questi termini più ampi si sono fin qui potute giovare.
L’obbligo sulla cosiddetta data-retention, infatti, era stato introdotto dal decreto antiterrorismo del 2015 (Dl n. 7), che per esigenze investigative ha imposto, fino al 30 giugno 2017, il mantenimento di tutti i dati di traffico, in deroga ai vincoli del codice della privacy, a partire dal 21 aprile 2015 (data di entrata in vigore della legge di conversione del decreto legge).
Ora, superata la scadenza del 30 giugno senza che il legislatore sia intervenuto (e, a quanto risulta, senza che abbia mostrato la volontà di intervenire), tornano ad applicarsi le regole base, quelle cioè previste dal codice della privacy, per cui i dati del traffico telefonico devono essere conservati per 24 mesi dalla comunicazione e quelli telematici per 12 mesi. Ciò vuol dire che, oggi, i gestori telefonici devono tenere solo le informazioni relative alle comunicazioni effettuate da due anni a questa parte (cioè, dal 3 luglio 2015 fino a oggi), mentre gli operatori internet devono conservare i dati relativi agli accessi dell’ultimo anno (vale a dire dal 3 luglio 2016 a oggi). Di conseguenza, tutti i dati precedenti, possono (devono?) essere distrutti da chi li detiene.
Con buona pace delle inchieste sui reati più gravi, dal terrorismo alla mafia come detto, che il decreto legge del 2015 intendeva invece tutelare.
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-08-03 12:47:332017-08-03 12:49:22Tempo scaduto per la conservazione: vecchi dati telefonici da distruggere
Il Gruppo che riunisce le Autorità Garanti europee (WP 29) ha reso note le raccomandazioni indirizzate alla Commissione Ue in vista della prima revisione congiunta dell’Accordo “Privacy Shield” relativo al trasferimento dei dati dall’Unione agli Stati Uniti. L’Accordo sullo “scudo privacy”, adottato il 12 luglio 2016, si fonda su un sistema di autocertificazione in base al quale le organizzazioni statunitensi che intendono ricevere dati personali dall’Unione europea s’impegnano a rispettare un insieme di principi in materia di privacy fissati dal sistema medesimo. Lo “scudo” prevede un riesame periodico dell’accertamento di adeguatezza, al fine di verificare che le constatazioni relative al livello di protezione assicurato dagli Stati Uniti nell’ambito dello Scudo continuino ad essere giustificate in fatto e in diritto.
La prima revisione periodica dell’accordo del Privacy Shield è prevista per il prossimo settembre 2017, quando la Commissione europea incontrerà i rappresentanti delle organizzazioni statunitensi interessate, in primo luogo la Federal Trade Commission e il Dipartimento del Commercio e, per le questioni relative alla sicurezza nazionale, i rappresentanti dell’intelligence e il Mediatore (Ombudsperson) istituito dallo Scudo.
Per quanto riguarda la parte commerciale, alcune preoccupazioni erano state sollevate, ad esempio, sulle garanzie riguardo a decisioni automatizzate o in relazione all’assenza di indicazioni specifiche per l’applicazione dei principi del Privacy Shield da parte delle società che operano, quali responsabili del trattamento, per titolari stabiliti in Ue. Per quanto riguarda gli aspetti di law enforcement e sicurezza nazionale, il WP 29 chiederà garanzie in merito al rispetto dei principi di necessità e proporzionalità nella eventuale raccolta massiva di dati personali, nonché sulle nomine dei quattro membri del Privacy and Civil Liberties Oversight Board (agenzia indipendente che si occupa della tutela della privacy e delle libertà fondamentali nell’ambito delle attività governativa statunitense per la lotta al terrorismo), sulla nomina del Mediatore e sulle procedure che ne disciplinano il funzionamento.
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-08-03 12:43:282017-08-03 12:45:11Privacy Shield: a settembre la prima revisione dell'accordo Usa-Ue
Regolamento Privacy UE: reclami, ricorsi e azioni per il risarcimento del danno
01/07/2017 /in Uncategorized, Newsletters
Rispetto alla disciplina del Codice Privacy (D.Lgs. 196/2003), il nuovo Regolamento UE 2016/679 reca alcune novità anche in materia di reclami, ricorsi e azioni esperibili in ipotesi di trattamento di dati non conforme alla legge. In particolare, (1.) sono ora assenti gli strumenti della segnalazione e del ricorso amministrativo all’autorità di controllo (Garante), (2.) vi è dissociazione tra autorità adita e autorità decidente nell’ipotesi di attività di trattamento transfrontaliere per quanto riguarda l’istituto del reclamo e, per finire, (3.) vi è la previsione che il titolare (e/o il responsabile) sarà tenuto a risarcire il danno se non dimostra che esso non gli è “in alcun modo” imputabile.
Il Titolo I (“Tutela amministrativa e giurisdizionale”) della Parte III (“Tutela dell’interessato e sanzioni”) del Codice Privacy, con gli articoli da 141 a 152, disciplina gli strumenti:
– del reclamo circostanziato al Garante (per rappresentare una violazione della normativa ‘privacy’);
– della segnalazione al medesimo (quando non è possibile presentare un reclamo circostanziato ed al fine di sollecitare un controllo da parte del Garante sul rispetto della disciplina);
– del ricorso, da presentare al Garante o dinanzi alla competente Autorità giurisdizionale al fine di ottenere quanto riconosciuto dall’art. 7.
Sono invariabilmente strumenti a disposizione degli interessati, cioè delle persone cui sono riferiti i dati oggetto dei trattamenti.
Poi, è prevista l’ipotesi in cui un provvedimento del Garante accolga o rigetti il ricorso di cui sopra: in tal caso, tanto l’interessato quanto il titolare del trattamento avranno il diritto di proporre opposizione, con ricorso al competente tribunale ex art. 152. Per l’art. 152, anzi, “tutte le controversie che riguardano, comunque, l’applicazione delle disposizioni del presente codice, comprese quelle inerenti ai provvedimenti del Garante in materia di protezione dei dati personali o alla loro mancata adozione, nonché le controversie previste dall’articolo 10, comma 5, della legge 1° aprile 1981, n. 121, e successive modificazioni, sono attribuite all’autorità giudiziaria ordinaria” (per inciso, il comma 5 dell’art. 10 della L. 121/1981 così recita: “Chiunque viene a conoscenza dell’esistenza di dati personali che lo riguardano, trattati anche in forma non automatizzata in violazione di disposizioni di legge o di regolamento, può chiedere al tribunale del luogo ove risiede il titolare del trattamento di compiere gli accertamenti necessari e di ordinare la rettifica, l’integrazione, la cancellazione o la trasformazione in forma anonima dei dati medesimi”).
Il Regolamento 2016/679, invece, al Capo VIII (“Mezzi di ricorso, responsabilità e sanzioni”), dedica 6 disposizioni alla materia – artt. dal 77 all’82 – dando vita agli strumenti del:
– reclamo (art. 77) e del
– ricorso giurisdizionale nei confronti dell’autorità di controllo (art. 78) e nei confronti del titolare e/o del responsabile del trattamento (art. 79).
Seguono la disciplina della rappresentanza degli interessati (art. 80) e quella dell’ipotesi in cui, essendo le norme del Regolamento valide in tutta l’UE, più azioni giurisdizionali aventi il medesimo oggetto siano (state) azionate in differenti Paesi (art. 81).
Infine, l’art. 82 disciplina la fattispecie dell’azione risarcitoria, a fronte di un danno (anche immateriale) cagionato mediante una violazione della disciplina sul trattamento dei dati personali.
Il Regolamento, quindi, conferma lo strumento del reclamo, ma perde – almeno, così appare – la segnalazione e il ricorso all’autorità di controllo.
Tuttavia, nulla sembra ostare ad una permanenza degli istituti del Codice Privacy, se non c’è contrasto con la disciplina del Regolamento. Il quale, oltretutto, con l’art. 77 fa “salvo ogni altro ricorso amministrativo o giurisdizionale” da parte dell’interessato che “ritenga che il trattamento che lo riguarda violi il presente regolamento.” E’ probabile che il legislatore (italiano) vorrà intervenire a formalizzare un assetto che individui inequivocamente gli strumenti a disposizione dell’interessato in via amministrativa. Per il resto, il reclamo previsto dal Regolamento non differisce nella sostanza da quello del Codice Privacy. L’attributo “circostanziato”, che caratterizza il reclamo “italiano”, pare dovuto all’esigenza di differenziarlo rispetto alla segnalazione.
L’art. 77 individua l’autorità di controllo presso cui il reclamo deve essere presentato, ossia quella dello Stato UE in cui l’interessato “risiede abitualmente”, ovvero “lavora”. In alternativa, è possibile rivolgersi a quella dello Stato in cui la presunta violazione ha avuto luogo.
Nel caso di trattamenti transfrontalieri, la vicenda può complicarsi, potendo succedere che l’autorità di controllo adita (dall’interessato) non corrisponda a quella (evidentemente, di altro Stato membro) chiamata a decidere sul reclamo.
In base all’art. 56, par. 1, “l’autorità di controllo dello stabilimento principale o dello stabilimento unico del titolare (…) è competente ad agire in qualità di autorità di controllo capofila per i trattamenti transfrontalieri”. Se, però (par. 2), l’eventuale violazione “riguarda unicamente uno stabilimento nel suo Stato membro o incide in modo sostanziale sugli interessati unicamente nel suo Stato membro”, l’autorità di controllo adita può dirsi competente per assumere la decisione, anche se sarà comunque l’autorità di controllo capofila (par. 3) – una volta informata – a dire l’ultima parola sul punto.
Due sono le possibili decisioni:
– l’autorità capofila decide di non trattare il caso e allora vi provvederà l’autorità adita, ma “conformemente agli articoli 61 e 62”, che disciplinano, rispettivamente, le fattispecie di “assistenza reciproca” e di “operazioni congiunte delle autorità di controllo”;
– l’autorità capofila decide di trattare il caso e, per conseguenza, l’autorità adita (par. 4) potrà presentarle un progetto di decisione, che la prima valuterà, tenendola “nella massima considerazione”. La procedura di riferimento è dettata dall’art. 60, che, al par. 7, stabilisce che la decisione viene adottata dall’autorità capofila, la quale a sua volta provvede a notificarla al titolare, ad informarne le autorità di controllo interessate e il comitato europeo per la protezione dei dati. Spetta, quindi, all’autorità di controllo presso cui il reclamo è stato proposto la comunicazione della decisione al reclamante.
Specifica trattazione, all’interno del Regolamento, nella parte riguardante la tutela giurisdizionale, è dedicata all’azione di risarcimento del danno, “causato da una violazione del presente regolamento”.
I soggetti convenuti sono il titolare e/o il responsabile, eventualmente anche in solido per l’intero ammontare del danno (art. 82.4), ove la responsabilità pertenga al medesimo danno cagionato. Stessa solidarietà, alla medesima condizione, può riguardare più titolari del trattamento.
L’esonero dalla responsabilità è legato alla dimostrazione (verosimilmente, una autentica probatio diabolica) da parte del titolare e/o responsabile che “l’evento dannoso non gli è in alcun modo imputabile.” Il meccanismo è quello dell’inversione dell’onere della prova, per cui in mancanza di tale dimostrazione una responsabilità sarà comunque accertata in capo a detti soggetti.
Interessante è la previsione di cui all’art. 80, che al par. 1 riconosce il diritto dell’interessato di dare mandato, per essere rappresentato in giudizio, ad un organismo, ad un’organizzazione, ad un’associazione senza scopo di lucro, debitamente costituiti secondo il diritto di uno Stato membro, i cui obiettivi statutari siano di pubblico interesse e che siano attivi nel settore “privacy”. Questi soggetti hanno la possibilità di proporre non solo le azioni sin qui viste, ma anche – ove previsto dal diritto interno dello Stato membro – di rivolgersi al giudice per la richiesta di risarcimento del danno.
Chiude la disposizione il par. 2, che riconosce ai soggetti sopra richiamati il diritto di proporre reclamo e di presentare ricorsi giurisdizionali anche laddove non abbiano ricevuto mandato dagli interessati, ma pur sempre per tutelare la posizione di costoro a fronte di violazioni del Regolamento nello svolgimento di attività di trattamento dei dati.
http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png 0 0 Gaia Arturi http://www.previti.it/wp-content/uploads/2016/04/logo-previti-trasp.png Gaia Arturi2017-07-01 01:00:382017-07-01 01:00:39Regolamento Privacy UE: reclami, ricorsi e azioni per il risarcimento del danno
Rinunciabilità al riposo nelle festività infrasettimanali solo previo accordo individuale tra datore di lavoro e lavoratore 01/12/2017
Il tempo tuta e il cambio turno degli operatori sanitari va retribuito 01/12/2017
Licenziamenti Almaviva: “messaggio davvero inquietante anche per il futuro” 01/12/2017
Chi lavori tramite il proprio account social resta un consumatore 01/12/2017
Sindaci, prorogatio e responsabilità 01/12/2017