Source: http://directio.it/multimedia/news/2018/09/05-nuovo-codice-privacy-garante-predispone-misure-semplificazione-pmi.aspx
Timestamp: 2019-02-19 16:17:13+00:00
Document Index: 169482733

Matched Legal Cases: ['art. 2', 'art. 5', 'art. 8', 'art. 9', 'art. 12', 'art. 42', 'sentenza ', 'art. 22', 'art. 20']

Nuovo Codice Privacy in Gazzetta Ufficiale. Assegnato al Garante il compito di predisporre misure di semplificazione per PMI | News | Directio - le strade nell'economia
Si chiude così il farraginoso e complicato iter di discussione della norma
Il decreto legislativo n.101/2018, di adeguamento dell’ordinamento italiano al regolamento europeo in materia di trattamento dati personali, è stato pubblicato sulla Gazzetta Ufficiale del 4 settembre 2018, ed entrerà in vigore il prossimo 19 settembre. Si chiude così il farraginoso e complicato iter di discussione di questa norma, iniziata con la legge di delegazione n.17 entrata in vigore il 21 novembre 2017. Abbandonata, infatti, l’idea dell’iniziale intera abrogazione del Dlgs n.196/2003 (Codice Privacy), avanzata dalla Commissione Finocchiaro, il Consiglio dei Ministri del 21 marzo 2018, ha convenuto, lo ricordiamo, di procedere con una novella del vecchio codice. Novella che di certo ha portato tante novità in materia di trattamento dati personali, ma che purtroppo solleva anche molte questioni, prima fra tutte la necessità di conciliare, nel contesto di un quadro normativo generale, ma unico, diverse norme tra di loro:
il GDPR a livello europeo, attorno al quale le norme nazionali gravitano;
le disposizioni che restano in vigore del vecchio Codice Privacy;
le nuove disposizioni dell’odierno decreto n. 101;
il decreto n. 51/2018 di adeguamento della direttiva sulla cybersecurity;
senza dimenticare la presenza di norme nazionali in materia di trattamento dati personali in ambiti specifici;
i codici deontologici a suo tempo emanati e le linee guida offerte dal Garante.
La novella pertanto, in assenza di norme di coordinamento, rischia, soprattutto in questa fase iniziale, di minare le esigenze di certezza giuridica che l’interprete cerca quando tali norme devono poi essere applicate ai casi concreti. Un lavoro complesso e lungo attende da oggi gli interpreti, ma anche il Garante, al quale lo stesso decreto n.101 rimanda in più occasioni, affidandogli il ruolo, non solo di custode del rispetto delle norme, ma anche di traduttore della disciplina normativa nella concreta applicazione della stessa. E infatti, la novella (art. 2-quater; art. 5; art. 8 lett. n); art. 9 lett. b); art. 12 lett. f) del decreto n. 101/2018) conferisce al Garante il potere di adottare misure di garanzia e regole deontologiche a carattere generale e in settori specifici, come quello relativo al trattamento di dati sanitari, genetici e biometrici, facendosi fautore anche di prassi operative, in modo che le regole siano costantemente adeguate al cambiamento della società e all’innovazione tecnologica. Così al Garante è anche affidato il compito di assumere direttamente, in caso di grave inadempimento dei compiti da parte dell’Ente unico nazionale di accreditamento, individuato in ACCREDIA, l'esercizio delle funzioni in materia di accreditamento e meccanismi di certificazione della protezione dei dati personali di cui all’art. 42 del Regolamento n.679, come anche gli è assegnato l’incarico di promuovere, mediante apposite linee guida, modalità semplificate per consentire un più facile adeguamento alle nuove norme in materia di trattamento dei dati personali in favore delle micro, piccole e medie imprese.
Ma quali sono le altre novità presenti nel decreto?
Le novità introdotte, come accennato innanzi, sono molte, tra queste, una di quelle più rilevanti è senza dubbio la possibilità di utilizzare i dati biometrici con riferimento alle procedure di accesso fisico e logico ai dati, sempre che siano previamente adottate adeguate misure di sicurezza e purchè chi accede ai dati sia un soggetto autorizzato. In riferimento alle misure di sicurezza nel trattamento dei dati personali, si fa espresso riferimento alle tecniche di pseudonimizzazione, di cifratura del dato e alla necessità di adottare accorgimenti adeguati che garantiscano la minimizzazione nell’uso dei dati personali.
Altra novità riguarda l’introduzione del diritto all’eredità del dato nel caso di decesso dell’interessato: in caso di morte dell’interessato, i suoi diritti di accesso, di rettifica, di portabilità di limitazione, di cancellazione, di opposizione al trattamento dei dati, potranno essere esercitati da chi ha un interesse proprio, o agisce a tutela dell’interessato, in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione. Resta salvo il diritto dell’interessato di disporre mediante comunicazione scritta in merito all’eredità dei suoi dati personali e dunque all’esercizio di tali diritti, vietando espressamente l’esercizio di tali diritti o di alcuni di essi.
Vengono imposti inoltre limiti all’esercizio dei diritti dell’interessato in situazioni particolari, come ad esempio, quando dall’esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto:
all’attività di Commissioni parlamentari d'inchiesta istituite ai sensi dell'articolo 82 della Costituzione;
alle attivita' svolte da un soggetto pubblico, diverso dagli enti pubblici economici, in base ad espressa disposizione di legge, per esclusive finalita' inerenti alla politica monetaria e valutaria, al sistema dei pagamenti, al controllo degli intermediari e dei mercati creditizi e finanziari, nonche' alla tutela della loro stabilita;
allo svolgimento delle investigazioni difensive o all'esercizio di un diritto in sede giudiziaria;
alla riservatezza dell'identita' del dipendente che segnala ai sensi della legge 30 novembre 2017, n. 179, l'illecito di cui sia venuto a conoscenza in ragione del proprio ufficio.
Per quanto concerne invece il trattamento dei dati personali di studenti, il decreto stabilisce che gli istituti scolastici, i centri di formazione professionale regionale, le scuole private non paritarie nonche' le istituzioni di alta formazione artistica e coreutica e le universita' statali o non statali legalmente riconosciute su richiesta degli interessati, possano comunicare o diffondere, anche a privati e per via telematica, dati relativi agli esiti formativi, intermedi e finali, degli studenti e altri dati personali non sensibili né giudiziari, pertinenti per garantire un più facile inserimento dello studente nel mondo del lavoro. I dati possono essere successivamente trattati esclusivamente per le predette finalità. Con specifico riferimento all’invio del curriculum, il decreto precisa che, nel caso di curriculum spontaneamente trasmessi, l’informativa potrà essere resa al primo contatto utile e dunque anche in una fase successiva alla ricezione del curriculum; per finalità strettamente connesse all’esecuzione contrattuale (quindi ad esempio quando l’interessato incarica un’agenzia di lavoro), il consenso dell’interessato al trattamento dei dati personali contenuti in un curriculum vitae non è dovuto.
Ulteriori misure di garanzia dovranno essere adottate dal Ministero della salute in relazione al trattamento di dati genetici e il trattamento dei dati relativi alla salute per finalità di prevenzione, diagnosi e cura.
Precisazioni previste anche in materia di sanzioni amministrative e penali nei casi di violazione delle norme in materia di trattamento dei dati: il nuovo decreto, stabilisce che per i procedimenti non ancora definiti con l’adozione dell’ordinanza di ingiunzione sarà possibile versare la sanzione in misura ridotta, nello specifico dell’importo pari a due quinti del minimo, entro il termine di 90 giorni dalla data di entrata in vigore del decreto attuativo. Mentre, con riferimento alle violazioni commesse prima della data di entrata in vigore del decreto, se il procedimento penale non sia ancora stato deciso con sentenza o decreto irrevocabili, potranno essere applicate le sanzioni amministrative in luogo di quelle penali previste dal vecchio Codice Privacy.
Le norme nazionali andranno disapplicate se in contrasto con il GDPR
Il decreto delegato, ma non solo, anche le disposizioni dell’ordinamento nazionale andranno applicate - lo ribadisce lo stesso decreto all’art. 22 - alla luce del GDPR e dovranno assicurare la libera circolazione dei dati personali tra Stati membri, ai sensi dell'articolo 1, paragrafo 3, del Regolamento (UE) 2016/679, con la conseguenza di una loro disapplicazione, qualora dovessero entrare in contrasto con la norma europea. Sulla base di questo presupposto, vanno lette anche le numerose disposizioni transitorie e finali, come quelle di cui all’art. 20, 21 e 22 del decreto delegato, in base ai quali il Garante dovrà verificare la conformità al GDPR e al decreto n. 101 dei codici deontologici, delle misure di garanzia e delle autorizzazioni generali, prima che si intervenga definitivamente sugli stessi (per alcuni di tali provvedimenti, tra l’altro lo stesso decreto già prevede l’abrogazione), solo allora i codici deontologici, le regole di buona condotta e le autorizzazioni generali, cesseranno di esistere. Si tratta dunque di provvedimenti riferiti alle vecchie norme che resteranno in vigore ancora per un po’ di tempo e che di certo non contribuiranno a sciogliere i dubbi.
La strada è ancora lunga e il futuro lavoro del Garante gioca oggi un ruolo fondamentale nell’iter di adeguamento degli operatori alle norme in materia di trattamento dati personali. Resta il fatto che l’ultima chiamata all’adeguamento, per gli operatori italiani, come per tutti quelli dell’Unione Europea è scaduta nel mese di maggio 2018, pertanto, al momento, la palla passa agli interpreti che dovranno intervenire rispondendo alle domande poste dagli operatori e sforzandosi di conciliare più testi normativi, i diversi codici deontologici e i provvedimenti del Garante ancora operanti in questa fase.
In attesa pertanto che l’enorme lavoro assegnato al Garante giunga al termine, si fa duro oggi anche il ruolo degli interpreti. Ci si augura che sia fatta presto chiarezza nell’applicazione concreta delle norme per evitare che la situazione porga il braccio a nuovi contenziosi.
In quale misura risponde il responsabile del trattamento per le violazioni del GDPR
Nomina DPO: attenzione al concetto di "larga scala"
Responsabile del trattamento prima e dopo il GDPR: la nomina va necessariamente riformalizzata?
Registro delle attività di trattamento di dati personali per PMI. I chiarimenti del Gruppo Art 29
Garanti e organismi nazionali di accreditamento per accreditare gli organismi per le certificazioni di conformità al GDPR si baseranno sulla ISO 17065:2012
Amministratore di sistema e GDPR. Le misure e gli accorgimenti imposti dal provvedimento del Garante valgono ancora?
DLgs n. 101/2018 - Adeguamento GDPR