Source: https://www.diritto.it/schema-decreto-adeguamento-gdpr-ok-dal-garante-privacy/
Timestamp: 2019-11-18 23:32:24+00:00
Document Index: 21991768

Matched Legal Cases: ['art. 24', 'art. 2', 'art. 65', 'art. 6', 'art. 9', 'art. 20', 'art. 5', 'art. 139']

Schema decreto adeguamento GDPR, parere favorevole Garante privacy
Nel suddetto parere, al fine di rendere il decreto pienamente conforme alle disposizioni del Regolamento europeo, il Garante ha rappresentato l’opportunità di apporre alcune modifiche ed integrazioni. Questi, nello specifico, i profili di interesse evidenziati:
L’articolo 11, comma 1, lett. i), numero 3, dello schema di decreto, conferma la deroga all’articolo 132, commi 1 ed 1-bis del Codice, introdotta dall’articolo 24 della legge 20 novembre 2017, n. 167, recante “Disposizioni per l’adempimento degli obblighi derivanti dall’appartenenza dell’Italia all’Unione europea – Legge europea 2017“. Come noto, tale disposizione ha prolungato fino a 72 mesi il termine di conservazione dei dati di traffico telefonico e telematico, nonché dei dati relativi alle chiamate senza risposta, “al fine di garantire strumenti di indagine efficace in considerazione delle straordinarie esigenze di contrasto del terrorismo, anche internazionale, per le finalità dell’accertamento e della repressione dei reati di cui agli articoli 51, comma 3-quater, e 407, comma 2, lettera a), del codice di procedura penale”.
In ragione della incompatibilità della deroga con il principio di proporzionalità (come interpretato dalla Corte di giustizia nelle richiamate sentenze) e al fine di garantire la piena conformità dell’ordinamento interno al diritto dell’Unione europea, si valuti l’opportunità di espungere dallo schema di decreto l’articolo 11, comma 1, lett. i), numero 3, e per l’effetto il neo introdotto comma 5-bis dell’articolo 132 del Codice.
Per completare il riassetto normativo in questione, è, inoltre, necessario anche abrogare espressamente l’art. 24 della legge 20 novembre 2017, n. 167.
Disposizioni del CAD in materia di Piattaforma digitale nazionale dati
L’articolo 50-ter del Codice dell’Amministrazione Digitale (infra: Cad), introdotto dal decreto legislativo 13 dicembre 2017, n. 217, prevede che la Presidenza del Consiglio dei ministri promuova la progettazione, lo sviluppo e la sperimentazione di una Piattaforma Digitale Nazionale Dati, finalizzata a favorire la conoscenza e l’utilizzo del patrimonio informativo detenuto, per finalità istituzionali, dai soggetti pubblici di cui all’articolo 2, comma 2, lettera a) del Cad, ad esclusione delle autorità amministrative indipendenti di garanzia, vigilanza e regolazione, nonché alla condivisione dei dati tra i soggetti che hanno diritto ad accedervi ai fini della semplificazione degli adempimenti amministrativi dei cittadini e delle imprese. In sede di prima applicazione, la sperimentazione della Piattaforma Digitale Nazionale Dati è affidata al Commissario straordinario per l’attuazione dell’Agenda digitale. A tal fine il Commissario straordinario per l’attuazione dell’Agenda digitale provvede ad acquisire i dati, a organizzarli e conservarli.
In considerazione delle gravi criticità – già segnalate al Governo – sottese alla realizzazione di una così rilevante concentrazione, presso un unico soggetto, di informazioni, anche sensibili e sensibilissime, con evidenti rischi di usi distorti e accessi non autorizzati, nonché dell’esigenza di adeguare il quadro normativo nazionale al Regolamento, si ritiene necessario aggiungere, all’interno dell’articolo 22 dello schema, una disposizione volta a modificare l’articolo 50–ter del Cad come segue: “All’articolo 50-ter, del decreto legislativo 7 marzo 2005, n. 82 sono apportate le seguenti modificazioni: a) al comma 1, la parola “condivisione” è sostituita dalla seguente: “comunicazione”; b) al comma 3, le parole “ad acquisire” sono sostituite dalle seguenti : “rendere disponibili”, le parole “organizzarli e conservarli, ” sono soppresse, e la parola “condivisione” è sostituita dalla seguente: “comunicazione”; c) al comma 4, la parola “condivisione” è sostituita dalla seguente: “comunicazione” e le parole “per le finalità di cui al comma 3” sono sostituite dalle seguenti: “per tali finalità”; d) il comma 5 è sostituito dal seguente: “5. Nella Piattaforma di cui al comma 1 non sono duplicati gli archivi contenenti dati personali dei soggetti di cui all’articolo 2, comma 2, lettera a), del presente decreto.”.
L’articolo 1 del r.d. n. 1611/1933 –cui la disposizione che lo schema intende introdurre nel Codice si riferisce – prevede il patrocinio obbligatorio dell’Avvocatura per le Amministrazioni dello Stato; il successivo articolo 43, invece, disciplina il cd. patrocinio facoltativo per le Amministrazioni non statali autorizzate ad avvalersene. Si ritiene che al Garante debba essere applicata più correttamente tale ultima disposizione (patrocinio facoltativo).
In ordine all’elemento soggettivo del delitto di trattamento illecito di dati, di cui al novellato articolo 167 del Codice, si valuti l’opportunità di considerare, quale oggetto alternativo del dolo specifico anche il nocumento, in ragione dell’esigenza di presidiare con la sanzione penale condotte connotate da un simile disvalore, anche quando sorrette dal dolo di danno e non solo da quello di profitto. Tale modifica consentirebbe inoltre di assicurare una maggiore continuità normativa con la fattispecie vigente e di evitare gli effetti (anche sui processi in corso) dell’abolitio criminis che si dovesse ravvisare, in parte qua, per effetto della novellazione proposta.
In relazione alle fattispecie di reato introdotte all’articolo 167-bis del Codice, la previsione del titolare e del responsabile del trattamento, nonché del soggetto designato a norma dell’articolo 2-terdecies, quali unici soggetti attivi del reato, solleva perplessità in ragione della mancata considerazione delle persone suscettibili di operare quali autorizzate al trattamento. Si valuti, pertanto, l’opportunità di definire il novero dei soggetti attivi – analogamente a quanto disposto per le altre fattispecie, anche in sede di recepimento della direttiva (UE) 2016/680 – con il termine generale “chiunque”.
Si invita pertanto a una ulteriore riflessione sul punto, al fine di adottare una soluzione che eviti ingiustificate disparità di trattamento, pur nel rispetto del divieto di bis in idem richiamato dal considerando 150 del Regolamento. Nel caso si intenda far rivivere la disposizione incriminatrice, si suggerisce di individuare i provvedimenti del Garante così presidiati in ragione della loro rilevanza, richiamando, in particolare, l’articolo 58, par. 2, lett. f), del Regolamento e gli articoli 2-septies, comma 1 del Codice, e 21, comma 1, dello schema di decreto legislativo.
L’articolo 166 del Codice (concernente le sanzioni amministrative pecuniarie), nella nuova formulazione proposta, ai commi 1 e 2 individua le disposizioni del decreto legislativo n. 196/2003 la cui violazione è sanzionata, rispettivamente, ai sensi dell’articolo 83, par. 4 o par. 5 del Regolamento a seconda della gravità della violazione. Al riguardo, si evidenziano una serie di criticità che andrebbero riviste anche al fine di un migliore coordinamento con le restanti norme del testo.
L’articolo 2-sexies disciplina il trattamento di dati particolari (già “sensibili” in base al previgente Codice) per “motivi di interesse pubblico rilevante” ai sensi dell’articolo 9, par. 1, lett. g) del Regolamento, riproducendo in maniera sostanzialmente inalterata il regime normativo previsto al previgente articolo 20 del Codice per i trattamenti di dati sensibili effettuati da soggetti pubblici.
Il Regolamento richiede che, per il trattamento di tali dati, il diritto nazionale individui “misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato”. Tuttavia il comma 1 del nuovo articolo 2-sexies si limita a prevedere che la “legge o, nei casi previsti dalla legge, il regolamento, specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante” senza più richiedere, come previsto dall’analogo articolo 20 del Codice il parere conforme del Garante sull’atto da adottare. Non sono inoltre previsti i necessari richiami al fatto che l’atto normativo debba contenere anche le specifiche misure a tutela degli interessati richieste dal Regolamento (e previste ad esempio anche dall’art. 2-octies per i “dati giudiziari”). Al riguardo si propone di modificare il comma 1 come segue: 1. trattamenti delle categorie particolari di dati personali di cui all’articolo 9, paragrafo 1, del Regolamento, necessari per motivi di interesse pubblico rilevante ai sensi della lettera g), paragrafo 2, del medesimo articolo, sono ammessi qualora siano previsti dal diritto dell’Unione europea ovvero, nell’ordinamento interno, da disposizioni di legge o, nei casi previsti dalla legge, di regolamento, adottato in conformità al parere espresso dal Garante anche su schemi tipo, che specifichino i tipi di dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate e specifiche per tutelare i diritti fondamentali e gli interessi dell’interessato.”
Inoltre, si segnala che nella disposizione in esame, tra le finalità di rilevante interesse pubblico elencate non si rinvengono, né sembra possibile ricavarle in via interpretativa, quelle di “programmazione, gestione, controllo e valutazione dell’assistenza sanitaria” e quelle sulla “vigilanza sulle sperimentazioni, farmacovigilanza, autorizzazione all’immissione in commercio e all’importazione di medicinali e di altri prodotti di rilevanza sanitaria” (artt. 85, comma 1, lett. b e c del Codice e 9, par. 2, lett. h del Regolamento), che si suggerisce invece di prevedere. Analogamente, al comma 2, lett. e) della predetta disposizione, andrebbero menzionate anche le finalità di “documentazione dell’attività istituzionale di organi pubblici”, di “esercizio del mandato degli organi rappresentativi, ivi compresa lo loro sospensione o il loro scioglimento, nonché l’accertamento delle cause di ineleggibilità, ncompatibilità o di decadenza, ovvero di rimozione o sospensione da cariche pubbliche” (cfr. art. 65 del Codice abrogato dallo schema in esame).
Al comma 2, lett. v), viene specificato che i rapporti di lavoro nell’ambito dei quali si effettuano i trattamenti riguardano “soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri”. Poiché tutti i trattamenti disciplinati dall’articolo in esame sono effettuati da tali categorie di soggetti, per i diversi compiti di “rilevante interesse pubblico” indicati in tutte le lettere di cui al comma 2, per evitare equivoci interpretativi si ritiene opportuno che l’inciso in questione sia collocato, più correttamente, nell’alinea del comma 2 secondo la riformulazione che si suggerisce: “2. Fermo quanto previsto dal comma 1, si considera rilevante l’interesse pubblico relativo a trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri nelle seguenti materie:”.
Trattamento di dati biometrici per finalità di sicurezza
Questa disposizione limita quindi in modo rilevante, rispetto al passato, la possibilità dell’impiego di tecniche biometriche nel contesto lavorativo e potenzialmente non consente di utilizzare sistemi biometrici anche per finalità di autenticazione informatica. Al riguardo infatti, con l’abrogazione del Disciplinare tecnico in materia di misure minime di sicurezza, allegato B) al Codice, verrebbe meno anche l’attuale base normativa, ivi contenuta, che ammetteva questa possibilità (regola 2). Al riguardo, si propone quindi di inserire, all’interno dell’articolo 2-septies, un comma 6-bis, che legittimi ai sensi dell’articolo 9, par. 2 lett. b) del Regolamento, le tecniche di riconoscimento biometrico per specifiche finalità di sicurezza, in aggiunta o in sostituzione degli ordinari sistemi di autenticazione informatica, basati su informazioni nella disponibilità cognitiva (password, user id) o su dispositivi (badge, token). Ciò peraltro in armonia a quanto già prescritto o autorizzato, in alcuni casi, dal Garante nel vigente quadro normativo (in applicazione della sopra citata regola 2 dell’allegato B al Codice).
La disposizione fa, in ogni caso, salva la successiva e puntuale individuazione, da parte del Garante, dei casi che possono trovare nella stessa il presupposto di liceità, nonché delle misure di garanzia e delle ulteriori condizioni di liceità dei conseguenti trattamenti nell’ambito dell’emanando provvedimento previsto dall’articolo 2-septies. Attraverso tale norma si intende così autorizzare il trattamento di dati biometrici quando le esigenze di sicurezza e integrità dei sistemi o delle aree (ad esempio, dei locali ove sono custoditi dati e informazioni di particolare delicatezza) richiedono un maggior grado di certezza dell’identità del soggetto legittimato all’utilizzo di sistemi o all’accesso alle aree indicate, anche al fine di scongiurare il rischio di cessione illegittima o di furto di credenziali.
In relazione all’articolo 2-decies, si segnala la necessità di espungere il riferimento al “responsabile del trattamento” in quanto i diritti di cui agli articoli da 15 a 22 del Regolamento sono esercitabili solo nei confronti del titolare del trattamento. Inoltre, con riferimento sia all’articolo 2-decies, comma 3, sia all’articolo 2-undecies, comma 2, occorre inserire dopo le parole “l’esercizio dei medesimi diritti può, in ogni caso, essere ritardato, limitato o escluso con comunicazione motivata e senza ritardo all’interessato” le parole “a meno che ciò possa compromettere le finalità della comunicazione medesima”. Ciò in quanto l’ostensione di informazioni all’interessato, ove non sia prevista la possibilità di una loro limitazione, potrebbe vanificare la ratio della norma che comprime l’esercizio del diritto di accesso ai dati personali in presenza di interessi ritenuti di particolare tutela. Peraltro, tale previsione risulta anche coerente con quanto previsto dall’articolo 23, par. 2, lett. h), del Regolamento.
Riutilizzo di dati a fini di ricerca scientifica o a fini statistici
Se con tale nozione si vuole, invece, fare riferimento a trattamenti ulteriori, a fini di ricerca scientifica o a fini statistici, di dati personali inizialmente raccolti per altri scopi (ai sensi dell’articolo 6, par. 4 del Regolamento), indipendentemente dal fatto che questo sia effettuato dal medesimo titolare o da titolari diversi (distinzione che peraltro non si rinviene nel nuovo quadro giuridico introdotto dal Regolamento), la disposizione contenuta nell’articolo 110-bis appare superflua in quanto l’articolo 5, par. 1, lett. b) del Regolamento qualifica già le ulteriori finalità di ricerca scientifica e statistiche eventualmente perseguite come compatibili con quelle iniziali, purché l’ulteriore trattamento sia effettuato in conformità alle garanzie previste dall’articolo 89 del Regolamento. Inoltre, l’ulteriore trattamento a fini scientifici o statistici di dati raccolti per altri scopi è già consentita sulla base dei presupposti di liceità del trattamento individuati dagli articoli 6 e 9 del Regolamento (cfr., in particolare, art. 6, par. 1., lett. a, o f e art. 9 par. 2 lett. j) e secondo le modalità previste dall’articolo 89 dello stesso, dalla disciplina del Codice, così come emendata dallo schema di decreto in esame (cfr. artt. 104-110 e art. 20, commi 3 e 4, che fa salve le regole deontologiche vigenti per i trattamenti a fini scientifici e statistici, ferma restando la verifica della loro compatibilità con il nuovo quadro giuridico europeo da parte del Garante), nonché dalle altre rilevanti disposizioni di settore (cfr. per l’accesso di soggetti terzi ai dati raccolti a i statistici, art. 5-ter del d.lgs n. 33 del 2013, nonché, più in generale, per i trattamenti a fini statistici, d.lgs. n. 322 del 1989). Conseguentemente, il potere del Garante di autorizzare i trattamenti ulteriori non dovrebbe essere escluso per i dati genetici.
Informazioni in caso di ricezione di curricula
Con riferimento all’articolo 9, lett. c), dello schema di decreto che inserisce nel Codice l’articolo 111-bis, in materia di “informazioni in caso di ricezione di curricula“, al fine di meglio coordinare la disposizione con i principi del Regolamento, che esigono che l’interessato sia sempre informato in ordine al trattamento dei dati che lo riguardano, si propone di rivedere la norma nei termini di seguito indicati:
All’articolo 2-duodecies dello schema di decreto, si ritiene utile garantire che la volontà dell’interessato di vietare l’esercizio dei diritti di accesso ai dati che lo riguardano non sia condizionata da eventuali valutazioni predeterminate da terzi. Si suggerisce, pertanto, di inserire all’interno della norma un ulteriore comma dal seguente tenore: “3-bis. Sono nulle le clausole contrattuali che prevedono disposizioni in contrasto con quanto stabilito dai commi 2 e 3”.
Regole deontologiche relative ad attività giornalistiche
Con riferimento a quanto previsto per il codice deontologico dell’attività giornalistica dall’art. 139, comma 2, è opportuno chiarire meglio che la norma è destinata ad avere effetti anche oltre il periodo transitorio, sopprimendo le parole da: “Nel periodo compreso”, fino a: “successivamente”, cnseguentemente collocando la disposizione all’ultimo comma dell’articolo.
Modalità di verifica delle autorizzazioni generali
Al riguardo, pertanto, sarebbe opportuno rivedere i termini stabiliti nell’articolo prevedendo che il Garante predisponga lo schema di provvedimento da porre in consultazione pubblica entro novanta giorni dalla data di entrata in vigore del decreto e che il medesimo provvedimento venga adottato entro sessanta giorni dall’esito della consultazione pubblica. In tal senso, al comma 1 dell’articolo 21 le parole “con provvedimento di carattere generale da adottarsi entro novanta giorni” dovrebbero essere sostituite dalle seguenti: “con provvedimento di carattere generale da porre in consultazione pubblica entro novanta giorni”, e il secondo periodo del comma 1 dovrebbe essere riformulato come segue: “Il provvedimento di cui al presente comma è adottato entro sessanta giorni dall’esito del procedimento di consultazione pubblica”.
In coerenza con quanto appena osservato, al comma 2 dovrebbe prevedersi che la cessazione degli effetti delle autorizzazioni generali ritenute incompatibili dovrà prodursi al momento della pubblicazione in Gazzetta Ufficiale della versione finale del provvedimento. Pertanto, il comma 2, dovrebbe essere riformulato come segue: “2. Le autorizzazioni generali, sottoposte a verifica a norma del comma 1, che sono state ritenute incompatibili con le disposizioni del regolamento (UE) 2016/679 cessano di produrre effetti al momento della pubblicazione in Gazzetta Ufficiale del provvedimento di cui al comma 1”. Analoga previsione in ordine al momento di cessazione degli effetti deve essere introdotta al comma 3 per le autorizzazioni ivi previste.
Infine, in considerazione del fatto che le disposizioni delle autorizzazioni generali vigenti sono destinate a confluire (in parte, cioè quelle compatibili con il Regolamento) nel provvedimento generale di cui al comma 1, si propongono di seguito alcuni mirati perfezionamenti dei commi 4 e 5, volti ad un miglior coordinamento dell’intero articolo: “4. Sino all’adozione delle regole deontologiche e delle misure di garanzia di cui agli articoli 2-quater, 2-septies del Codice in materia di protezione dei dati personali di cui al decreto legislativo 30 giugno 2003, n. 196 producono effetti per la corrispondente categoria di dati e di trattamenti, le autorizzazioni generali di cui al comma 1 e le pertinenti prescrizioni del provvedimento di cui al comma 1.
Particolari trattamenti per ragioni di interesse pubblico
Tenendo conto del disposto di tale ultimo articolo e del riferimento ai minorenni contenuti nel testo dello schema di decreto, l’osservazione potrebbe essere recepita riformulando la disposizione nei seguenti termini: “5. A decorrere dal 25 maggio 2018, le disposizioni di cui ai commi 1022 e 1023 dell’articolo 1 della legge 27 dicembre 2017, n. 205 si applicano esclusivamente ai trattamenti dei dati personali funzionali all’autorizzazione del cambiamento del nome e/o del cognome dei minorenni. Con riferimento a tali trattamenti, il Garante per la protezione dei dati personali può, nei limiti e con le modalità di cui all’articolo 36 del regolamento (UE) 2016/679 adottare provvedimenti di carattere generale. Al fine di semplificare gli oneri amministrativi, i soggetti che rispettano le misure di sicurezza e gli accorgimenti prescritti ai sensi dell’articolo 2- quaterdecies sono esonerati dall’invio al Garante dell’informativa di cui al citato comma 1022. In sede di prima applicazione, le suddette informative sono inviate entro 60 giorni dalla pubblicazione in Gazzetta Ufficiale del provvedimento del Garante.”
Pertanto, alla luce delle osservazioni sopra riportate (auspicando le modifiche ed integrazioni suggerite), nonché di ulteriori indicazioni volte a garantire, sotto l’aspetto formale, una maggiore coerenza della disciplina interna rispetto al diritto dell’Unione europea, il Garante esprime parere favorevole sullo schema di decreto legislativo di cui sopra.