Source: http://federconsveneto.it/public/?doc=1880
Timestamp: 2020-01-26 14:22:43+00:00
Document Index: 67622803

Matched Legal Cases: ['art 3', 'art 5', 'art.17', 'art 20', 'art. 21', 'art 22', 'art 33', 'art. 34']

Privacy: dal 25 maggio il nuovo Regolamento europeo. Diritti e sanzioni
Il 25 maggio entra in vigore il nuovo regolamento europeo sul trattamento e la protezione dei dati: il GDPR (General Data Protection Regulation). Molte sono le novità del Regolamento (2016/679), che sistema e riordina i precedenti provvedimenti sulla privacy, introducendo più trasparenza sull’uso dei dati, nuovi diritti per le persone, maggiori responsabilità per imprese ed enti e sanzioni severe per chi non rispetta le regole anche fuori dai confini europei. “La protezione dei dati è un diritto di libertà”, sostiene il Garante privacy, che ha pubblicato online una pagina dedicata alle nuove norme.
Col nuovo regolamento si introducono regole più chiare su informativa e consenso, sono definiti i limiti per il trattamento automatizzato dei dati personali, sono poste le basi per l’esercizio di nuovi diritti, sono stabiliti criteri rigorosi per trasferire i dati al di fuori dell’Unione europea e vengono fissate norme rigorose per i casi di violazione dei dati.
L’ambito di applicazione del Regolamento è più ampio di quello europeo, perché questo si applica anche a chi tratta dati di cittadini europei fuori dal territorio dell’Unione: “Il presente regolamento si applica al trattamento dei dati personali effettuato nell’ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell’Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione” (art 3) e dunque anche ai colossi del web come Facebook e Google. Una serie di principi stabilisce che i dati personali sono trattati “in modo lecito, corretto e trasparente” nei confronti dell’interessato, esatti e aggiornati, trattati in modo che ne sia garantita la sicurezza (art 5).
Il diritto di rettifica stabilisce che “L’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo” e viene previsto il diritto all’oblio.
L’art.17, diritto alla cancellazione o diritto all’oblio, prevede che l’interessato abbia “il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali” se i dati personali non sono più necessari per le finalità per le quali sono stati raccolti, se il consenso viene revocato, se i dati personali sono stati trattati illecitamente. Tale diritto, precisa il regolamento, non si applica “per l’esercizio del diritto alla libertà di espressione e di informazione”, per l’adempimento di un obbligo legale, per “motivi di interesse pubblico nel settore della sanità pubblica”, “a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici” e per “l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria”.
Il Regolamento disciplina poi il diritto alla portabilità dei dati (art 20): “L’interessato ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti a un titolare del trattamento e ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti”.
Segue all’ art. 21 il diritto di opposizione: qualora “i dati personali siano trattati per finalità di marketing diretto, l’interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei dati personali che lo riguardano effettuato per tali finalità, compresa la profilazione nella misura in cui sia connessa a tale marketing diretto”. In caso di opposizione al trattamento per finalità di marketing diretto, i dati personali non sono più oggetto di trattamento. In tema di processi automatizzati, compresa la profilazione (art 22), il regolamento stabilisce che “l’interessato ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona”.
Il diritto dell’Unione e di uno Stato membro può limitare i diritti stabiliti dal Regolamento, “qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica” per salvaguardare interessi quali sicurezza nazionale, difesa, sicurezza pubblica, prevenzione, indagine, accertamento e perseguimento di reati, “altri importanti obiettivi di interesse pubblico generale dell’Unione o di uno Stato membro, in particolare un rilevante interesse economico o finanziario dell’Unione o di uno Stato membro, anche in materia monetaria, di bilancio e tributaria, di sanità pubblica e sicurezza sociale” e la tutela dell’interessato dei diritti e delle libertà altrui.
Altro aspetto interessante disciplinato dal Regolamento riguarda la violazione dei dati personali. Il regolamento stabilisce che “in caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche.
Qualora la notifica all’autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo”. (art 33) Si precisa poi che “quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo” (art. 34), a meno che il titolare non abbia adottato misure tecniche che scongiurino questo rischio o laddove questa comunicazione richiedesse “sforzi sproporzionati”. In tal caso, si procede invece ad una comunicazione pubblica o ad una misura simile.
L’Autorità competente in Italia sarà il Garante della Privacy.
Le sanzioni per comportamenti scorretti possono arrivare sino al 4% del fatturato globale o a 20 milioni di euro e possono essere inflitte a persone fisiche, a soggetti giuridici privati o pubblici, specificamente ai titolari e i responsabili del trattamento, ovvero il DPO (Data Protection Officer, nuova figura introdotta dal GDPR) oppure agli organismi di certificazione e di monitoraggio dei codici di condotta.