Source: https://www.isiaroma.it/protezione-dati-personali/
Timestamp: 2020-05-31 18:56:07+00:00
Document Index: 3767895

Matched Legal Cases: ['art. 5', 'art. 9', 'art. 10', 'art. 2', 'art. 2', 'art. 89', 'art. 110', 'art. 36', 'art. 2', 'art. 31']

Protezione Dati Personali – ISIA Roma
Protetto: Protezione Dati Personali
Ai sensi degli artt. 30, 32 e 35 e in attuazione dei principi applicabili al trattamento dei dati personali definiti nell’art. 5, è consentito il trattamento dei soli dati personali indispensabili per svolgere le attività istituzionali, previa verifica della loro pertinenza e completezza, ferma restando l’inutilizzabilità dei dati trattati in violazione della disciplina rilevante in materia di trattamento dei dati. Qualora ISIA Roma Design, nell’espletamento della propria attività istituzionale, venga a conoscenza, ad opera dell’Interessato o, comunque, non a richiesta dell’Istituzione, di dati personali non indispensabili allo svolgimento dei fini istituzionali sopra citati, tali dati non potranno essere utilizzati in alcun modo, salvo che per l’eventuale conservazione, a norma di Legge, dell’atto o del documento che li contiene seguendo i principi di liceità del trattamento (Art. 5a).
Le operazioni di interconnessione, raffronto e comunicazione individuate nel presente documento sono ammesse soltanto se indispensabili allo svolgimento degli obblighi o compiti di volta in volta indicati, per il perseguimento delle rilevanti finalità di interesse pubblico specificate e nel rispetto delle disposizioni rilevanti in materia di protezione dei dati personali, nonché degli altri limiti stabiliti dalla Legge e dai regolamenti. I raffronti e le interconnessioni con altre informazioni personali detenute da ISIA Roma Design sono consentite soltanto previa verifica della loro stretta indispensabilità nei singoli casi ed indicazione scritta dei motivi che ne giustificano l’effettuazione. Le predette operazioni, se effettuate utilizzando banche di dati di diversi Titolari del trattamento, sono ammesse esclusivamente previa verifica della loro stretta indispensabilità nei singoli casi e nel rispetto dei limiti e con le modalità stabiliti dalle disposizioni legislative che le prevedono. A tal fine, ed in relazione alle finalità di rilevante interesse pubblico previste dal GDPR 2016/679, nonché dal Codice privacy 196/2003 e successive modifiche introdotte dal D.lgs 101/2018, sono state identificate tre macro-categorie recanti le seguenti denominazioni dei trattamenti:
Trattamento nell’ambito dell’attività didattica
Trattamento finalizzato all’orientamento didattico (rivolto anche a minori)
Trattamento finalizzato alla gestione dell’elettorato attivo e passivo per le rappresentanze negli organi dell’istituto
Trattamento ai fini della sicurezza nei luoghi dove si svolge l’attività didattica e delle coperture assicurative
Trattamento nell’ambito dei processi amministrativi inerenti a dipendenti e/o collaboratori
Trattamento dei dati nell’ambito della gestione degli spazi anche con sistemi di videosorveglianza
Trattamento dei dati personali per la gestione delle postazioni ed i servizi offerti dall’Istituto
Trattamento di dati nell’ambito dei servizi di posta elettronica, strumenti di collaborazione e condivisione
I dati personali potranno essere trattati da dipendenti o collaboratori del Titolare che, operando sotto la diretta autorità di quest’ultimo, sono nominati responsabili o autorizzati del trattamento e ricevono al riguardo adeguata formazione ed istruzioni operative. In particolare saranno trattati dal personale tecnico-amministrativo e docente in relazione alle differenti attività previste dai trattamenti di competenza.
In alcuni casi, ISIA Roma Design si avvale di società esterne per l’erogazione e la gestione di particolari servizi. Esse potrebbero venire a conoscenza dei dati personali trattati ai soli fini della prestazione richiesta e pertanto verranno qualificate come responsabili esterni del trattamento, vincolate contrattualmente al Titolare per garantire il trattamento dei dati personali secondo le modalità previste dal GDPR.
Il Regolamento riconosce numerosi diritti alla persona a cui si riferiscono i dati. Diritto di accesso ai dati personali.
Nei casi previsti dalla legge e in mancanza di interessi legittimi prevalenti dell’Istituto, il diritto alla cancellazione dei dati (cd. diritto all’oblio).
Nei casi previsti dalla legge e se il trattamento è basato sul consenso o su un contratto, il diritto alla portabilità dei dati.
Nei casi previsti dalla legge e se il trattamento è basato sul consenso, il diritto di opporsi alle attività di trattamento.
Per esercitare questi diritti, utilizzare il modello del Garante per l’esercizio dei diritti in materia di protezione dati personali e inviarlo ai dati di contatto del titolare del trattamento ([email protected]) e del responsabile per la protezione dei dati ([email protected]), oppure inoltrarlo scrivendo a [email protected] Prima della risposta l’ufficio provvederà ad accertarsi della sua identità.
In relazione ad un trattamento che non ritiene conforme alla normativa, può contattare il Responsabile della protezione dati all’indirizzo [email protected] e/o proporre reclamo alla competente autorità di controllo che, per l’Italia, è il Garante per la protezione dei dati personali. In alternativa può proporre reclamo presso l’Autorità Garante dello Stato UE in cui risiede o abitualmente lavora oppure nel luogo ove si è verificata la presunta violazione.
NOTA: La cancellazione non è consentita per i dati contenuti negli atti che devono obbligatoriamente essere conservati dall’Istituto
Il consenso consiste in “qualsiasi manifestazione di volontà libera, specifica, informata, inequivocabile ed esplicita dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento”.
Per “informata” si intende che l’informativa, oltre ai contenuti minimi dovrà contenere quanto necessario perché egli sia reso consapevole delle finalità e degli eventuali rischi del trattamento, della modalità di revoca del consenso e delle conseguenze della mancata prestazione, prima di accettare o meno di prestare il consenso.
Il consenso va richiesto per quei trattamenti che non sono derivanti da un obbligo legale né sono necessari: per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, per l’esecuzione di un contratto di cui l’interessato sia parte, per un legittimo interesse dell’Istituto o per tutelare gli interessi vitali di un soggetto.
Attenzione: Prima di chiedere il consenso, verificare se una eventuale revoca sarebbe compatibile con l’espletamento delle attività complessivamente correlate alle finalità da raggiungere, diversamente l’attività di trattamento potrebbe basarsi su una diversa base di legittimità e il consenso non dovrà essere richiesto.
L’ informativa potrà quindi avere una sezione, separata rispetto agli eventuali trattamenti obbligatori, che specifichi le differenti finalità per cui viene richiesto ogni singolo consenso, le conseguenze dell’eventuale mancata prestazione del consenso, la durata del trattamento, l’esistenza del diritto di revocare il consenso, le modalità e condizioni per esercitare tale diritto, richiedendone la sottoscrizione da parte dell’interessato. Il linguaggio dovrà essere semplice e chiaro per ogni finalità del trattamento, senza ricorrere a formule mirate a forzare la prestazione del consenso ed evidenziando anche eventuali aspetti del trattamento che possano essere in contrasto, p.e., con i valori, le convinzioni personali o i precetti di fede religiosa dell’interessato.
La normativa prevede, in linea di principio, che sia “vietato trattare dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché trattare dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona” (art. 9 del GDPR). E’ analogamente previsto che il trattamento dei dati personali relativi a condanne penali e a reati o a connesse misure di sicurezza sia consentito solo se autorizzato da una norma di legge o, nei casi previsti dalla legge, di regolamento (art. 10 GDPR e art. 2-octies del D.Lgs. n. 196/2003 e s.m.i.).
Sono previste delle deroghe, in virtù delle quali l’Istituto può effettuare operazioni di trattamento su categorie particolari di dati personali solo per motivi di interesse pubblico rilevante, previsti da norma di legge o di regolamento dell’ordinamento europeo o nazionale, che specifichino i dati che possono essere trattati, le operazioni eseguibili e il motivo di interesse pubblico rilevante, nonché le misure appropriate, specifiche e proporzionate alla finalità perseguita, per tutelare gli interessi e i diritti fondamentali dell’interessato. La definizione di interesse pubblico rilevante è data all’art. 2-sexies del D.Lgs. 196/2003 (Codice per la protezione dati personali e s.m.mi.) per il quale “si considera rilevante l’interesse pubblico relativo a trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all’esercizio di pubblici poteri” in un varie materie, tra cui quelle “di istruzione e formazione in ambito scolastico, professionale, superiore o universitario, nonché (…) di archiviazione nel pubblico interesse, di ricerca storica (…), per fini di ricerca scientifica, per instaurazione, gestione ed estinzione di rapporti di lavoro” (punti bb), cc) e dd)).
Al di fuori di queste condizioni l’Istituto, per trattare legittimamente categorie particolari di dati personali, deve sicuramente richiedere il consenso dell’interessato e in alcuni casi, anche in presenza di una base legittima rientrante nei casi su esposti, possono sussistere altre condizioni che rendano obbligatorio il consenso (ad esempio la ricerca in ambito medico o correlata a scopo di salute).
Quando le finalità non possono essere perseguite con il trattamento di dati anonimi, in linea generale è possibile trattare i dati particolari o relativi a condanne penali e reati a scopo di ricerca scientifica o statistica solo quando l’interessato ha espresso liberamente il proprio consenso sulla base degli elementi previsti nell’informativa. Occorre prestare molta attenzione alla dimostrabilità che il consenso sia stato liberamente espresso, specie in tutti quei casi in cui il rapporto tra l’interessato e il titolare della ricerca sia “squilibrato”
Ferma restando la diffusa opinione della comunità di ricerca sulla necessità del consenso informato, fintantoché sussistono garanzie adeguate quali i requisiti di cui all’art. 89 par.1 GDPR e il trattamento è corretto, lecito, trasparente e conforme alle norme sulla minimizzazione dei dati e ai diritti individuali, la ricerca potrebbe basare la legittimazione dei trattamenti sull’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri (vedi doc. WP259 “linee guida sul consenso” del WP29, adottate ad aprile 2018), rendendosi possibile non richiedere il consenso. In questi casi sarà necessaria l’applicazione di altre misure di protezione dell’interessato, eventualmente subordinate al parere del comitato etico e al preventivo parere dell’Autorità Garante.
Specificatamente a fini di ricerca scientifica su progetti che riguardano prodotti utilizzabili in campo medico, biomedico o epidemiologico, è previsto che “il consenso dell’interessato per il trattamento dei dati relativi alla salute non è necessario quando la ricerca è effettuata in base a disposizioni di legge o di regolamento o al diritto dell’Unione europea […] ovvero a causa di particolari ragioni, informare gli interessati risulta impossibile o implica uno sforzo sproporzionato, oppure rischia di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità della ricerca” (art. 110 del D.Lgs. n. 196/2003). In tali casi, il titolare del trattamento, per poter utilizzare i risultati della ricerca senza ricorrere al consenso dell’interessato, oltre ad adottare misure appropriate per tutelare i diritti, le libertà ed i legittimi interessi dell’interessato, dovrà condurre e rendere pubblica una valutazione d’impatto ai sensi degli artt. 35 e 36 del GDPR, dovrà sottoporre il programma di ricerca al parere del competente Comitato etico territoriale ed ottenere un motivato parere favorevole, nonché, infine, sottoporre lo stesso programma di ricerca a preventiva consultazione del Garante, secondo quanto previsto dall’art. 36 del GDPR.
Anche quando è possibile documentare scientificamente che i risultati del progetto di ricerca potrebbero essere compromessi dalla revoca anticipata del consenso, quando prevalgono gli interessi generali dello scopo della ricerca o i partecipanti potrebbero essere esposti ad un rischio di stress, ansia o umiliazione con la richiesta del consenso, è possibile evitare di richiederlo impegnandosi ad applicare altre misure di protezione, sulla base di valutazioni etiche, giuridiche e derivanti da disposizioni di carattere nazionale e internazionale.
Fermo restando quanto riportato in generale sul consenso, le norme di diritto internazionale e la Costituzione italiana affermano il diritto del minore ad essere ascoltato, ad esprimere la propria opinione e ad essere coinvolto in tutte le situazioni che lo riguardano, al di là del fatto che i firmatari del consenso informato siano i titolari della responsabilità genitoriale.
Nell’ambito dei servizi della società dell’informazione (ovvero resi a distanza, per via elettronica, attraverso strumenti informatici), l’art. 2 quinquies del D.Lgs. n. 196/2003 ha previsto che l’età per esprimere il consenso al trattamento dei dati personali del minore sia fissata in 14 anni; sotto tale soglia il trattamento dei dati personali del minore è lecito solo se il consenso sia stato prestato da chi esercita la responsabilità genitoriale.
L’informativa deve essere redatta in linguaggio particolarmente chiaro e semplice, conciso ed esaustivo, che renda facilmente accessibile e comprensibile dal minore le informazioni e le comunicazioni relative al trattamento che lo riguarda, al fine di rendere legittimo il consenso richiesto ed eventualmente prestato. E’ consigliabile l’utilizzo di immagini, illustrazioni o fumetti per rendere più accessibile il contenuto rivolto ad una fascia di età particolarmente bassa.
Nell’ambito dei progetti di ricerca, le stesse norme sottolineano che gli Stati devono promuovere e sostenere la partecipazione dei minori a qualsiasi livello, tenendo nella massima considerazione la capacità di discernimento e la volontà dei minori in ragione del grado di maturità raggiunto. Andrà pertanto effettuata una attenta valutazione della loro effettiva disponibilità alla partecipazione al progetto di ricerca, bilanciandola con il rispetto del parere dei genitori previsto dalle norme. Le preferenze del minore risultano prevalenti in caso di rifiuto a prendere parte allo studio o progetto di sviluppo prodotti rispetto alla eventuale opposta volontà degli esercenti della potestà genitoriale, secondo la regola generale prevista per le persone incapaci, rispetto al consenso espresso dal proprio rappresentante legale, contenuta nel Reg. UE n. 536/2014 (art. 31).
Per questi motivi, in caso di partecipazione di minori ad un progetto di ricerca, il responsabile deve prevedere, nell’informativa e nel relativo modulo di consenso al trattamento dei dati personali, sia la firma del minore sia quella dell’esercente la potestà genitoriale.