Source: https://www.associazionelucaometto.it/nuovo-gdpr/
Timestamp: 2018-10-20 01:48:33+00:00
Document Index: 81270427

Matched Legal Cases: ['art. 37', 'art. 35', 'art. 23', 'art. 7', 'art. 9', 'art. 9', 'art. 9', 'art. 9', 'art. 17', 'art. 18', 'art. 13', 'art. 13', 'art. 13']

privacy policy | Associazione Luca Ometto
Con l’entrata in vigore del nuovo Regolamento UE del Parlamento e del Consiglio Europeo 2016/679 detto “General Data Protection Regulation” (in breve “GDPR”) il trattamento dei dati, anche per le associazioni, vede alcune novità.
Per agevolare le associazioni a capire le prinicpali novità introdotte dal nuovo Regolamento il consulente del CSV Padova, avv. Davide Cester, ha predisposto una serie di domande/risposte che trovate nel seguito.
Le ODV, APS e gli ETS devono nominare un “Responsabile della Protezione dei Dati” (Data Protection Officer – DPO)?
L’art. 37 del DGPR introduce la figura nuova, non prevista dal Codice italiano, del “Responsabile della Protezione dei Dati” (Data Protection Officer – DPO).
Trattasi di una persona interna o esterna al Titolare o anche di una società esterna a cui spettano compiti di controllo e assistenza sui trattamenti svolti dal Titolare, al fine di assicurare che tali trattamenti siano conformi al GDPR.
b) i (Titolari) privati che hanno come attività principale lo svolgimento di “trattamenti che, per loro natura, ambito di applicazione e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala”;
c) i (Titolari) privati la cui attività principale consiste “nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 o di dati relativi a condanne penali e a reati di cui all’articolo 10”.
Sono quindi tenuti alla nomina del DPO solo gli enti del terzo settore che, nello svolgimento della loro attività principale, svolgono un monitoraggio sistematico SU LARGA SCALA dei beneficiari/destinatari della loro attività o compiono un trattamento SU LARGA scala di dati sensibili o giudiziari.
Maggiori indicazioni potranno ricavarsi dagli elenchi di soggetti tenuti alla Valutazione d’impatto sulla protezione dei dati (necessaria proprio se il titolare svolge trattamenti di dati SU LARGA SCALA) che il Garante dovrà redigere ai sensi dell’art. 35 comma 4 DGPR.
Come va richiesto il consenso per il trattamento dei dati “comuni” e “sensibili”?
Ecco le caratteristiche del consenso descritte all’art. 23 del Codice italiano e all’art. 7 del DGPR:
– libero, cioè manifestato liberamente dal soggetto, richiesto in termini non definitivi e non incondizionati. Inoltre il consenso non può essere imposto se invece è facoltativo (ad esempio l’associazione non potrà imporre all’aderente di prestare il consenso al trattamento dei suoi dati per finalità estranee all’associazione, pena la sua mancata iscrizione);
Quanto alla forma del consenso, il DGPR non impone sia scritto, ma impone al titolare di “essere in grado di dimostrare” di averlo ottenuto, e quindi è consigliabile ottenere una sottoscrizione dell’interessato o comunque conservare prova dell’avvenuta autorizzazione.
– per quanto riguarda i nuovi soci/aderenti, l’informativa e la richiesta di consenso possono essere allegati o contenuti nella domanda di adesione all’associazione, o scritti nel retro.
– la richiesta di consenso può essere anche spedita via mail, con la richiesta all’interessato di inviare una mail (non automatica) di “conferma” (che l’ente potrà stampare e conservare), quando però gli sia stato reso chiaramente noto che il messaggio di risposta sarà inteso quale autorizzazione al trattamento.
– se l’associazione gestisce un sito web esiste la possibilità di utilizzare il cd. point&click, ovvero di creare attraverso appositi software una pagina web nella quale l’interessato può accedere (anche utilizzando una password appositamente comunicata dal titolare), per fornire i propri dati personali, per essere informato delle modalità del trattamento, e soprattutto per autorizzare il trattamento barrando una o più caselle (che non sia già “preflaggate”). Tale operazione rende molto semplice per le associazioni la raccolta dei dati, la comunicazione dell’informativa e l’acquisizione del consenso e si traduce in un buon risparmio di tempo per chi richiede e fornisce il consenso; importa però una certa spesa e l’intervento di un tecnico esperto, poiché richiede il rispetto di alcuni precisi requisiti di sicurezza e riservatezza delle transazioni informatiche, da valutare a seconda della tipologia dei dati forniti. È pertanto consigliata solo per le grandi associazioni.
– il consenso va acquisito una sola volta se il trattamento dei dati non cambia e rispetta le finalità indicate nell’informativa medesima;
– il consenso va richiesto solo a quei soggetti dei quali l’associazione raccoglie, registra o utilizza i dati, e tra costoro non rientrano ovviamente i soggetti beneficiari dell’attività istituzionale che l’ente non identifica.
– se l’associazione ha chiesto e ottenuto il consenso nel vigore del Codice italiano non ha l’obbligo di acquisirlo nuovamente, a meno che i trattamenti che svolge si siano a tal punto modificati da richiedere un’autonoma manifestazione di volontà dell’interessato.
Con riferimento agli interessati che siano minorenni, il consenso va prestato da coloro che esercitano la responsabilità genitoriale o, se esiste, dal tutore. Il GDPR prevede espressamente che il consenso possa essere rilasciato dai minori che abbiano almeno 16 anni, ma, deve ritenersi, solo con riferimento all’”offerta diretta di servizi della società dell’informazione” (piattaforme web, facebook, ecc.).
Le ODV, APS ed ETS devono chiedere il consenso all’interessato per il trattamento dei suoi dati personali “comuni” e “sensibili”?
L’acquisizione del consenso dell’interessato, ove non comporti operazioni gravose, è sempre consigliata, soprattutto nel momento attuale nel quale non è chiara la vigenza attuale e futura del Codice italiano e quindi non è facile individuare con precisione le ipotesi di esonero dall’obbligo di chiedere il consenso al trattamento.
Con riferimento agli “enti senza scopo di lucro”, il Codice italiano prevede che il consenso non sia necessario per il trattamento di dati comuni e sensibili dei soggetti “che hanno con essi contatti regolari” o degli “aderenti”, se il trattamento è necessario “per il perseguimento di scopi determinati e legittimi individuati dall’atto costitutivo, dallo statuto”, e se con l’informativa l’ente comunica all’interessato le modalità dell’utilizzo dei dati, e sempre che i dati non siano comunicati all’esterno o diffusi. In sostanza il Codice italiano stabilisce che se l’ente non profit tratta i dati personali comuni e sensibili dei soci per gli scopi statutari e non li comunica a terzi e non li diffonde, non ha l’obbligo di acquisire il consenso/autorizzazione dei soci.
Questa esenzione deve considerarsi esistente anche in base al GDPR, che, all’art. 9 comma 2 lett. d), consente all’associazione l’utilizzo dei dati sensibili (e a maggior ragione dei dati comuni) dei “membri”, “ex membri” e delle “persone che hanno regolari contatti” con l’ente, anche senza specifico consenso, se tale utilizzo è svolto nell’ambito dell’attività dell’associazione e con adeguate garanzie (di protezione dei dati), con divieto però di comunicazione all’esterno.
– è necessario per adempiere ad un obbligo legale imposto dal diritto dell’UE o dalla legge dello Stato membro;
– è necessario per l’esecuzione di un contratto del quale è parte l’interessato o per adempiere, prima della conclusione del contratto, a specifiche richieste dell’interessato;
– è necessario per l’esecuzione di compiti di interesse pubblico;
– è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi che non lega i diritti e le libertà fondamentali dell’interessato (es. le campagne di raccolta fondi).
Ai sensi dell’art. 9 GDPR, il consenso non è necessario quando il trattamento dei dati sensibili:
– è necessario per gli adempimenti in materia di diritto del lavoro, sicurezza sociale e protezione sociale;
– è necessario per tutelare un interesse vitale dell’interessato o di altra persona fisica, e costoro non possano prestare il consenso;
– riguarda dati “resi manifestamente pubblici dall’interessato”.
Le norme di cui sopra consentono all’ODV, APS ed ETS di non chiedere il consenso se il trattamento:
– dei dati comuni e sensibili è necessario per l’adempimento degli obblighi nascenti dal rapporto di lavoro con i propri dipendenti;
– consiste nella comunicazione obbligatoria dei dati comuni all’Agenzia delle Entrate;
– consiste nella comunicazione dei dati comuni degli associati alla compagnia di assicurazione da parte delle ODV ed ETS iscritti ai registri del volontariato (e in futuro al RUNTS) per l’assicurazione obbligatoria;
– dei dati comuni serve per eseguire un servizio richiesto dal beneficiario (es. richiesta di trasporto o assistenza domiciliare);
– di dati sensibili serve per la tutela della vita o incolumità fisica della persona;
– di dati comuni avviene per campagne di raccolta fondi (fermo restando il diritto dell’interessato di opporsi).
In definitiva, si consiglia di chiedere il consenso ai beneficiari dell’attività se si trattano loro dati sensibili.
– che anche in caso di esonero dal consenso, va sempre fornita all’interessato l’informativa, nella quale descrivere specificamente le modalità con cui l’associazione utilizza i dati
– che i dati sanitari e quei dati idonei a rivelare la vita sessuale non possono essere diffusi nemmeno su consenso dell’interessato.
Il RGDP contiene, all’art. 9, una definizione (più generica) di “categorie particolari di dati personali”, che consistono in:
I dati sensibili riguardano la sfera più intima dell’individuo e pertanto richiedono una particolare protezione, o perché dati che il soggetto ha interesse a non diffondere o perché informazioni che, se apprese al di fuori di un determinato contesto, possono essere causa di atteggiamenti discriminatori.
Le ODV/APS e ETS possono facilmente avere a che fare con dati sensibili: quelli dei beneficiari dell’attività sociale, quando operano proprio nei settori che il legislatore considera più delicati, come ad esempio l’ambito sanitario e della salute (ad es. chi lavora con malati, soggetti portatori di handicap o tossicodipendenti, ma anche con anziani portatori di patologie), l’ambito religioso o caratterizzato ideologicamente in senso politico, ma anche filosofico (ad es. un’associazione espressamente e “istituzionalmente” pacifista o antiproibizionista), l’ambito dell’appartenenza etnica (es. associazioni che lavorano con i nomadi o migranti).
In base all’art. 9 del GDPR si deve ritenere che sia dato “sensibile” la stessa informazione circa l’appartenenza di una persona ad una associazione che abbia carattere istituzionalmente religioso o filosofico, mentre non sembra avere natura “sensibile” l’informazione dell’appartenenza a quelle associazioni (la maggior parte) che si richiamano genericamente a doveri e principi di solidarietà e altruismo.
Quali sono i diritti degli interessati nei confronti dei titolari che trattano i dati?
– di avere conferma che l’ente utilizza i suoi dati e di sapere quali siano questi dati;
– di conoscere l’origine dei dati (cioè come e da chi l’ETS li ha acquisiti), le finalità del trattamento, i soggetti a cui i dati vengono comunicati e il periodo di conservazione dei dati;
– di rettificare (correggere o integrare) i dati inesatti o incompleti (es. cambio di indirizzo o dello stato civile, aggiornamento del curriculum, ecc.);
– di cancellare i dati (cd. diritto “all’oblio”) quando il trattamento non è più necessario per il raggiungimento delle finalità per cui sono stati raccolti, o in caso di revoca del consenso, o in caso di trattamento illecito o negli altri casi previsti dall’art. 17 GDPR;
– di ottenere una “limitazione del trattamento” nei casi previsti dall’art. 18 DGPR;
– di poter trasferire i dati ad un altro titolare (diritto “alla portabilità dei dati”);
– di opporsi al trattamento dei suoi dati, anche se svolto correttamente dall’associazione, se sussistono “motivi particolari” (cioè particolari e valide ragioni: ad esempio se ha presentato domanda di recesso dall’associazione, o se il trattamento, anche se lecito, risulta lesivo della sua dignità o riservatezza);
– di opporsi al trattamento dei dati svolto per il “marketing diretto” (invio di materiale pubblicitario o vendita diretta o compimento di ricerche di mercato o di comunicazione commerciale;
– di non essere sottoposto ad una decisione basata su un “trattamento automatizzato” di dati (inclusa la cd. profilazione).
Si ricordi che sono “interessati” anche gli associati/volontari, e non solo i soggetti esterni all’associazione.
– nell’informativa di cui all’art. 13 GDPD andrà specificato quali dati l’associazione intende conservare anche dopo la cessazione del rapporto associativo, fermo restando l’avvertimento all’interessato che comunque, in ogni caso, il socio cessato potrà chiederne la cancellazione;
– dei dati del socio cessato è comunque vietata la comunicazione all’esterno o la diffusione (salvo esplicito consenso del socio);
– con le opportune cautele per evitarne la diffusione, l’associazione potrà, secondo i principi di cui sopra, conservare una sorta di “albo d’oro” con i nominativi di coloro che sono stati soci, attraverso una rubrica o albo cartaceo (o attraverso lo stesso libro soci “storico”) conservati in luogo non accessibile a terzi.
Le associazioni ed ETS devono fornire all’interessato l’informativa? Le informative redatte in base all’art. 13 del Codice italiano sono sufficienti per il rispetto del GDPR?
Permane anche in base al RGPR, l’obbligo delle ODV, APS ed ETS in generale di fornire l’informativa all’interessato.
– per quanto riguarda i nuovi soci, l’informativa può essere allegata o scritta sulla domanda di adesione all’associazione. Se è prevista una firma del modulo da parte dell’aspirante socio, la firma varrà anche come “presa visione” dell’informativa. In ogni caso la compilazione del modulo (nel quale è stampata anche l’informativa) direttamente da parte del socio è da considerarsi sufficiente;
– l’informativa può essere anche spedita via e-mail. In questo caso può essere opportuno chiedere al destinatario di rinviare un messaggio di “conferma”, che l’ente potrà stampare o comunque conservare;
– l’informativa vale per tutti i trattamenti futuri che riguardano l’interessato, e va quindi fornita una sola volta, se il trattamento dei dati non cambia e rispetta le finalità indicate nell’informativa medesima;
– l’informativa deve essere comunicata solo a quei soggetti dei quali l’associazione raccoglie, registra o utilizza i dati, e tra costoro non rientrano quindi i beneficiari dell’attività istituzionale che l’ente non identifica.
L’informativa va comunicata/consegnata ai soci e/o volontari, ai collaboratori esterni, ai dipendenti, aibeneficiari e a tutti coloro di cui l’associazione acquisisce, conserva e utilizza dati personali, che si possono definire “interessati”.
La comunicazione/consegna va fatta nel momento in cui l’interessato fornisce i suoi dati all’associazione: in pratica la prima volta che la persona viene a contatto con l’ente. Se i dati non sono forniti dall’interessato ma da altre persone/soggetti, l’obbligo dell’informativa all’interessato va adempiuto nel momento in cui l’associazione registra i dati o li comunica per la prima volta a terzi.
Si deve ritenere allo stesso modo non corretto l’inserimento dell’informativa nello statuto dell’associazione(le cui modifiche oltretutto sono decise dall’assemblea con maggioranze particolari, con evidenti problemi nel caso il trattamento di dati si svolga poi in termini diversi da quelli inizialmente descritti).
Maggiore idoneità potrebbe avere l’inserimento/pubblicazione dell’informativa all’interno del giornale/notiziario dell’associazione (o allegata allo stesso), se fatto pervenire direttamente agli associati. Va precisato che ai sensi dell’art. 13 del Codice l’informativa andrebbe comunicata/consegnata nel momento appena precedente a quello in cui l’interessato fornisce i suoi dati all’associazione, e che pertanto la pubblicazione nel giornalino potrebbe essere considerata tardiva. Tuttavia, nel caso in cui l’associazione non abbia finora comunicato alcuna informativa, tale modalità potrebbe rappresentare se non altro una “sanatoria” per regolarizzare la situazione.
ATTENZIONE: all’informativa va accompagnata la richiesta di autorizzazione/consenso al trattamento dei dati in tutti i casi in cui questa è da considerarsi obbligatoria.
– devono trattare i dati in modo lecito e secondo correttezza e trasparenza;
– possono raccogliere i dati solo per finalità determinate, esplicite e legittime, ed utilizzare i dati solo in termini compatibili con tali scopi (“limitazione delle finalità”);
– devono assicurarsi che i dati raccolti siano adeguati, pertinenti e non eccedenti rispetto a quanto necessario per il perseguimento delle finalità per cui sono raccolti (“minimizzazione dei dati”);
– siano esatti e, se necessario, costantemente aggiornati (“esattezza dei dati”);
– devono conservarli per un periodo di tempo non superiore a quello necessario per il raggiungimento delle finalità per cui sono stati raccolti, a meno che la conservazione non avvenga per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici (“limitazione della conservazione”);
– devono garantire un’adeguata sicurezza e protezione dei dati personali, mediante misure tecniche e organizzative adeguate, per evitare trattamenti non autorizzati o illeciti e per evitare la perdita e la distruzione accidentale dei dati (“integrità e riservatezza”).
Il PRINCIPIO DI FINALITÀ è uno dei fondamenti del trattamento dei dati.
Il RGDP riguarda anche le ODV e gli ETS? Si devono considerare “titolari del trattamento”?
Assolutamente SI, buona parte delle norme del RGDP si applicano anche alle ODV e APS ed in generale agli Enti del Terzo Settore, che sono “titolari del trattamento” se e ogni qualvolta svolgono anche una sola delle operazioni che concretano un trattamento di dati personali.
Il RGDP, infatti, non si applica ai trattamenti di dati svolti da “una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico” (es. rubrica telefonica nella propria abitazione) e sempre che non si svolga una comunicazione sistematica o diffusione. Il trattamento di dati svolto da una ODV o comunque da un ETS non ha fini esclusivamente personali, comporta molte volte una comunicazione sistematica, e rientra pertanto nell’ambito di applicazione delle norme del RGDP, ed in particolare di tutte le norme applicabili agli enti privati, quali sono le associazioni e le fondazioni.
– che le decisioni sui trattamenti da svolgere vanno adottate dall’organo o dalle persone fisiche cui è attribuita la gestione dell’ente (es. Consiglio Direttivo, il Presidente, ecc.);
– che gli adempimenti richiesti dal RGDP devono ovviamente essere attuati da persone fisiche (ad es. il Presidente, un consigliere delegato, i dipendenti, o anche i volontari);
– che i limiti imposti dal RGDP vanno rispettati da chiunque dell’associazione utilizzi dati personali;
– che, infine, le responsabilità civili, amministrative e penali in caso di violazione del RGDP gravano prevalentemente sulle persone fisiche che hanno agito.
È utile precisare che, ai fini dell’applicazione del Codice, non è rilevante l’iscrizione dell’associazione al registro del volontariato ex L. 266/91 o al registro della promozione sociale ex L. 383/00 né al RUNTS di prossima costituzione in base al Codice del Terzo Settore: le norme del RGDP che si riferiscono alle associazioni e agli ETS, infatti, non distinguono tra i vari soggetti appartenenti al terzo settore, ma parlano genericamente di fondazioni, associazioni o organismi senza scopo di lucro.
Posto che per il RGDP il Titolare è la persona giuridica che decide che trattamento di dati svolgere e come svolgerlo (“determina le finalità e i mezzi del trattamento di dati personali”), deve esser considerata titolare del trattamento anche la sezione locale o l’organismo periferico di una associazione, qualora appunto eserciti un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento.
Se quindi la sezione/organismo locale di una associazione nazionale decide in autonomia in tema di privacy rispetto alla “casa madre”, va considerata “titolare”, e cioè soggetto autonomo ai fini dell’applicazione del RGDP e del rispetto degli obblighi conseguenti: deve pertanto predisporre una propria informativa, deve chiedere il consenso al trattamento, deve tenere se del caso i Registri del Trattamento e così via.
a) ai propri soci/aderenti;
b) ai beneficiari dell’attività istituzionale o utenti del servizio;
c) ai consulenti e collaboratori esterni;
d) agli eventuali dipendenti;
e) agli enti pubblici;
f) agli altri ETS e in genere i soggetti con cui vengono a contatto;
g) alle persone, enti e aziende a cui indirizzare campagne di sensibilizzazione e fundraising, ecc.
– DATI COMUNI (es. il nominativo, la data di nascita, il numero di cellulare dei soci/volontari o beneficiari, l’avvenuto versamento della quota associativa, gli studi compiuti), alcuni dei quali sono PUBBLICI, e cioè ricavati o comunque ricavabili da albi, elenchi e registri che per legge sono pubblici (es. il codice fiscale o le liste elettorali).
a) che i dati personali vengano utilizzati per scopi leciti e comunque per le finalità in base alle quali sono stati raccolti e non oltre il tempo necessario per raggiungere tali finalità;
b) che i dati conosciuti da estranei, che non vengano diffusi o comunque utilizzati contro la volontà o nell’ignoranza della persona cui si riferiscono;
c) che i dati personali non vengano distrutti o perduti.
RESPONSABILE DEL TRATTAMENTO è “la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento”.
COMUNICAZIONE DEI DATI: il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall’interessato […], dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione”.
Titolare del trattamento. Titolare del trattamento è l’associazione di volontariato “Luca Ometto Onlus”, con sede a Padova, 35123 – Prato della Valle 44.
Modalità di trattamento. Il trattamento viene svolto, utilizzando il server host/smtp di Mailchimp, per lo svolgimento dell’attività istituzionale ed in particolare esclusivamente per l’invio della newsletter settimanale sulle iniziative dell’associazione Luca Ometto e di eventuali newsletter straordinarie per informazioni di carattere generale e urgente.
Obbligo del conferimento. Il conferimento e l’uso dell’indirizzo e-mail sono necessari per ricevere la newsletter. Il conferimento degli altri dati è facoltativo.
Periodo di conservazione. I dati personali saranno conservati ed utilizzati per il tempo necessario all’invio della newsletter periodica, e verranno cancellati in caso di revoca dell’iscrizione alla newsletter.
L’esercizio dei diritti può essere esercitato mediante comunicazione scritta da inviare alla mail newsletter@associazionelucaometto.it o mediante la cancellazione tramite questo link..
Gestione dei dati personali: puoi gestire e modiifcare i tuoi dati e l’adesione alla newsletter dell’associazione Luca Ometto Onlus, in qualsiasi momento, dai link in calce ad ogni comunicazione inviata dall’ associazione Luca Ometto Onlus.
Se desideri rimanere in contatto ed essere aggiornato sulle nostre attività, non devi eseguire alcuna azione: in questo modo mi autorizzi a continuare ad inviare le mie comunicazioni all’indirizzo in mio possesso.