Source: https://www.actainfo.it/actanews-list/252-indicazioni-della-cei-agli-enti-ecclesiastici-sulla-privacy-ue
Timestamp: 2018-10-22 14:01:23+00:00
Document Index: 91758618

Matched Legal Cases: ['art. 91', 'art. 91', 'art. 1', '§ 2', 'art. 2', 'art. 2', 'art. 4', 'art. 4', '§ 1', 'art. 2', 'art. 4', 'art. 5', 'art. 4', 'art. 6', 'art. 7', 'art. 6', 'art. 13', 'art. 14', 'art. 5', '§ 3', 'art. 17', 'art. 21', 'art. 2', 'art. 4', 'art. 19', 'art. 30', 'art. 2', 'art. 13', 'art. 14', 'art. 4', 'art. 32', 'art. 33', 'art. 34', 'art. 23', 'art. 82', 'art. 83', 'art. 84']

Ai sensi dell’art. 91 del Regolamento UE GDPR n. 2016/679, in vigore dal 25 maggio 2018, è stato predisposto un aggiornamento del Decreto generale della CEI del 1999, in materia di trattamento dei dati personali, che è stato promulgato mediante la pubblicazione nel sito web della Conferenza Episcopale Italiana.
Finalità del decreto è in primo luogo quella di garantire in modo adeguato la protezione dei dati personali trattati, in risposta alle crescenti esigenze di tutela determinate dagli sviluppi della “società dell’informazione” e alla rinnovata sensibilità verso tali temi.
L’adeguamento del testo – volto a renderlo “conforme” al Regolamento così come previsto dall’art. 91 del Regolamento – consente alla Chiesa di continuare ad applicare, per i soggetti e le finalità istituzionali, un proprio corpus completo di norme, nell’esercizio della propria autonomia e indipendenza e a tutela delle esigenze di libertà connesse all’esercizio della sua missione.
Si riportano, in forma sintetica, le indicazioni di alcuni principali adempimenti.
– In primo luogo, occorre considerare che la nozione di “trattamento” dei dati personali accolta nel Regolamento e nell’aggiornamento del Decreto CEI è piuttosto ampia e che essa in sostanza riguarda qualsiasi operazione riferibile ai dati personali, compiuta con o senza l’ausilio di processi automatizzati e applicata a dati personali o insiemi di dati personali, come la raccolta, la registrazione, la conservazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, indipendentemente dal fatto che tali operazioni siano compiute in via automatizzata. Quindi, tutte o quasi le attività abitualmente compiute nell’ambito di parrocchie e/o diocesi (registri dei sacramenti, elenchi per il catechismo…) devono considerarsi trattamento dei dati personali (art. 1, § 2 e art. 2, Decreto; art. 2, par. 2 e art. 4 Regolamento).
- Perché il trattamento sia lecito deve essere presente almeno una delle condizioni elencate dall’art. 4, § 1, del Decreto. La condizione più frequente è il consenso informato del soggetto interessato, cioè del soggetto dei cui dati si tratta (art. 2; art. 4; art. 5 Decreto; art. 4; art. 6; art. 7 Regolamento). Tale consenso deve essere espresso e inequivocabile e deve essere preceduto da una adeguata informativa (v. allegato) (art. 6 Decreto; art. 13; art. 14 Regolamento). L’interessato può sempre revocare il consenso al trattamento (art. 5, § 3 Decreto; art. 17; art. 21 Regolamento).
– È necessario individuare un “titolare del trattamento”, cioè il soggetto che determina le finalità e i mezzi del trattamento (art. 2 Decreto; art. 4 Regolamento). Tale soggetto dovrebbe essere di regola il soggetto apicale dell’ente (Vescovo, parroco,…), ma potrebbe anche essere un soggetto diverso, persona fisica o giuridica (Diocesi, parrocchia). Data la ontologica “mutevolezza” del soggetto apicale dell’ente, potrebbe essere preferibile nominare titolare l’ente stesso (nella persona, senza necessità di dichiararlo espressamente, del suo legale rappresentante pro tempore).
Sono esclusi i dati che, non provenendo dal richiedente, sono coperti da segreto stabilito per legge o per regolamento ovvero non sono separabili da quelli che concernono terzi e la cui riservatezza esige tutela. L’interessato in ogni caso non ha diritto di ispezione dei dati del registro e dei dati sottratti alla sua conoscenza”. Certificati, estratti, attestati dovrebbero essere quindi richiesti o dal diretto interessato (o dai suoi legali rappresentanti, se minore), o da un suo delegato.
– Deve essere tenuto un “registro delle attività di trattamento”, anche in formato elettronico, che contiene le seguenti informazioni: a) il nome e i dati di contatto del titolare del trattamento e, ove presenti, del rappresentante del titolare del trattamento e del responsabile della protezione dei dati; b) le finalità del trattamento; c) una descrizione delle categorie di interessati e delle categorie di dati personali; d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi diversi od organizzazioni internazionali; e) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative (art. 19 Decreto; art. 30 Regolamento).
– Una particolare attenzione deve essere prestata per assicurare l’inviolabilità degli archivi, specie qualora si tratti di archivi informatici. L’archivio deve essere dotato di un sistema di chiusura che garantisca una sufficiente sicurezza da tentativi di furto e di scasso. Le chiavi dell’archivio cartaceo devono essere custodite personalmente e accuratamente dal titolare del trattamento. Spetta al titolare del trattamento autorizzare agli estranei l’accesso ai dati. Il titolare del trattamento deve denunciare quanto prima all’autorità ecclesiastica competente e, se del caso, anche all’autorità civile, ogni incursione nell’archivio che abbia causato sparizione, sottrazione o danneggiamento di registri, atti, documenti pubblici, elenchi e schedari contenenti dati personali. Il titolare del trattamento deve documentare qualsiasi violazione dei dati personali, comprese le circostanze in cui si è verificata, le sue conseguenze e i provvedimenti adottati per porvi rimedio (art. 2; art. 13; art. 14 Decreto; art. 4; art. 32; art. 33; art. 34 Regolamento).
– Sono previste sanzioni, di non poco rilievo (art. 23 Decreto; art. 82; art. 83, art. 84 Regolamento) che possono ammontare fino a 20 milioni di Euro.