Source: https://carmignaniconsulenza.com/2019/01/11/manuale-sulla-privacy-linee-guida-e-modalita-operative-interne-per-la-tutela-e-la-protezione-dei-dati-personali/
Timestamp: 2019-01-20 23:35:33+00:00
Document Index: 61128401

Matched Legal Cases: ['art. 77', 'art. 144', 'art. 58', 'art. 1', 'art. 5', 'art. 7', 'art. 6', 'art. 39', 'art. 1', 'art. 37', 'art. 5', 'art. 2', 'art. 2']

MANUALE SULLA PRIVACY: LINEE GUIDA E MODALITA’ OPERATIVE INTERNE PER LA TUTELA E LA PROTEZIONE DEI DATI PERSONALI – carmignaniconsulenza
i dati che permettono l’identificazione diretta- come i dati anagrafici (ad esempio: nome e cognome), le immagini, ecc. e i dati chepermettono l’identificazione indiretta, come un numero di identificazione (ad esempio, il codice fiscale, l’indirizzo IP, il numero di targa);
i dati rientranti in particolari categorie: si tratta dei dati c.d. “sensibili”, cioè quelli che rivelano l’origine razziale od etnica, le convinzioni religiose, filosofiche, le opinioni politiche, l’appartenenza sindacale, relativi alla salute o alla vita sessuale. Il Regolamento (UE) 2016/679(articolo 9) ha incluso nella nozione anche i dati genetici, i dati biometricie quelli relativi all’orientamento sessuale;
3.2 LE PARTI IN GIOCO
Interessato è la persona fisica alla quale si riferiscono i dati personali. Quindi, se un trattamento riguarda, ad esempio, l’indirizzo, il codice fiscale, ecc. di Mario Rossi, questa persona è l’interessato (articolo 4, paragrafo 1, punto 1), del Regolamento UE 2016/679);
Il Responsabile può essere individuato sia all’interno dell’Amministrazione per esempio tra i soggetti che ricoprono ruoli di responsabilità ovvero che hanno affidati poteri e funzioni di gestione e controllo, sia all’esterno ogni qual volta un soggetto esterno all’Amministrazione, che sia una persona fisica o giuridica, tratti dati personali in nome e per conto del Titolare nell’ambito dell’affidamento di un lavoro e di un servizio.
La nomina dei Responsabili interni del trattamento dei dati non è obbligatoria ma fortemente consigliata in quanto difficilmente il Titolare ha la possibilità reale di gestire e controllare i singoli trattamenti dei dati, in particolare la nomina dei Responsabili esterni è sempre consigliata in modo tale da responsabilizzare e coinvolgere nella corretta implementazione dei principi della privacy tutti gli attori che intervengono.
a) informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento;
b) sorvegliare l’osservanza del presente regolamento;
c) fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati;
d) cooperare con l’autorità di controllo.
In base all’articolo 37, paragrafo 7, del Regolamento occorre che i soggetti pubblici e privati comunichino al Garante per la protezione dei dati personali il nominativo del Responsabile della Protezione dei dati, se designato, questa disposizione mira a garantire che le autorità di controllo possano contattare il Responsabile della Protezione dei Dati in modo facile e diretto, si ricorda, infatti, che in base all’articolo 39, paragrafo 1, lettera e) del Regolamento, il Responsabile della Protezione dei Dati funge da punto di contatto fra il singolo ente o azienda e il Garante.
Sul sito del Garante è disponibile una procedura online per la comunicazione del nominativo, tale procedura è l’unica che può essere utilizzabile per l’invio dei dati di contatto del Responsabile della protezione dei dati e non potranno essere prese in considerazione le comunicazione effettuate attraverso diversi canali di contatto con il Garante (es. e-mail, posta, ecc.). Attraverso la procedura indicata non è consentito presentare quesiti, richieste e istanze al Garante, in quanto predisposta unicamente per la ricezione delle informazioni relative al Responsabile per la protezione dei dati.
3.3 Diritto di accedere ai propri dati personali
e)quale sia l’origine dei dati personali trattati;
E’ possibile poi opporsi al trattamento dei propri dati personali:
3.4 TUTELARE I DATI PERSONALI
senza ingiustificato ritardo, al più tardi entro 1 mese dal suo ricevimento;
e si ritiene che il trattamento dei dati che riguardano un interessato non è conforme alla disposizioni vigenti ovvero se la risposta ad un’istanza con cui si esercita uno o più dei diritti previsti dagli articoli 15-22 del Regolamento (UE) 2016/679 non perviene nei tempi indicati o non è soddisfacente, l’interessato può rivolgersi all’autorità giudiziaria o al Garante per la protezione dei dati personali, in quest’ultimo caso mediante un reclamo ai sensi dell’articolo art. 77 del Regolamento (UE) 2016/679.
Il Regolamento europeo non prevede più l’istituto del ricorso per fare valere i diritti di accesso ai dati personali (che pertanto non è più esperibile davanti al Garante a partire dal 25 maggio 2018).
Il reclamo al Garante è un atto circostanziato con il quale si rappresenta una violazione della disciplina rilevante in materia di protezione dei dati personali (articolo 77 del Regolamento UE 679/1996) e artt. da 140-bis a 143 del Codice, al reclamo segue un’istruttoria preliminare e un eventuale successivo procedimento amministrativo formale che può portare all’adozione dei provvedimenti di cui all’articolo 58 del Regolamento, avverso la decisione del Garante è ammesso il ricorso giurisdizionale ai sensi degli articoli 143 e 152 del Codice e dell’articolo 78 del Regolamento, la presentazione del un reclamo è gratuita.
Chiunque può rivolgere, ai sensi dell’art. 144 del Codice, una segnalazione che il Garante può valutare anche ai fini dell’emanazione dei provvedimenti di cui all’art. 58 del Regolamento (indirizzo).
4. Processi di lavoro interni e buone pratiche
4.1 Principi generali del trattamento di dati personali
Occorre verificare che la richiesta di consenso sia chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato (articolo 7.2), per esempio all’interno della modulistica, non è ammesso il consenso tacito o presunto (per esempio, presentando caselle già spuntate su un modulo), quando il trattamento riguarda le “categorie particolari di dati personali” (articolo 9 Regolamento) il consenso deve essere “esplicito”, lo stesso vale per il consenso a decisioni basate su trattamenti automatizzati (compresa la profilazione – articolo 22), quindi benchè non espressamente previsto qualora il Titolare si trovi nella condizione di dover richiedere il consenso per il trattamento dei dati è necessario che lo faccia nella forma scritta.
Per quanto riguarda l’interesse vitale di un terzo, si può invocare tale base giuridica per il trattamento di dati personali solo se nessuna delle altre condizioni di liceità può trovare applicazione (considerando 46).
Per quanto riguarda l’interesse legittimo prevalente di un titolare o di un terzo, il ricorso a questa base giuridica per il trattamento di dati personali presuppone che il titolare stesso effettui un bilanciamento fra il legittimo interesse suo o del terzo e i diritti e libertà dell’interessato. Dal 25 maggio 2018, dunque, tale bilanciamento non spetta più all’Autorità, in linea di principio. Si tratta di una delle principali espressioni del principio di “responsabilizzazione” introdotto dal Regolamento (UE) 2016/679.
L’interesse legittimo del titolare o del terzo deve risultare prevalente sui diritti e le libertà fondamentali dell’interessato per costituire un valido fondamento di liceità, il Regolamento chiarisce espressamente che l’interesse legittimo del titolare non costituisce idonea base giuridica per i trattamenti svolti dalle autorità pubbliche in esecuzione dei rispettivi compiti, si ricordi, inoltre, che il legittimo interesse non può essere invocato isolatamente quale base giuridica per il trattamento delle categorie particolari di dati personali (articolo 9, paragrafo 2, del Regolamento).
4.2 Trasparenza del trattamento E l’informativa agli interessati
Fatte salve alcune eccezioni, chi intende effettuare un trattamento di dati personali deve fornire all’interessato alcune informazioni anche per metterlo nelle condizioni di esercitare i propri diritti (articoli 15-22 del Regolamento medesimo), l’informativa va sempre resa.
Il Regolamento prevede anche ulteriori informazioni in quanto “necessarie per garantire un trattamento corretto e trasparente”: in particolare, il titolare deve specificare il periodo di conservazione dei dati o i criteri seguiti per stabilire tale periodo di conservazione, e il diritto di presentare un reclamo all’autorità di controllo, se il trattamento comporta processi decisionali automatizzati (anche la profilazione), l’informativa deve specificarlo e deve indicare anche la logica di tali processi decisionali e le conseguenze previste per l’interessato.
In base al Regolamento, si deve porre particolare attenzione alla formulazione dell’informativa, che deve essere soprattutto comprensibile e trasparente per l’interessato, attraverso l’uso di un linguaggio chiaro e semplice. In particolare, bisogna ricordare che per i minori si devono prevedere informative idonee.
4.3 Un approccio responsabile al trattamento E IL CONCETTO DI Accountability
Fondamentali fra tali attività sono quelle connesse al secondo criterio individuato nel Regolamento rispetto alla gestione degli obblighi dei titolari: ossia il rischio inerente al trattamento. Quest’ultimo è da intendersi come rischio di impatti negativi sulle libertà e i diritti degli interessati (considerando 75-77); tali impatti dovranno essere analizzati attraverso un apposito processo di valutazione (artt. 35- 36) tenendo conto dei rischi noti o evidenziabili e delle misure tecniche e organizzative (anche di sicurezza) che il titolare ritiene di dover adottare per mitigare tali rischi.
Si tratta di uno strumento fondamentale allo scopo di disporre di un quadro aggiornato dei trattamenti in essere all’interno di un’azienda o di un soggetto pubblico, indispensabile per ogni valutazione e analisi del rischio. I contenuti del registro sono fissati nell’articolo 30. Tuttavia, niente vieta a un titolare o responsabile di inserire ulteriori informazioni se lo si riterrà opportuno proprio nell’ottica della complessiva valutazione di impatto dei trattamenti svolti, il registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante.
Fra tali misure, il Regolamento menziona, in particolare:
misure per garantire la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
misure atte a garantire il tempestivo ripristino della disponibilità dei dati;
procedure per verificare e valutare regolarmente l’efficacia delle misure di sicurezza adottate.
Per questi motivi, non possono sussistere dopo il 25 maggio 2018 obblighi generalizzati di adozione di misure “minime” di sicurezza poiché tale valutazione è rimessa, caso per caso, al titolare e al responsabile in rapporto ai rischi specificamente individuati come da articolo 32 del Regolamento, vi è, inoltre, la possibilità di utilizzare l’adesione a specifici codici di condotta o a schemi di certificazione per attestare l’adeguatezza delle misure di sicurezza adottate (articolo 32, paragrafo 3).
La protezione dei dati deve inoltre essere garantita mediante l’adozione di opportune misure fisiche di accesso e conservazione degli stessi, nonché di buone pratiche per tutti coloro che trattano i dati personali. Nella pratica questo significa che naturalmente l’accesso ai locali delle strutture dell’Amministrazione deve essere protetto da adeguati sistemi anti intrusione con l’eventuale utilizzo anche di allarmi e videosorveglianza, l’accesso agli uffici deve essere protetto da adeguati sistemi di chiusura come serrature o badge, deve avvenire sempre attraverso previo riconoscimento e deve essere interdetto a coloro che non siano autorizzati in mancanza del personale addetto appartenente all’ufficio in questione che possa vigilare.
Tutti i documenti presenti all’interno degli uffici devono essere sempre correttamente riposti e conservati in maniera che venga garantito l’anonimato dei dati contenuti all’interno di essi, la conservazione dei documenti contenenti in particolare dati sensibili deve prevedere specifici e ulteriori meccanismi di protezione, quali ad esempio casseforti o armadietti dotati di chiave.
L’accesso agli uffici e ai documenti in essi contenuti è di esclusiva competenza del personale appartenente all’ufficio e se previsto dei rispettivi superiori gerarchici, possono accedere altri soggetti se preventivamente autorizzati e regolamentati in modo da definire le procedure per le quali sia garantita sia la responsabilizzazione della protezione dei dati trattati dai dipendenti di un ufficio ma sia al contempo garantito il controllo o la possibilità di intervento qualora ve ne fosse bisogno, è fondamentale che qualsiasi richiesta di accesso ai documenti da parte di non addetti ai lavori, in particolare da soggetti esterni, vada sempre documentata per iscritto e valutata nel rispetto della normativa vigente e dei regolamenti dell’ente.
Tutti i dipendenti e i collaboratori dell’Amministrazione sono responsabilizzati e sono tenuti non solo all’applicazione della normativa vigente ma anche a vigilare e controllare fattivamente il rispetto della protezione dei dati personali, tutto ciò va contemperato e conciliato con la capacità di garantire la continuità dell’erogazione dei pubblici servizi.
5. Misure minime di sicurezza ICT
Per quanto riguarda la sicurezza informatica ai fini della protezione dei dati personali è possibile fare riferimento alle Misure minime di sicurezza ICT per le Pubbliche Amministrazioni le quali costituiscono parte integrante delle Linee Guida per la sicurezza ICT delle Pubbliche Amministrazioni. Questo documento è emesso in attuazione della Direttiva del Presidente del Consiglio dei Ministri 1 agosto 2015 e costituisce un’anticipazione urgente della regolamentazione completa in corso di emanazione, al fine di fornire alle pubbliche amministrazioni dei criteri di riferimento per stabilire se il livello di protezione offerto da un’infrastruttura risponda alle esigenze operative, individuando anche gli interventi idonei per il suo adeguamento.
I controlli dovrebbero essere implementati per ottenere un determinato livello di sicurezza. Il livello “Minimo” specifica il livello sotto il quale nessuna amministrazione può scendere: i controlli in essa indicati debbono riguardarsi come obbligatori. La seconda, “Standard”, può essere assunta come base di riferimento nella maggior parte dei casi, mentre la terza, “Alto”, può riguardarsi come un obiettivo a cui tendere.
Di seguito vengono riportate singole schede di controllo contenenti ognuna una famiglia di misure di dettaglio più fine, che possono essere adottate in modo indipendente, consentendo un’ulteriore modulazione utile ad adattare il sistema di sicurezza alla effettiva realtà locale.
6. PRIVACY E TRASPARENZA
6.1 Trasparenza e nuova disciplina della tutela dei dati personali (Reg. UE 2016/679)
A seguito dell’applicazione dal 25 maggio 2018 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 «relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati)» (si seguito RGPD) e, dell’entrata in vigore, il 19 settembre 2018, del decreto legislativo 10 agosto 2018, n. 101 che adegua il Codice in materia di protezione dei dati personali – decreto legislativo 30 giugno 2003, n. 196 – alle disposizioni del Regolamento (UE) 2016/679, sono stati formulati quesiti all’ANAC volti a
chiarire la compatibilità della nuova disciplina con gli obblighi di pubblicazione previsti dal d.lgs. 33/2013.
Il regime normativo per il trattamento di dati personali da parte dei soggetti pubblici è, quindi, rimasto sostanzialmente inalterato essendo confermato il principio che esso è consentito unicamente se ammesso da una norma di legge o, nei casi previsti dalla legge, di regolamento. Pertanto, fermo restando il valore riconosciuto alla trasparenza, che concorre ad attuare il principio democratico e i principi costituzionali di eguaglianza, di imparzialità, buon andamento, responsabilità, efficacia ed efficienza nell’utilizzo di risorse pubbliche, integrità e lealtà nel servizio alla nazione (art. 1, d.lgs. 33/2013), occorre che le pubbliche amministrazioni, prima di mettere a disposizione sui propri siti web istituzionali dati e documenti (in forma integrale o per estratto, ivi compresi gli allegati) contenenti dati personali, verifichino che la disciplina in materia di trasparenza contenuta nel d.lgs. 33/2013 o in altre normative, anche di settore, preveda l’obbligo di pubblicazione.
Giova rammentare, tuttavia, che l’attività di pubblicazione dei dati sui siti web per finalità di trasparenza, anche se effettuata in presenza di idoneo presupposto normativo, deve avvenire nel rispetto di tutti i principi applicabili al trattamento dei dati personali contenuti all’art. 5 del Regolamento (UE) 2016/679, quali quelli di liceità, correttezza e trasparenza; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza tenendo anche conto del principio di “responsabilizzazione” del titolare del trattamento. In particolare, assumono rilievo i principi di adeguatezza, pertinenza e limitazione a quanto necessario rispetto alle finalità per le quali i dati personali sono trattati («minimizzazione dei dati») (par. 1, lett. c) e quelli di esattezza e aggiornamento dei dati, con il conseguente dovere di adottare tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati
(par. 1, lett. d).
Il medesimo d.lgs. 33/2013 all’art. 7 bis, co. 4, dispone inoltre che «Nei casi in cui norme di legge o di regolamento prevedano la pubblicazione di atti o documenti, le pubbliche amministrazioni provvedono a rendere non intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione». Si richiama anche
quanto previsto all’art. 6 del d.lgs. 33/2013 rubricato “Qualità delle informazioni” che risponde alla esigenza di assicurare esattezza, completezza, aggiornamento e adeguatezza dei dati pubblicati. In generale, in relazione alle cautele da adottare per il rispetto della normativa in materia di protezione dei dati personali nell’attività di pubblicazione sui siti istituzionali per finalità di trasparenza e pubblicità dell’azione amministrativa, si rinvia alle più specifiche indicazioni fornite dal Garante per la protezione dei dati personali.
Si ricorda inoltre che, in ogni caso, ai sensi della normativa europea, il Responsabile della Protezione dei Dati-RPD (vedi infra paragrafo successivo) svolge specifici compiti, anche di supporto, per tutta l’amministrazione essendo chiamato a informare, fornire consulenza e sorvegliare in relazione al rispetto degli obblighi derivanti della normativa in materia di protezione dei dati personali (art. 39 del RGPD).
6.2 Rapporti tra RPCT e Responsabile della Protezione dei Dati –RPD
Un indirizzo interpretativo con riguardo ai rapporti fra il Responsabile della prevenzione della corruzione (RPCT) e il Responsabile della protezione dei dati – RPD, figura introdotta dal Regolamento (UE) 2016/679 (artt. 37-39), è stato sollecitato all’Autorità da diverse amministrazioni. Ciò in ragione della circostanza che molte amministrazioni e soggetti privati tenuti al rispetto delle disposizioni contenute nella l. 190/2012, e quindi alla nomina del RPCT, sono chiamate a individuare anche il RPD.
Come chiarito dal Garante per la protezione dei dati personali l’obbligo investe, infatti, tutti i soggetti pubblici, ad esempio, le amministrazioni dello Stato, anche con ordinamento autonomo, gli enti pubblici non economici nazionali, regionali e locali, le Regioni e gli enti locali, le università, le Camere di commercio, industria, artigianato e agricoltura, le aziende del Servizio sanitario nazionale, le autorità indipendenti ecc.
Secondo le previsioni normative, il RPCT è scelto fra personale interno alle amministrazioni o enti (si rinvia al riguardo all’art. 1, co. 7, della l. 190/2012 e alle precisazioni contenute nei Piani nazionali anticorruzione 2015 e 2016). Diversamente il RPD può essere individuato in una professionalità interna all’ente o assolvere ai suoi compiti in base ad un contratto di servizi stipulato con persona fisica o giuridica esterna all’ente (art. 37 del Regolamento (UE) 2016/679).
Fermo restando, quindi, che il RPCT è sempre un soggetto interno, qualora il RPD sia individuato anch’esso fra soggetti interni, l’Autorità ritiene che, per quanto possibile, tale figura non debba coincidere con il RPCT. Si valuta, infatti, che la sovrapposizione dei due ruoli possa rischiare di limitare l’effettività dello svolgimento delle attività riconducibili alle due diverse funzioni, tenuto conto dei numerosi compiti e responsabilità che la normativa attribuisce sia al RPD che al RPCT.
Eventuali eccezioni possono essere ammesse solo in enti di piccoli dimensioni qualora la carenza di personale renda, da un punto di vista organizzativo, non possibile tenere distinte le due funzioni. In tali casi, le amministrazioni e gli enti, con motivata e specifica determinazione, possono attribuire allo stesso soggetto il ruolo di RPCT e RPD. Giova sottolineare che il medesimo orientamento è stato espresso dal Garante per la protezione dei dati personali nella FAQ n. 7 relativa al RPD in ambito pubblico, laddove ha chiarito che «In linea di principio, è quindi ragionevole che negli enti pubblici di grandi dimensioni, con trattamenti di dati personali di particolare complessità e sensibilità, non vengano assegnate al RPD ulteriori responsabilità (si pensi, ad esempio, alle amministrazioni centrali, alle agenzie, agli istituti previdenziali, nonché alle regioni e alle asl). In tale quadro, ad esempio, avuto riguardo, caso per caso, alla specifica struttura organizzativa, alla dimensione e alle attività del singolo titolare o responsabile, l’attribuzione delle funzioni di RPD al responsabile per la prevenzione della corruzione e per la trasparenza, considerata la molteplicità degli adempimenti che incombono su tale figura, potrebbe rischiare di creare un cumulo di impegni tali da incidere negativamente sull’effettività dello svolgimento dei compiti che il RGPD attribuisce al RPD».
Resta fermo che, per le questioni di carattere generale riguardanti la protezione dei dati personali, il RPD costituisce una figura di riferimento anche per il RPCT, anche se naturalmente non può sostituirsi ad esso nell’esercizio delle funzioni. Si consideri, ad esempio, il caso delle istanze di riesame di decisioni sull’accesso civico generalizzato che, per quanto possano riguardare profili attinenti alla protezione dei dati personali, sono decise dal RPCT con richiesta di parere al Garante per la protezione dei dati personali ai sensi dell’art. 5, co. 7, del d.lgs. 33/2013. In questi casi il RPCT ben si può avvalere, se ritenuto necessario, del supporto del RDP nell’ambito di un rapporto di collaborazione interna fra gli uffici ma limitatamente a profili di carattere generale, tenuto conto che proprio la legge attribuisce al RPCT il potere di richiedere un parere al Garante per la protezione dei dati personali. Ciò anche se il RPD sia stato eventualmente già consultato in prima istanza dall’ufficio che ha riscontrato l’accesso civico oggetto del riesame.
Le considerazioni sopra espresse per le amministrazioni e gli enti valgono anche per i soggetti di cui all’art. 2-bis, co. 2, del d.lgs. 33/2013 tenuti a nominare il RPCT, qualora, ai sensi del Regolamento (UE) 2016/679, siano obbligati a designare anche il RPD. Ci si riferisce agli enti pubblici economici, agli ordini professionali, alle società in controllo pubblico come definite all’art. 2, co. 1, lett. m), del d.lgs. 175 del 2016, alle associazioni, alle fondazioni e agli enti di diritto privato comunque denominati, anche privi di personalità giuridica, con bilancio superiore a cinquecentomila euro, la cui attività sia finanziata in modo maggioritario per almeno due esercizi finanziari consecutivi nell’ultimo triennio da pubbliche amministrazioni e in cui la totalità dei titolari o dei componenti dell’organo d’amministrazione o di indirizzo sia designata da pubbliche amministrazioni (Cfr. determinazione ANAC 1134/2017).
7. Valutazione dell’impatto SULLA PROTEZIONE dei dati
7.1 QUANDO EFFETTUARE UNA VALUTAZIONE D’IMPATTO
Le Linee guida in materia di valutazione d’impatto sulla protezione dei dati e determinazione della possibilità che il trattamento “possa presentare un rischio elevato” hanno individuato i seguenti nove criteri da tenere in considerazione ai fini dell’identificazione dei trattamenti che possono presentare un “rischio elevato”.
Elenco delle tipologie di trattamenti, soggetti al meccanismo di coerenza, da sottoporre a valutazione d’impatto:
Il ricorrere di due o più dei predetti criteri è indice di un trattamento che presenta un rischio elevato per i diritti e le libertà degli interessati e per il quale è quindi richiesta una valutazione d’impatto sulla protezione dei dati, ad ogni modo “quando un tipo di trattamento, allorché prevede in particolare l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell’impatto dei trattamenti previsti sulla protezione dei dati personali”, tale elenco è riferito esclusivamente a tipologie di trattamento soggette al meccanismo di coerenza e che non è esaustivo, restando fermo quindi l’obbligo di adottare una valutazione d’impatto sulla protezione dei dati laddove ricorrano due o più dei criteri individuati dal WP 248, rev. 01 e che in taluni casi “un titolare del trattamento può ritenere che un trattamento che soddisfa soltanto uno dei predetti criteri richieda una valutazione d’impatto sulla protezione dei dati”.
7.2 Un software per la valutazione di impatto
Fonti ufficiali e autorevoli da cui sono state liberamente tratte e riportate alcune informazioni contenute nel presente Manuale:
GDPR, Regolamento Europeo 679/2016
Codice sulla Privacy, dlgs 196/2003
Aggiornamento al Codice della Privacy, dlgs 101/2018
Si allegano al presente Manuale alcuni documenti di lavoro ed esempi ai fini della corretta implementazione della privacy:
Regolamento per la protezione dei dati personali, integrazione al Regolamento uffici e servizi
Nomina dei responsabili del trattamento dati interni
Nomina dei responsabili del trattamento dati esterni
Nomina del corresponsabile del trattamento dei dati
Riferimento all’informativa sulla privacy per i documenti
Riferimento all’informativa sulla privacy per l’email
Questa voce è stata pubblicata in privacy e contrassegnata con documentazione implementazione privacy, manuale sulla privacy, metodologia protezione dati, privacy, protezione dei dati personali. Contrassegna il permalink.