Source: https://www.avvocatomasi.com/post/e-privacy-fu
Timestamp: 2020-07-10 11:49:00+00:00
Document Index: 115915107

Matched Legal Cases: ['art. 22', 'art. 20', 'art. 21', 'art. 22', 'art. 13', 'art. 144', 'art. 141']

E Privacy fu!
Entra in vigore oggi il D. Lgs. n. 101/2018 (“Decreto”), di adeguamento della normativa nazionale in materia di protezione dei dati (in particolare il D. Lgs. 196/2003 – “Codice Privacy”) a seguito della piena applicabilità del Reg. UE 2016/679 (General Data Protection Regulation – “GDPR”).
Il Codice Privacy e il GDPR, quindi, coesisteranno e forniranno il principale riferimento normativo per gli operatori.
I temi anticipati dal Comunicato Stampa del Consiglio dei Ministri dell’8 agosto sono tutti presenti, anche se non sempre sviluppati come ci si sarebbe augurato, e l’impressione generale è che il nuovo testo fornisca limitate indicazioni operative (ulteriori a quanto già previsto nel GDPR) per titolari e responsabili del trattamento ‘privati’, mentre vengono dedicate ampie parti ai trattamenti svolti da organi pubblici, o per finalità di pubblico interesse.
A livello pratico, il Decreto prevede un nuovo Art. 2 del Codice Privacy, nei cui sotto-articoli vengono trattati molti dei temi introdotti dal GDPR, interviene in maniera significativa sul punto della struttura, dei poteri e delle funzioni del Garante, e modifica in maniera più sartoriale altre previsioni.
Di seguito qualche indicazione sui principali temi di interesse per titolari e responsabili del trattamento nel loro percorso di adeguamento al GDPR.
Era stato annunciato e il Decreto contiene un rinvio a successivi provvedimenti del Garante rispetto a misure di semplificazione per le PMI nell’adempimento degli obblighi di titolare del trattamento.
La previsione è scarna e non riporta indicazioni sui settori di semplificazione, sui principi della semplificazione (oltre all’ovvio rispetto del GDPR e del Codice Privacy) e neppure sulle tempistiche.
Inoltre, la previsione fa esplicito riferimento solo a modalità semplificate di adempimento degli obblighi delle PMI in qualità di titolare del trattamento, e non di responsabile del trattamento, lasciando aperta la domanda se si tratti di una scelta o di un aspetto non debitamente calibrato.
Infine, lascia perplessi anche la modalità indicata per l’implementazione della semplificazione, ovvero tramite linee guida del Garante. In questo modo, non potranno essere mitigati obblighi esplicitamente previsti dalla normativa nazionale, oltre che da quella europea, e gli spazi di manovra saranno limitati.
Su questo punto l’attesa non è finita e vedremo come sarà riflesso nella pratica dal Garante.
Per quanto riguarda l’applicazione delle sanzioni amministrative, il Garante - per i primi otto mesi dalla data di entrata in vigore del Decreto - tiene conto della circostanza che sia la fase di prima applicazione delle disposizioni sanzionatorie (art. 22, comma 13). Questa clausola è stata interpretata, forse leggendo tra le righe più del dovuto, come una sorta di moratoria nell’applicazione delle sanzioni amministrative per un primo periodo. Concretamente, si tratta invece di una sorta di ‘attenuante’ che il Garante considera nella determinazione dell’ammontare della sanzione, e non della sospensione dall’applicazione delle sanzioni stesse.
Continuità con i Precedenti Provvedimenti e Autorizzazioni del Garante
Come anticipato nel comunicato stampa del Consiglio dei Ministri, il Decreto prevede forme di continuità con i precedenti provvedimenti del Garante:
i) I codici di deontologia di cui agli allegati A.5 e A.7 del Codice Privacy continuano a produrre effetti a determinate condizioni (art. 20).
ii) le autorizzazioni generali verranno aggiornate con provvedimento del Garante da sottoporre a consultazione pubblica (art. 21).
iii) I provvedimenti del Garante continuano ad applicarsi, in quanto compatibili con il GDPR e il Decreto (art. 22.4).
Alcuni punti fermi raggiunti nella prassi dal Garante sono quindi fatti salvi.
Altri interventi che meritano una menzione sono:
1. Segnalazioni al Garante. L’art. 13 lett. g) modifica l’art. 144 del Codice Privacy prevedendo che la segnalazione al Garante possa essere effettuata da chiunque e non più solo dall’interessato, come precedentemente previsto dall’art. 141 del Codice Privacy.
2. Consenso dei Minorenni. Il Decreto indica il compimento del 14mo anno d’età come requisito per la validità del consenso prestato dal minorenne nell’ambito dei servizi della società dell’informazione (nel GDPR si fa riferimento al compimento del 16mo anno d’età, con facoltà per gli Stati Membri di abbassare tale soglia, ma non al di sotto del 13mo anno di età).
3. Limitazioni ai Diritti dell’Interessato. Il Decreto prevede limitazioni dei diritti dell’interessato previsti dal GDPR (artt. da 15 a 22) qualora dall'esercizio di tali diritti possa derivare un pregiudizio effettivo e concreto ad altri interessi meritevoli di tutela (in materia di riciclaggio, attività delle commissioni parlamentari d’inchiesta, attività di controllo degli intermediari e mercati finanziari, esercizio di diritti per ragione di giustizia e altri).
4. Dati delle persone decedute. Il GDPR esclude dal proprio campo di applicazione i dati personali di persone decedute (Considerando 27), lasciando tuttavia agli Stati Membri la possibilità di normare in proposito. In continuità con il Codice Privacy, il Decreto conferma che i diritti dell’interessato previsti dagli articoli da 15 a 22 del GDPR rispetto ai dati personali di una persona deceduta possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell'interessato o per ragioni famigliari meritevoli di protezione.
Il testo del Decreto tanto atteso e finalmente messo a disposizione aggiunge elementi utili nella determinazione delle modalità di adeguamento alla normativa e di trattamento dei dati personali. Rimane comunque la necessità di comprendere l’incidenza della disciplina attraverso l’applicazione concreta del Codice Privacy, la casistica e l’attività del Garante. CM LP