Source: https://www.it-civitas.net/GDPR-gli-adempimenti-a-carico-dei-Comuni-1.htm
Timestamp: 2019-07-22 01:45:01+00:00
Document Index: 95389328

Matched Legal Cases: ['art. 9', 'art. 6', 'art. 9', 'art. 10', 'art. 23', 'art. 5', 'art. 37']

GDPR: gli adempimenti a carico dei Comuni
Il GDPR , in realtà, non contiene una formale bipartizione tra titolari pubblici e privati ​​e non contiene nemmeno norme specifiche dedicate al settore privato e pubblico, v. Art. 6 e art. 9 , comma 2 , per i dati sensibili), anche se poi, come vedremo tra breve, alcune di esse riguardano lo svolgimento di attività pubbliche.
Il nuovo Regolamento, quindi, non si tratta di un problema di trattamento, ma di una prima lettura dello schema del d.lgs. di adeguamento della normativa nazionale al GDPR approvato in esame preliminare dal CdM Sembra che vi sia l'intenzione di prevedere alcune disposizioni settoriali).
A differenza del Codice Privacy (D.lgs. N. 196/2003), il nuovo regolamento europeo non contiene la suddivisione tra le condizioni di liceità in materia di diritti riservati ai soggetti pubblici, come accadeva con il Capo II del Codice Privacy , dove, ad eccezione del settore sanitario, si menzionava l'istituto del consenso quale elemento distintivo tra titolari privati ​​e titolari pubblici.
In effetti, tra gli stessi presupposti di liceità del trattamento dei dati personali il GDPR all ' art. 6, lett. e) fa riferimento alla necessarietà del trattamento per un incarico di interesse pubblico.
Si pensi, poi, all'art. 9 del GDPR che tra le eccezioni al divieto generale di trattare i dati personali sensibili fa rientrare:
- il trattamento necessario per motivi di interesse per la tutela dei diritti e per tutelare i diritti fondamentali e gli interessi dell'interessato;
- il trattamento necessario per finalità di medicina preventiva o di medicina del lavoro o comunque necessario per motivi di interesse pubblico nel settore della sanità pubblica;
- il trattamento necessario a fini di archiviazione nel settore pubblico, di ricerca scientifica o storica oa fini statistici.
L’art. 10 del GDPR, poi, con riferimento al trattamento dei dati giudiziari chiarisce che lo stesso deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati. Anche un eventuale registro completo delle condanne penali deve essere tenuto soltanto sotto il controllo dell'autorità pubblica.
Altra norma di sicuro interesse per l’indubbia rilevanza in materia pubblicistica è rappresentata dall’art. 23 del GDPR che chiarisce come il diritto dell'Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento possa limitare, mediante specifiche misure legislative, la portata di alcuni fondamentali obblighi e diritti degli interessati qualora tale limitazione rispetti l'essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica per salvaguardare tra gli altri anche finalità di pubblico interesse.
Nell’ottica del GDPR se la violazione dei dati rappresenta una minaccia per i diritti e le libertà delle persone, il titolare dovrà informare in modo chiaro, semplice e immediato anche tutti gli interessati e offrire indicazioni su come intende limitare le possibili conseguenze negative.
La responsabilizzazione dei titolari del trattamento dei dati è il principio fondamentale alla base del nuovo regolamento, mentre il secondo aspetto di rilievo riguarda la mappatura e la ricognizione dei trattamenti svolti dalle diverse amministrazioni e le loro principali caratteristiche”. La ricognizione sarà l’occasione per verificare il rispetto dei principi fondamentali (art. 5).
Già da questa “novità” si intuisce la necessità, anche da parte dei comuni, di dotarsi di persone competenti nella gestione dei modelli privacy, in grado di effettuare corrette valutazioni di impatto privacy e audit pertinenti. Da qui, si comprende la portata di un’altra disposizione di rilievo e cioè l’introduzione obbligatoria della figura del Data Protection Officer.
La vera novità del GDPR riguarda questa figura (art. 37, 38 e 39), tanto più che nella Pubblica amministrazione è obbligatoria la sua nomina, con qualche eccezione, come ad esempio proprio i piccoli comuni che potranno condividerlo.
Naturalmente per i noti problemi connessi alla scarsità di risorse della P.A. è prevedibile che la maggior parte degli enti pubblici attingeranno dal proprio personale per la designazione di un DPO e questo comporterà, indubbiamente, alcuni problemi (come evidenziato dal WP 29, istituito dalla Direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995, nelle linee guida sui responsabili della protezione dei dati, RPD acronimo equivalente a DPO, adottate il 16 dicembre 2016 ed emendate poi il 5 aprile 2017, al fine di chiarire quali debbano essere i requisiti ed i compiti di un Data Protection Officer e quale dovrà essere in concreto il suo apporto nel campo della protezione dei dati personali di un’unità organizzativa). Questa possibilità, per la verità, appare remota per molti comuni che non dispongono al loro interno di professionalità adeguate e per questi motivi, almeno per le piccole realtà territoriali, si sta scegliendo la soluzione dell’accorpamento come specificato in precedenza.
Si ricorda, comunque, che il Garante ha reso disponibili alcune Faq sul DPO in ambito pubblicistico proponendo anche uno schema per la designazione del DPO da parte degli enti pubblici.
Artt. 37, 38 e 39 Reg. 2016/679
Compiti di consulenza e di sorveglianza sul rispetto del GDPR
I piccoli comuni possono condividere il DPO