Source: http://directio.it/multimedia/news/2018/05/15-gdpr-decreto-privacy-adegua-norme-interne-modificata-prima-bozza.aspx
Timestamp: 2018-05-21 18:51:33+00:00
Document Index: 76967194

Matched Legal Cases: ['art. 9', 'art. 167', 'art. 9', 'art. 10', 'sentenza ', 'sentenza ']

Inviato alle Camere il decreto privacy che adegua le norme interne al GDPR: modificata la prima bozza | News | Directio - le strade nell'economia
Non viene più abrogato, ma modificato il Codice Privacy. Cancellate le vecchie pene riferite a reati ora depenalizzati e introdotte nuove sanzioni penali con reclusione fino a tre anni
Il testo del nuovo decreto legislativo che interviene sulle norme interne per adeguarle al Regolamento n. 679/2016 in materia di trattamento dati personali è stato inviato alle Camere per l’approvazione definitiva. Il contenuto di questo decreto è molto diverso dalla prima bozza che prevedeva l’abrogazione quasi totale del Codice Privacy. Il testo odierno, infatti, salva molte più norme e, diversamente dalla prima bozza, parla di modifiche al Codice della Privacy e ne menziona la norma come base giuridica interna al fianco del Regolamento n. 679; naturalmente, essendo il regolamento fonte primaria, qualora alcune norme dovessero risultare incompatibili, quest’ultimo prevarrà sulla normativa interna.
Più spazio alle regole deontologiche
Il nuovo decreto si sofferma in particolare sui trattamenti di dati personali svolti per dare esecuzione ad obblighi di interesse pubblico o connessi all’esercizio di pubblici poteri, prevedendo che se i soggetti pubblici trattano i dati secondo la legge, non è necessario il consenso degli interessati, d’altra parte impone al Garante di approvare regole deontologiche per tali tipologie di trattamenti che regolamentino i trattamenti necessari per adempiere ad un obbligo legale al quale è soggetto il titolare del trattamento o quelli necessari per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento. Anche il rispetto di queste regole da parte dei titolari che rientrino in tali tipi di trattamento costituirà condizione essenziale per trattare correttamente e legittimamente i dati personali.
Chi ha meno di 16 anni dovrà avere il consenso dei genitori per fruire dei servizi della società dell’informazione
Resta ferma a sedici anni la possibilità per il minore di prestare autonomamente il proprio consenso per trattamenti specificamente rivolti a tale soggetto nell’ambito della società dell’informazione; per soggetti con età inferiore ai sedici anni il consenso suddetto deve essere prestato dal genitore o da chi ne esercita la patria potestà, diversamente il trattamento si considera illegittimo. Il titolare dovrà prestare particolare attenzione nel linguaggio e nella forma utilizzati per rendere l’informativa, come del resto già raccomanda il Regolamento.
Misure di garanzia specifiche per trattamenti di dati particolari e giudiziari
Nel decreto vengono poi elencati specificamente i casi relativi ai trattamenti di dati necessari per eseguire un obbligo di interesse pubblico rilevante e viene stabilito che il Garante adotti con cadenza biennale misure di garanzia per i trattamenti relativi a dati genetici, biometrici e sanitari e fissati i principi per il trattamento dei dati relativi a condanne penali e reati o connessi a misure di sicurezza, a tal proposito, si stabilisce che il trattamento di tali dati giudiziari, in assenza di una norma di legge o regolamento che lo autorizzi, possa essere effettuato solo se previsto da un decreto che dovrà essere emanato dal Ministero della giustizia, nel rispetto delle garanzie che saranno individuate tramite tale decreto.
Ci si riferisce in tal caso al trattamento di dati giudiziari riguardanti ad esempio: l’adempimento di obblighi e l’esercizio dei diritti da parte del titolare o dell’interessato in materia di diritti di lavoro e nell’ambito dell’esercizio del rapporto di lavoro, sempre nei limiti stabiliti dalle norme, dai regolamenti e dai contratti collettivi; trattamenti relativi all’adempimento di obblighi connessi con l’istituto della mediazione in ambito civile e commerciale; trattamenti necessari per la verifica o l’accertamento dei requisiti di onorabilità, requisiti soggettivi e presupposti interdittivi; trattamenti per l’accertamento delle responsabilità nell’ambito dei sinistri stradali o di eventi connessi alla vita umana; trattamenti necessari ai fini della prevenzione, accertamento e contrasto alle frodi o situazioni di rischio concreto per il corretto esercizio dell’attività assicurativa; trattamenti per consentire l’esercizio del diritto di difesa nell’ambito di un processo, accesso a dati e documenti amministrativi nei limiti di legge; trattamenti connessi all’esecuzione di attività investigativa, ricerche o raccolta di informazioni per conto terzi ai sensi del TULP; trattamenti relativi all’attuazione delle norme sull’attribuzioni di rating di legalità delle imprese, o per l’adempimento delle norme in materia di comunicazioni sul riciclaggio o della normativa antimafia. In tali casi, si stabilisce che qualora le norme specifiche non individuino le garanzie appropriate per l’esercizio dei diritti e delle libertà degli interessati, tali garanzie dovranno essere individuate dal decreto del Ministero della giustizia che dovrà essere emanato.
Possibilità di individuare figure interne cui attribuire specifiche responsabilità
La norma apre poi espressamente alla possibilità per il titolare o il responsabile di individuare figure interne cui attribuire specifiche funzioni e compiti connessi al trattamento di dati personali espressamente designate che operano sotto la loro autorità, istruendole opportunamente sulle modalità operative da adottare nel trattamento; vengono quindi fatte salve figure come l’incaricato e il responsabile interno del trattamento, anche se per evitare confusioni tra responsabile interno, responsabile del trattamento e responsabile della protezione ai sensi del Regolamento, si consiglia comunque di rivedere le attribuzioni usate sinora, adottando una nuova terminologia, considerando inoltre che anche ogni riferimento normativo agli incaricati nel nuovo Codice verrà sostituito dai termini “persone che risultano autorizzate”, come evidenziato dal decreto.
Si potrà richiedere l’oscuramento dei dati personali presenti nelle sentenze e negli atti giudiziari non solo se pubblicati sulle riviste elettroniche, ma detenuti in qualsiasi forma.
E’ previsto inoltre che i dati genetici, relativi alla salute o all’orientamento o vita sessuale delle persone, potrà essere effettuato solo se la situazione che si intende tutelare con l’accesso ai documenti amministrativi che contengono tali informazioni è di pari rango ai diritti dell’interessato ovvero è relativa ai diritti della personalità, ai diritti e libertà fondamentali dello stesso.
Demandato al Garante l’onere di emanare regole deontologiche anche per il trattamento di dati provenienti da pubblici registri, atti o documenti tenuti da soggetti pubblici prevedendo garanzie appropriate quando questi dati vengono combinati tra loro. Resta la possibilità di diffondere o comunicare a soggetti pubblici o privati i dati personali non sensibili che devono essere inseriti in albi professionali, inclusa la menzione di informazioni che incidono sull’esercizio della professione.
Misure deontologiche specifiche per trattamento di dati per finalità lavorative
Anche con specifico riferimento al trattamento dei dati personali nell’ambito del rapporto di lavoro, il decreto prevede che il Garante promuova l’adozione di regole deontologiche che i soggetti pubblici e privati dovranno rispettare se interessati a trattare dati personali per finalità di assunzione, esecuzione del contratto di lavoro, compreso l’adempimento degli obblighi stabiliti dalla legge o da contratti collettivi, di gestione, pianificazione e organizzazione del lavoro, parità e diversità sul posto di lavoro, salute e sicurezza sul lavoro, protezione della proprietà del datore di lavoro o del cliente e ai fini dell'esercizio e del godimento, individuale o collettivo, dei diritti e dei vantaggi connessi al lavoro, nonché per finalità di cessazione del rapporto di lavoro.
Per quanto concerne la trasmissione spontanea del curriculum, l’informativa e l’eventuale consenso non sono necessarie, salvo renderle al primo contatto successivo all’invio del curriculum.
Nel settore sanitario si parla di “informazioni” non di “informativa”
Ulteriore novità prevista è relativa al termine “informativa” che in ambiente sanitario (strutture pubbliche e private, esercenti professioni sanitarie) prenderà il nome di “informazioni” e che dovrà essere resa preferibilmente per iscritto.
Dati trattati per fini giornalistici
Per quanto riguarda il trattamento di dati per finalità giornalistiche, i dati personali che non rientrino nelle categorie particolari di cui all’art. 9 del Regolamento o all’articolo 10 possono essere trattati anche senza consenso, purché nel rispetto delle regole deontologiche sull’attività giornalistica emanate dal Garante, nel rispetto del diritto di cronaca e nei limiti dell’essenzialità della notizia riguardo a fatti di interesse pubblico. Possono essere trattati i dati personali relativi a fatti o circostanze resi noti direttamente dall’interessato o attraverso suoi comportamenti in pubblico.
Vi è poi un insieme di articoli che riformula la Parte III Titolo I e Titolo II del Codice Privacy, intervenendo sul procedimento del reclamo al Garante e regolando i suoi compiti e il suo organico.
Introdotti due nuovi articoli che prevedono sanzioni penali
L’ultimo gruppo di articoli interviene invece a modifica della Parte III Titolo III del Codice Privacy, con specifico riferimento alle sanzioni e ai procedimenti sanzionatori. Mentre nella prima bozza le sanzioni di natura penale erano state totalmente soppresse, il nuovo decreto le reintroduce e prevede, in particolare, una riformulazione dell’art. 167 del vecchio Codice Privacy, fissando al comma 2 la pena della reclusione solo a carico di chi al fine di trarne profitto per sé o per altri viola le disposizioni riferite al trattamento dei dati particolari (art. 9 del Regolamento) o giudiziari (art. 10 del Regolamento) e da questa violazione derivi nocumento per l’interessato; la pena della reclusione è prevista anche a carico di chi trasferisce al di là del territorio del SEE dati personali, fuori dai casi consentiti e senza il rispetto degli artt. 45, 46 e 49 del Regolamento, e da questo trasferimento derivi un danno per l’interessato. Resta salva anche la disposizione del Codice Privacy che stabiliva la reclusione da sei mesi a tre anni a carico di chi rende false dichiarazioni davanti al Garante.
Vengono inseriti inoltre due nuovi articoli: il 167 bis riferito alla comunicazione e diffusione illecita di dati su larga scala effettuate in violazione delle disposizioni riferite al trattamento di dati personali svolto per l’esecuzione di un obbligo di interesse pubblico o connesso all’esercizio di pubblici poteri e il 167 ter, relativo all’acquisizione fraudolenta di dati personali di un rilevante numero di interessati, al fine di trarne profitto.
Salvato l’Allegato A al Codice Privacy che non viene abrogato, ma ridefinito “Regole deontologiche”.
Estinzione delle pene precedenti
Per chi invece sia incorso nelle violazioni del Codice Privacy ed abbia procedimenti pendenti a suo carico, il decreto prevede l’abrogazione delle sanzioni penali e la trasformazione di esse nelle sanzioni amministrative previste dal Regolamento.
Con specifico riferimento ai procedimenti penali, definiti prima dell’entrata in vigore del presente decreto con sentenza di condanna o decreto irrevocabile, ora reati depenalizzati, secondo il decreto, il giudice dell’esecuzione dovrà revocare la sentenza o il decreto, dichiarando che il fatto non è previsto dalla legge come reato e adottare i provvedimenti conseguenti. Inoltre, ai fatti commessi prima della data di entrata in vigore del presente decreto, non sarà applicata una sanzione amministrativa pecuniaria per un importo superiore al massimo della pena originariamente prevista o inflitta per il reato, tenuto conto del criterio di ragguaglio di cui all’articolo 135 del codice penale. A tali fatti non si applicheranno le sanzioni amministrative accessorie introdotte dal presente decreto, salvo che le stesse sostituiscano corrispondenti pene accessorie.
Cosa accade alle regole deontologiche già approvate
Le regole di deontologia e buon a condotta attualmente già approvate restano in vigore sino a che il Garante, entro novanta giorni dall’entrata in vigore del decreto, provvederà ad aggiornarle, esse verranno pubblicate in Gazzetta Ufficiale e riportate nell’allegato A al Codice.
Anche le disposizioni del Codice relative al trattamento di dati genetici, biometrici e sanitari continuano ad applicarsi sino all’adozione delle misure di garanzia previste dal presente decreto.
In favore delle PMI, il decreto prevede che il Garante adotti nelle linee guida modalità semplificate per consentire a tali imprese di adeguarsi alle disposizioni del regolamento e di adempiere agli obblighi in qualità di titolari del trattamento.
In definitiva vengono espressamente abrogati dal presente decreto i Titoli, i Capi, le Sezioni e gli articoli del Codice Privacy, qui di seguito elencati:
Artt. 3,4,5 e 6;
Titolo II, III, IV, V, VI, VII.
il Capo I del Titolo I;
i Capi III, IV e V del Titolo IV;
gli articoli 76, 81, 83 e 84;
il Capo III del Titolo V;
gli articoli 87, 88 e 89;
il Capo V del Titolo V;
gli articoli 91, 94, 95, 98, ll2,117, 118 e 119;
i Capi II e III del Titolo X, il Titolo XI e il Titolo XIII.
la Sezione III del Capo I del Titolo l;
gli articoli 161, 162, 162-bis, 162-ter, 163, 164, 164-bis, 165, 169 e 170;
gli articoli 173, 174, 175, commi 1 e 2, 176, 177, 178 e 179;
il Capo Il del Titolo IV;
gli articoli 184 e 185;
gli allegati B e C.
Il decreto ora attende il bene placet delle Commissioni parlamentari e il parere favorevole del Garante.