Source: http://www.blogstudiolegalefinocchiaro.it/2018/03/
Timestamp: 2018-03-20 17:36:12+00:00
Document Index: 110034072

Matched Legal Cases: ['sentenza ', 'art. 360', 'sentenza ', 'sentenza ', 'sentenza ', 'art. 22', 'sentenza ', 'art. 22', 'art. 4', 'art. 7', 'art. 6', 'art. 6', 'art. 9', 'art. 8']

posted by Maria Chiara Meneghetti on marzo 19, 2018
Bologna: una giornata di studi sul contratto internazionale
posted by Laura Greco on marzo 12, 2018
Il regolamento privacy (Regolamento (UE) 2016/679, GDPR) sarà a breve direttamente applicabile su tutto il territorio europeo. Ha inizio per imprese, pubbliche amministrazioni e privati cittadini il rush finale per adeguarsi alle disposizioni previste dalla nuova normativa. Allo scopo di facilitare la lettura di un testo complesso e articolato come il GDPR, si propongono una serie di semplici schede informative, attraverso la formula del Q&A, che, riprendendo concetti ormai noti nell’ambito privacy, offrono un sintetico orientamento alla nuova normativa.
Il Data Protection Officer, o più comunemente D.P.O. (in italiano, “Responsabile della protezione dei dati”), è la figura nominata dal titolare o dal responsabile del trattamento avente, principalmente, un duplice ruolo: da un lato, quello di sorvegliare e coordinare l’osservanza della disciplina privacy all’interno dell’organizzazione del soggetto che l’ha designato; dall’altro, quello di interfaccia esterna con le autorità e con i soggetti interessati.
Quando deve essere nominato il D.P.O.?
La designazione del D.P.O. è obbligatoria quando: a) il trattamento è effettuato da un soggetto pubblico (eccettuate le autorità giurisdizionali); b) il trattamento richiede il monitoraggio sistematico degli interessati su larga scala; c) viene effettuato il trattamento su larga scala di particolari categorie di dati (ad esempio: dati sensibili, dati genetici, biometrici, dati giudiziari o dati riferiti a minori). Tuttavia, la legge nazionale o il diritto europeo possono prevedere ulteriori casi di designazione obbligatoria.
Al di fuori di queste ipotesi, la nomina del D.P.O. è facoltativa ma è comunque fortemente raccomandata, data la rilevante funzione di ausilio e di supporto nell’osservanza del GDPR.
Quali sono i requisiti necessari per essere nominati D.P.O.?
Il D.P.O. deve possedere conoscenze specialistiche proporzionate alla sensibilità, complessità e quantità dei dati sottoposti a trattamento. In particolare, deve padroneggiare la normativa e le prassi nazionali ed europee in materia di protezione dei dati e avere un’approfondita conoscenza del GDPR, così come del settore di attività e della struttura organizzativa del titolare del trattamento.
Infine, deve avere una buona familiarità con le operazioni di trattamento svolte, nonché con i sistemi informativi e le esigenze di sicurezza e protezione dei dati manifestate dal titolare/responsabile.
Quali compiti può svolgere il D.P.O.?
Oltre alla funzione di coordinamento interno e di interfaccia esterna, il D.P.O. deve occuparsi della formazione continua dell’organico del titolare/responsabile del trattamento in materia privacy, monitorare il rispetto del GDPR, nonché fornire – ove richiesto – un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento. L’elenco delle mansioni non è esaustivo e il titolare o il responsabile del trattamento possono decidere di affidargli ulteriori compiti, come ad esempio la tenuta del registro delle attività di trattamento.
Il D.P.O. può essere un dipendente?
Il titolare o il responsabile del trattamento possono decidere di nominare D.P.O. un soggetto interno alla propria organizzazione ovvero di affidare la mansione ad un soggetto esterno (mediante outsourcing o un contratto di servizi). In entrambi i casi, occorrerà garantire la piena autonomia e indipendenza del D.P.O., così come l’assenza di conflitti di interesse. Per questo motivo, il D.P.O. non può ricevere istruzioni né essere rimosso o penalizzato per l’adempimento dei propri compiti.
Il D.P.O. può avvalersi di ausiliari?
È obbligo del titolare o del responsabile del trattamento fornire al D.P.O. tutte le risorse necessarie in termini di tempo e budget sufficienti per espletare i propri compiti, infrastrutture (sede, attrezzature, strumentazione) e personale. Il D.P.O. può infatti avvalersi di un team di collaboratori che lo coadiuvino nei propri compiti. In tal caso, occorrerà ripartire chiaramente i compiti all’interno del team e prevedere che sia un solo soggetto identificato a fungere da referente.
Chi è responsabile delle violazioni del GDPR?
Il controllo del rispetto del GDPR non significa che il D.P.O. sia personalmente responsabile in caso di inosservanza. Il titolare e il responsabile del trattamento continueranno a rispondere delle eventuali violazioni in materia privacy derivanti dal loro trattamento.
Il titolare/responsabile deve rendere pubblica la nomina del D.P.O.?
La nomina del D.P.O. deve essere resa nota tanto all’interno, quanto all’esterno dell’organizzazione del titolare o del responsabile del trattamento. In particolare, sul sito del titolare/responsabile del trattamento andranno pubblicati i dati di contatto del D.P.O., tra cui recapito postale, numero telefonico dedicato e/o indirizzo dedicato di posta elettronica. I medesimi dati di contatto dovranno poi essere comunicati all’Autorità Garante per la protezione dei dati personali, nonché resi noti ai soggetti interessati per il tramite dell’informativa (vd. scheda sull’informativa).
Cassazione: violazione della privacy nel programma “Scherzi a Parte”, respinto il ricorso Mediaset
posted by admin on marzo 9, 2018
Un odontoiatra era comparso nella trasmissione “Scherzi a parte” in veste d’attore, in un contesto del tutto estraneo alla sua professione, ma durante il programma erano stati resi pubblici sia il suo nome e cognome, sia nome e ubicazione del suo studio, senza autorizzazione dell’interessato.
La Corte di Cassazione ha respinto il ricorso di Reti televisive italiane S.p.a. e Videotime S.p.a. contro una sentenza del 2014 della Corte di Appello di Roma che condannava le due società del gruppo Mediaset a risarcire un odontoiatra, per violazione della privacy.
La Corte d’appello, nell’emettere la sentenza, aveva rilevato che il professionista non aveva mai dato alle società interessate il consenso all’utilizzazione e alla diffusione televisiva del proprio nominativo, tantomeno in associazione alla propria attività professionale.
Reti Televisive Italiane S.P.A. e Videotime S.P.A avevano in seguito presentato ricorso in Cassazione, lamentando una violazione da parte della Corte dell’articolo 112 c,p.c. (in relazione al)’art. 360 n. 4 c.p.c.): secondo loro, infatti, La Corte avrebbe riconosciuto la sussistenza del danno subito dall’odontoiatra senza prove materiali del fatto che il denunciante avesse manifestato prima della trasmissione, la volontà di non essere identificato né associato alla propria professione.
In seguito al controricorso del medico, il 13 febbraio 2017 il Procuratore generale presso la Corte di cassazione ha infine rigettato il ricorso, ritenendo che la violazione dell’articolo 112 non sussista, avendo il giudice operato senza alterare nessuno degli elementi obiettivi di identificazione dell’azione.
Reti Televisive Italiane S.P.A. e Videotime S.P.A dovranno quindi corrispondere all’odontoiatra il risarcimento per danni morali più quello per le spese legali sostenute.
posted by Laura Greco on marzo 8, 2018
La Corte di Cassazione a Sezioni Unite mette un punto all’annosa questione concernente la qualificazione della causale di bonifico come dato sensibile, risolvendo un contrasto giurisprudenziale sorto in seno alla Corte stessa e di cui questo blog si era già occupato.
I fatti sono noti: il soggetto beneficiario di un’indennità per malattia e invalidità elargita ai sensi della l. 25 febbraio 1992, n. 210 (“Indennizzo a favore dei soggetti danneggiati da complicanze di tipo irreversibile a causa di vaccinazioni obbligatorie, trasfusioni”) lamenta l’illecito trattamento dei propri dati da parte della Regione, erogatrice dell’indennizzo e ordinatrice del relativo bonifico, e della sua banca, ricevente il bonifico per conto del proprio correntista. Giacché i riferimenti legislativi della norma che accorda l’indennità sono menzionati nella causale di bonifico, il soggetto beneficiario sostiene che tale indicazione sia idonea a rivelare il proprio stato di salute e, di conseguenza, rappresenti un dato sensibile che deve essere trattato con le cautele rigorose previste per tale peculiare categoria di dati. In considerazione dell’esplicita dicitura indicata nella clausola di bonifico, tanto la Regione, quanto la Banca non avrebbero invece adottato – secondo il beneficiario – le opportune cautele di cifratura dei dati sensibili volte a non rendere identificabile il soggetto interessato e ad escludere il collegamento tra quest’ultimo e il dato sensibile. Da qui, l’illecito trattamento.
La Cassazione affronta la questione dapprima nel 2014, con la sentenza n. 10947, abbracciando la teoria della causale del bonifico come dato sensibile, poi nel 2015 con la sentenza n. 10815 smentendo l’orientamento precedentemente espresso e sostenendo, in particolare, l’assenza di un obbligo in capo alla Regione e alla banca di cifrare i dati (maggiori approfondimenti QUI).
Alla luce di tale contrasto giurisprudenziale, la Prima sezione civile della Cassazione, nuovamente interpellata sul tema, rinvia la questione alle Sezioni Unite che, con la sentenza n. 30981 del 27 dicembre 2017, sposano il primo degli orientamenti menzionati. In primo luogo, le Sezioni Unite si interrogano sulla natura della causale del bonifico, giungendo ad affermare che si tratta di dato sensibile in quanto “la dizione ‘pagamento rateo arretrati bimestrali e posticipati l. n. 210 del 1992’ contiene la rivelazione del dato sensibile riguardante la salute del ricorrente in quanto la periodicità della corresponsione (…) non può che riguardare il soggetto affetto dalle patologie cui l’indennità si riferisce e non i suoi familiari-eredi ai quali la legge riconosce un importo a titolo di una tantum”. In secondo luogo, ritenendo che sia la Regione, sia la banca abbiano posto in essere un trattamento di dati e che ne siano i relativi titolari, i giudici ermellini proseguono nel valutare l’applicabilità o meno al caso di specie delle cautele riservate ai dati sensibili, in particolare le tecniche di cifratura e l’utilizzazione di codici identificativi di cui al già richiamato art. 22, 6° comma del Codice privacy. A tal proposito, le Sezioni Unite – in contrasto con la sentenza del 2015 – sostengono che l’obbligo della cifratura non sia limitato ai dati sensibili esclusivamente contenuti in elenchi, registri o banche dati, tenuti con l’ausilio di strumenti elettronici, così come indicato nella su citata disposizione, ma si estenda a tutte le modalità di raccolta dei dati come si ricava dalla più puntuale indicazione contenuta nel successivo 7° comma, specificamente diretta ai dati sensibili relativi alla salute. In tale disposizione si precisa, infatti, che i dati idonei a rivelare lo stato di salute debbano essere trattati con le modalità di cui al 6° comma (che richiede la cifratura o l’utilizzazione di codici identificativi).
Secondo la Cassazione, dunque, la Regione avrebbe dovuto osservare le prescrizioni contenute nell’art. 22, commi 6 e 7, che impongono di rendere inintelligibili i dati sensibili e permettono di identificare gli interessati solo in caso di necessità. A nulla rilevano – secondo i giudici – gli “obblighi di trasparenza posti a carico della pubblica amministrazione nell’allocazione e distribuzione delle risorse finanziarie ai quali i soggetti pubblici sono tenuti (…) perché i beneficiari dell’indennità sono identificabili per relationem per mezzo dei codici cifrati o criptati limitatamente però a ciò che è strettamente necessario a provvedere alle erogazioni ed a rispettare gli altri obblighi normativi ed istituzionali”.
Tuttavia, l’iter argomentativo delle Sezioni Unite non si arresta qui: in modo innovativo (quanto atipico), le Sezioni Unite estendono l’obbligo di cifratura anche alla banca che di norma, a causa della propria natura di soggetto privato, non sarebbe soggetta a tale cautela, imposta solo ai soggetti pubblici nell’ambito dei propri trattamenti. Tuttavia, nel caso di specie, i giudici ritengono che la mancata adozione da parte della banca di idonee misure che impediscano l’identificazione del soggetto interessato “determinerebbe un vulnus privo di ragionevolezza in ordine al trattamento dei dati nella fase successiva alla trasmissione di essi all’istituto bancario, caratterizzata dal potenziale aumento del numero dei soggetti che ne possono venire a contatto. Le cautele della cifratura sono finalizzate proprio ad evitare la conoscenza dei dati sensibili attinenti alla salute da parte di soggetti che ne possano venire a contatto per” il semplice fatto di far parte dell’organizzazione del titolare del trattamento (in questo caso, la banca).
In conclusione, secondo le Sezioni Unite, i titolari del trattamento – a prescindere dalla loro natura privata o pubblica –, ove si trovino a trattare dati sensibili, dovrebbero sempre adottare modalità organizzative dirette ad escludere il collegamento tra il dato sensibile e il soggetto interessato ed a limitare l’identificabilità per le operazioni indispensabili ed ai soli addetti a tali specifiche operazioni, celando ai restanti componenti dell’organizzazione del titolare la decifrabilità dei dati.
posted by Maria Chiara Meneghetti on marzo 5, 2018
Cos’è il consenso al trattamento?
Secondo la nuova definizione del GDPR, per consenso si intende “qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, che i dati personali che lo riguardano siano oggetto di trattamento” (art. 4, n 11).
Analizzando la definizione, si desume che il consenso rappresenta una manifestazione di volontà, espressa in termini affermativi e in maniera inequivocabile. Dunque potrà essere unicamente una dichiarazione o azione positiva dell’interessato e non invece un suo comportamento meramente passivo, per esempio un suo ipotetico silenzio-assenso.
Inoltre, il GDPR, come anche il Codice privacy, richiede che il consenso sia non solo inequivocabile, ma anche: libero (prestato in assenza di costrizioni); specifico (uno per ogni finalità di trattamento); informato (all’interessato deve essere stata fornita adeguata informativa sul trattamento dei dati personali).
Chi deve richiedere il consenso per il trattamento dei dati personali?
Il titolare del trattamento o, se a ciò specificatamente istruito, il responsabile del trattamento devono raccogliere il consenso dell’interessato nel caso vogliano trattarne i dati.
Si segnala che il GDPR pone in capo al titolare un vero e proprio onere probatorio. L’art. 7, 1° comma specifica infatti che il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.
Quando deve essere richiesto il consenso per i dati personali?
Il consenso dell’interessato è una delle molteplici basi giuridiche che il GDPR prevede, alternativamente, per legittimare il trattamento di dati personali che il titolare vuole effettuare. Ciò vuol dire che sarà necessario raccogliere il consenso ogniqualvolta non sia utilizzabile una delle alternative basi giuridiche previste dal GDPR all’art. 6. Queste sono essenzialmente “circostanze equipollenti” al consenso, in presenza delle quali i dati possono essere trattati anche senza il consenso dell’interessato.
Quali sono le circostanze equipollenti al consenso dell’interessato?
L’art. 6 del GDPR elenca, oltre al consenso, cinque diversi tipi di basi giuridiche che riprendono per lo più le alternative già previste dal nostro Codice privacy. Il trattamento sarà comunque lecito in assenza del consenso dell’interessato se: a) è necessario all’esecuzione di un contratto o di un obbligo precontrattuale di cui l’interessato è parte; b) è necessario per adempiere ad un obbligo legale; c) è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona; d) è necessario per l’esecuzione di un compito di interesse pubblico; e) è necessario per il perseguimento di un legittimo interesse del titolare o di terzi, purché non pregiudichi le libertà o i diritti degli interessati.
In quest’ultimo caso sarà dovere e responsabilità del titolare operare il bilanciamento fra il suo interesse legittimo e i diritti degli interessati, giustificando la prevalenza del suo interesse su quello dei diversi interessati.
Quali possono essere legittimi interessi del titolare?
Il GDPR ai considerando 47,48 e 49 elenca a titolo esemplificativo alcuni attività che potrebbero essere considerate di interesse legittimo per il titolare, prevalenti rispetto a quelli degli interessati.
Tra queste si inserisce la legittima prevenzione delle frodi o le finalità di marketing diretto (che si precisa avviene nel caso il titolare utilizzi i dati di contatto che l’interessato gli aveva fornito in precedenza nel contesto della vendita di un prodotto o di un servizio senza richiedere il consenso dell’interessato, a condizione che si tratti di servizi analoghi a quelli oggetto della vendita e che l’interessato, adeguatamente informato, non rifiuti tale uso). Ancora potrebbe considerarsi coperto dall’interesse legittimo il trattamento di dati a fini amministrativi interni o al fine di garantire la sicurezza delle reti e dell’informazione.
Ci sono condizioni particolari per il trattamento dei dati sensibili (c.d. particolari categorie di dati)?
Per il trattamento di categorie particolari di dati (dati sensibili), la regola generale e? quella del consenso “esplicito” (il consenso esplicito si applica anche nel caso in cui il titolare intenda adottare un procedimento decisionale basato unicamente su trattamenti automatizzati, compresa la profilazione, che produca effetti giuridici sull’interessato).
Anche in questo caso il GDPR prevede una serie “circostanze equipollenti” che derogano alla necessità di raccogliere il consenso (art. 9). Tra queste ve ne sono alcune particolarmente innovative, tra cui trattamenti necessari per: assolvere ad obblighi in materia di diritto del lavoro, sicurezza sociale e protezione sociale; finalità di medicina preventiva o di medicina del lavoro; motivi di interesse pubblico nel settore della sanita? pubblica; fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o fini statistici.
Quali sono le novità in materia di consenso dei minori?
Il GDPR inserisce una disposizione ad hoc per il consenso dei minori, che tuttavia riguarda esclusivamente l’offerta diretta di servizi della società dell’informazione.
In considerazione dell’ampia varietà di contenuti e servizi digitali a cui i minori hanno accesso grazie all’utilizzo di Internet, il GDPR vuole rafforzare la posizione di tutela di questi ultimi di fronte ai pericoli della Rete. L’art. 8 specifica quindi che il consenso prestato dal minore per il trattamento dei suoi dati personali, nell’ambito di un servizio della società dell’informazione, è lecito solo nel caso il minore abbia almeno 16 anni (età che può essere diminuita fino a un minimo di 13 anni dagli Stati membri).
Nel caso l’età del minore sia inferiore, il trattamento sarà legittimato solo con il consenso, prestato o autorizzato, dal genitore o comunque titolare della responsabilità genitoriale.
Quali sono le condizioni di raccolta del consenso?
Alla luce della definizione di consenso (manifestazione di volontà libera, specifica, informata e inequivocabile), il GDPR specifica alcune condizioni richieste al titolare al fine di assicurare la raccolta di un consenso legittimo.
Il consenso può essere prestato tramite dichiarazione scritta o a mezzo di dichiarazione orale.
Nel caso il consenso sia prestato per iscritto, nell’ambito di una dichiarazione che riguardi anche altre questioni, il consenso al trattamento dei dati personali deve essere presentato in maniera chiaramente distinguibile dalle altre materie.
La formulazione del consenso deve essere comprensibile e facilmente accessibile, utilizzando quindi un linguaggio semplice e chiaro.
Inoltre il titolare deve tenere in considerazione che il consenso prestato dall’interessato potrà essere dallo stesso sempre revocato, in qualsiasi momento, con la stessa facilità con cui è stato accordato.
Come scrivere un consenso conforme al regolamento?
Per sintetizzare, per formulare un consenso conforme al GDPR, questo:
1) deve integrare un atto positivo inequivocabile: può essere raccolto attraverso una dichiarazione scritta, anche attraverso mezzi elettronici, o una dichiarazione orale;
1.1) ciò implica che non equivalgono a consenso: silenzio, inattività o preselezione di caselle
1.2) al contrario si potrà raccogliersi il consenso tramite: apposita casella (non preselezionata) su un sito; la scelta di impostazioni tecniche per i servizi della società dell’informazione o comunque qualsiasi dichiarazione o comportamento che indichi chiaramente l’accettazione dell’interessato
2) deve essere formulato con un linguaggio semplice, chiaro e comprensibile;
3) deve esserci un consenso per ciascuna finalità di trattamento (si ricorda che marketing e profilazione costituiscono finalità distinte);
4) in presenza di minori: verificare l’età del minore o richiedere il consenso parentale;
5) per le particolari categorie di dati, deve essere in ogni caso “esplicito”;
6) necessita l’adozione di misure che permettano al titolare di dimostrare l’avvenuta raccolta del consenso e l’esercizio agevole del diritto di revoca dell’interessato.