Source: http://www.tecaconsulenze.it/2018/05/30/gdpr-blog-gestire-dati-degli-iscritti/
Timestamp: 2019-05-23 09:35:06+00:00
Document Index: 10714660

Matched Legal Cases: ['art. 13', 'art. 2', 'art. 4', 'art. 5', 'art. 6', 'art. 7', 'art. 13']

﻿ GDPR E BLOG: COME GESTIRE I DATI DEGLI ISCRITTI - Teca Consulenze
Ho un blog dove gli iscritti possono registrarsi per commentare gli articoli. In vista dell’imminente entrata a regime del GDPR, cosa devo fare dei dati degli iscritti? In attesa di decidere se chiedere eventualmente un nuovo consenso o togliere proprio le funzioni interattive, posso/devo cancellare i dati degli utenti dal database, anche se in questo modo si dovesse perdere eventualmente la cronologia delle loro operazioni? Per cancellare i loro dati o spostare il sito così com’è su un hosting più sicuro, come dovrei avvertirli preventivamente? Potrei contattarli uno per uno, anche se questo non fosse espressamente previsto dalla privacy policy (di Iubenda), o è meglio pubblicare un banner in homepage o sulla pagina Facebook, anche se qualcuno potrebbe lamentare successivamente di non averlo visto? E che fare della Facebooklikebox e dei pulsanti social?
Il regolamento generale sulla protezione dei dati UE 2016/679, nel Considerando 171 evidenzia che “qualora il trattamento si basi sul consenso a norma della direttiva 95/46/CE, non occorre che l’interessato presti nuovamente il suo consenso, se questo è stato espresso secondo modalità conformi alle condizioni del presente regolamento, affinché il titolare del trattamento possa proseguire il trattamento in questione dopo la data di applicazione del presente regolamento”.
Pertanto, a parere dello scrivente, il lettore non dovrà raccogliere un nuovo consenso o cancellare i dati in suo possesso bensì provvedere all’adeguamento alla nuova normativa e, nello specifico:
1) Proteggere i dati personali con sistemi cifrati, programmi informatici o ogni altro strumento che consente di evitare la dispersione e/o la distruzione.
2) Indicare, in modo chiaro e leggibile, preferibilmente nella home page del blog, le informazioni esplicate all’art. 13 del Regolamento, quali ad esempio i dati di contatto del responsabile del trattamento dei dati o il periodo di conservazione dei dati personali.
3) Indicare la possibilità, per l’utente, di esercitare il diritto di accesso ai propri dati.
4) Indicare il diritto all’oblio e alla cancellazione dei dati personali se non più necessari allo scopo per i quali sono stati prestati.
Con riferimento a Facebook e agli altri social network, il lettore potrà adottare i medesimi provvedimenti.
Il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, prossimamente in vigore, è relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, in abrogazione della direttiva 95/46/CE (regolamento generale sulla protezione dei dati) [GDPR – General Data ProtectionRegulation].
Il Regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri a partire dal 25 maggio 2018.
La normativa consta di 99 articoli la cui lettura approfondita evidenzia gli adempimenti da compiere e le modifiche da porre in essere in ossequio della legge.
Come statuito nell’art. 2 “Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi.” La norma riguarda pertanto il trattamento e l’archiviazione di dati personali in modo automatizzato o non automatizzato.
L’art. 4 del regolamento è molto interessante in quanto espone le definizioni dei concetti fondamentali da tenere presente.
“Ai fini del presente regolamento s’intende per:
9) “destinatario”: la persona fisica o giuridica, l’autorità pubblica, il servizio o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi. Tuttavia, le autorità pubbliche che possono ricevere comunicazione di dati personali nell’ambito di una specifica indagine conformemente al diritto dell’Unione o degli Stati membri non sono considerate destinatari; il trattamento di tali dati da parte di dette autorità pubbliche è conforme alle norme applicabili in materia di protezione dei dati secondo le finalità del trattamento;
10) “terzo”: la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che non sia l’interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l’autorità diretta del titolare o del responsabile;
12) “violazione dei dati personali”: la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati;
13) “dati genetici”: i dati personali relativi alle caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla fisiologia o sulla salute di detta persona fisica, e che risultano in particolare dall’analisi di un campione biologico della persona fisica in questione;
14) “dati biometrici”: i dati personali ottenuti da un trattamento tecnico specifico relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che ne consentono o confermano l’identificazione univoca, quali l’immagine facciale o i dati dattiloscopici;
15) “dati relativi alla salute”: i dati personali attinenti alla salute fisica o mentale di una persona fisica, compresa la prestazione di servizi di assistenza sanitaria, che rivelano informazioni relative al suo stato di salute;
16) “stabilimento principale”:
17) “rappresentante”: la persona fisica o giuridica stabilita nell’Unione che, designata dal titolare del trattamento o dal responsabile del trattamento per iscritto ai sensi dell’articolo 27, li rappresenta per quanto riguarda gli obblighi rispettivi a norma del presente regolamento;
18) “impresa”: la persona fisica o giuridica, indipendentemente dalla forma giuridica rivestita, che eserciti un’attività economica, comprendente le società di persone o le associazioni che esercitano regolarmente un’attività economica;
19) “gruppo imprenditoriale”: un gruppo costituito da un’impresa controllante e dalle imprese da questa controllate;
20) “norme vincolanti d’impresa”: le politiche in materia di protezione dei dati personali applicate da un titolare del trattamento o responsabile del trattamento stabilito nel territorio di uno Stato membro al trasferimento o al complesso di trasferimenti di dati personali a un titolare del trattamento o responsabile del trattamento in uno o più paesi terzi, nell’ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un’attività economica comune;
21) “autorità di controllo”: l’autorità pubblica indipendente istituita da uno Stato membro ai sensi dell’articolo 51;
22) “autorità di controllo interessata”: un’autorità di controllo interessata dal trattamento di dati personali in quanto:
23) “trattamento transfrontaliero”:
24) “obiezione pertinente e motivata”: un’obiezione al progetto di decisione sul fatto che vi sia o meno una violazione del presente regolamento, oppure che l’azione prevista in relazione al titolare del trattamento o responsabile del trattamento sia conforme al presente regolamento, la quale obiezione dimostra chiaramente la rilevanza dei rischi posti dal progetto di decisione riguardo ai diritti e alle libertà fondamentali degli interessati e, ove applicabile, alla libera circolazione dei dati personali all’interno dell’Unione;
25) “servizio della società dell’informazione”: il servizio definito all’articolo 1, paragrafo 1, lettera b), della direttiva (UE) 2015/1535 del Parlamento europeo e del Consiglio [1];
26) “organizzazione internazionale”: un’organizzazione e gli organismi di diritto internazionale pubblico a essa subordinati o qualsiasi altro organismo istituito da o sulla base di un accordo tra due o più Stati.”
L’art. 5, relativo ai principi applicabili al trattamento dei dati personali evidenzia che:
b) raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; un ulteriore trattamento dei dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici non è, conformemente all’articolo 89, paragrafo 1, considerato incompatibile con le finalità iniziali (“limitazione della finalità”);
e) conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, conformemente all’articolo 89, paragrafo 1, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato (“limitazione della conservazione”);
Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo (“responsabilizzazione”).”
In sintesi, i dati personali devono essere trattati in maniera lecita e trasparente, raccolti per fini palesi, espliciti e pertinenti rispetto allo scopo che si desidera perseguire. I medesimi dati devono essere inoltre esatti e, se necessario, devono essere aggiornati, conservati per un periodo di tempo predeterminato e comunicato agli utenti. Infine, i dati devono essere protetti adeguatamente con misure tecniche e informatiche apposite onde evitare la perdita e la distruzione.
L’art. 6 del Regolamento disciplina la liceità del trattamento:
“1. Il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche finalità; …”. Questo è, nello specifico, il caso che riguarda il lettore, infatti, come da questi sottolineato, gli utenti del suo blog, dopo avere letto le policy sulla riservatezza, davano il consenso al trattamento dei dati personali.
L’art. 7 disciplina le condizioni per il consenso:
“1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali. …
3. L’interessato ha il diritto di revocare il proprio consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca. Prima di esprimere il proprio consenso, l’interessato è informato di ciò. Il consenso è revocato con la stessa facilità con cui è accordato.”
Tale circostanza è facilmente dimostrabile in quanto sul blog l’utente, prima di prestare il consenso legge le policy e può, in qualsiasi momento, revocarlo.
L’art. 13 disciplina le informazioni da fornire qualora i dati personali siano raccolti presso l’interessato:
“1. In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
d) il diritto di proporre reclamo a un’autorità di controllo
Queste sono le informazioni che devono essere fornite agli utenti del blog, preferibilmente in una pagina ben visibile.
← FISCO: NIENTE RISCOSSIONE SE LA CARTELLA É PRESCRITTA	GLI INTERESSI NON SI APPLICANO SULLE SANZIONI IN CASO DI DILAZIONE →