Source: https://www.ccir.it/ccir/lexalia-privacy-newsletter-7/
Timestamp: 2019-12-15 05:24:24+00:00
Document Index: 56400345

Matched Legal Cases: ['art. 83', 'art. 6', 'art. 7', 'art. 5', 'art. 13', 'art. 14']

INFORMATIVA E CONSENSO ALLA LUCE DEL NUOVO REGOLAMENTO PRIVACY
QUALI SONO LE PRECAUZIONI NECESSARIE PER ADEGUARSI AL GDPR SU INFORMATIVA E CONSENSO?
Quali sono i presupposti per effettuare un trattamento lecito dei dati? Quali gli adempimenti che Titolari e Responsabili del trattamento devono mettere in atto riguardo ad informativa e consenso all’interessato, così da poter fronteggiare il passaggio dal Codice della Privacy (D. Lgs. n. 196/2003) al nuovo Regolamento UE n. 679/2016 (“GDPR” – General Data Protection Regulation)?
L’adeguamento alla nuova normativa richiede cambiamenti all’organizzazione dell’attività di impresa e delle privacy policy, soprattutto alla luce delle sanzioni previste dal GDPR. L’art. 83, par. 4, infatti, prevede sanzioni fino a 20 milioni di Euro (o, se il fatturato mondiale annuo è superiore, fino al 4% dello stesso) per le violazioni dei principi base del trattamento, tra cui sono ricomprese le condizioni relative a informativa e consenso.
Le imprese devono verificare se i consensi raccolti e le informative utilizzate sono conformi al GDPR e, qualora non lo siano, devono programmare gli interventi correttivi necessari entro il 25 maggio 2018, data in cui il Regolamento sarà applicabile.
Il GDPR riprende in larga parte quanto già era previsto dalla precedente disciplina (Codice della Privacy e Direttiva CE n. 46/1995), mantenendo un’impostazione che prevede ancora consenso e informativa, ma ha determinato anche rilevanti innovazioni.
Secondo quanto disposto dall’art. 6 del GDPR, qualsiasi trattamento è lecito solo in presenza di una delle seguenti condizioni:
• l’interessato ha espresso il proprio consenso per una o più specifiche finalità;
• è necessario per l’esecuzione di un contratto;
• è necessario per l’adempimento di un obbligo legale;
• è necessario per la salvaguardia di interessi vitali di una persona fisica;
• è necessario per l’esecuzione da parte del titolare di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri;
• è necessario per il perseguimento di un legittimo interesse, ove non prevalgano i diritti e le libertà del soggetto interessato.
Il consenso costituisce una condizione legittimante il trattamento dei dati e, al considerando n. 32 del GDPR, è definito come un atto positivo con cui l’interessato manifesta la propria intenzione libera, specifica, informata ed inequivocabile di accettare il trattamento dei dati personali che lo riguardano. La richiesta di consenso da parte del Titolare, d’altro canto, deve essere presentata in modo chiaramente distinguibile, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro.
L’Interessato può esprimere un valido consenso, ad esempio, mediante dichiarazione scritta, anche attraverso mezzi elettronici, o verbale. Questo può avvenire anche mediante selezione di un’apposita casella in un sito web, ma non rappresenta un valido consenso il silenzio assenso, l’inattività o la preselezione di caselle. Inoltre, qualora il trattamento abbia più finalità, deve essere prestato per ciascuna finalità specifica, ad esempio, deve essere duplice se richiesto sia a fini pubblicitari, sia per il trasferimento dei dati in paesi extra-UE.
Ai sensi dell’art. 7 del GDPR, se il trattamento è basato sul consenso, il Titolare deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento. Tale “prova” può essere fornita, ad esempio, tramite moduli o documenti fatti sottoscrivere ad hoc all’interessato. Il Regolamento, così, non ha richiesto una forma scritta o registrata su strumenti elettronici per la validità del consenso, ma lo ha richiesto al fine di potere fornire una prova in caso di un’eventuale contestazione da parte di un Interessato. Di fatto, la raccolta del consenso per iscritto permetterà di dimostrare la propria compliance al GDPR molto più facilmente.
L’interessato ha, inoltre, diritto di revocare il consenso in qualsiasi momento, e deve sempre essere informato di tale diritto e possibilità di revoca.
Infine, il considerando n. 171 del GDPR afferma che “qualora il trattamento si basi sul consenso a norma della Direttiva CE n. 46/1995, non occorre che l’interessato presti nuovamente il suo consenso, se questi è stato espresso secondo modalità conformi alle condizioni del presente regolamento, affinché il titolare del trattamento possa proseguire il trattamento in questione dopo la data di applicazione del presente regolamento”. Ciò comporta che ogni Titolare del trattamento dovrà effettuare in concreto verifiche di compliance sulle proprie modalità di raccolta del consenso.
INFORMATIVA PRIMA E DOPO IL GDPR
L’informativa privacy per il GDPR consiste in una serie di informazioni che il Titolare del trattamento deve sempre comunicare ai soggetti di cui si appresta a trattare i dati, e rappresenta un’espressione del più ampio principio di trasparenza, previsto dall’art. 5, primo comma, lett. a) del GDPR, che prescrive che i dati personali siano trattati “in modo trasparente nei confronti dell’interessato”. Tale aspetto assume rilevanza centrale all’interno del Regolamento.
Le informazioni che il Titolare è tenuto a fornire all’Interessato devono sempre essere rese in forma concisa, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro.
Il Titolare è tenuto a fornire all’Interessato una lunga serie di informazioni:
l’art. 13 del GDPR elenca quelle necessarie qualora i dati personali siano raccolti presso di lui e, per quanto riguarda le tempistiche, va resa al momento della raccolta dei dati;
l’art. 14 disciplina le informazioni da rendersi ove i dati non siano ottenuti presso l’interessato, che devono essere fornite entro un tempo ragionevole dall’ottenimento dei dati personali e, al più tardi, entro un mese.
Tra le informazioni che l’Interessato deve ricevere sono incluse, ad esempio, l’identità e i dati di contatto del Titolare del trattamento e, se presenti, del suo Rappresentante e del DPO; le finalità di trattamento cui sono destinati i dati raccolti e la base giuridica dello stesso; i destinatari o le categorie di destinatari dei dati personali; eventuali trasferimenti dei dati all’estero in Paesi extra-UE; il periodo di conservazione dei dati personali oppure, se non è possibile determinarlo, i criteri utilizzati per determinare il periodo; i diritti dell’Interessato: di accesso, rettifica, modifica, cancellazione e portabilità.
Infine, sono esclusi dall’applicazione di tali obblighi informativi, i trattamenti per i quali:
• l’Interessato disponga già delle informazioni, la loro comunicazione risulti impossibile o richieda uno sforzo sproporzionato;
• l’ottenimento o la comunicazione sono già previsti per obbligo di legge, in piena tutela degli interessi legittimi dell’Interessato;
• i dati personali debbano rimanere riservati.
Il quadro così disegnato dal GDPR in riferimento a informativa e consenso ricalca per molti aspetti la disciplina precedente, ma presenta anche numerose specificità, che richiedono un adeguamento alla nuova disciplina. I prossimi mesi saranno utili per ogni Titolare del trattamento al fine di analizzare le proprie modalità di gestione dei dati e mettere in atto tutte le misure necessarie per raggiungere la conformità al GDPR.
Vendere direttamente on-line nella Federazione Russa[:it]14 - 15 SETTEMBRE 2017, IRKUTSK[:ru]14-15 СЕНТЯБРЯ 2017, ИРКУТСК[:]
maggio 26, 2017	Approfondimenti, La parola agli espertiGDPR, Lexalia Privacy Newsletter, privacy133