Source: https://www.privacy.it/2018/02/22/indicazioni-preliminari-volte-favorire-la-corretta-applicazione-del-regolamento-ue-2016679/
Timestamp: 2019-05-20 11:06:23+00:00
Document Index: 95670520

Matched Legal Cases: ['art. 13', 'art. 20', 'art. 20', 'art. 12', 'art. 6', 'art. 12', 'art. 12']

Indicazioni preliminari volte a favorire la corretta applicazione del Regolamento (UE) 2016/679 - Privacy.it
Home>Garante>Provvedimenti, Varie>Indicazioni preliminari volte a favorire la corretta applicazione del Regolamento (UE) 2016/679
Indicazioni preliminari volte a favorire la corretta applicazione del Regolamento (UE) 2016/679
Provvedimento del 22 febbraio 2018
VISTA la legge 25 ottobre 2017, n. 163, recante “Delega al Governo per il recepimento delle direttive europee e l´attuazione di altri atti dell´Unione europea – Legge di delegazione europea 2016-2017”, contiene al suo art. 13 delega al Governo per l´emanazione di uno o più decreti legislativi in modo da adeguare il quadro normativo nazionale alle disposizioni del Regolamento (UE) 2016/679, abrogando quelle che risultino con esso incompatibili e modificando quanto necessario per dare attuazione alle disposizioni non direttamente applicabili contenute nel Regolamento stesso, procedimento ancora in fase di definizione;
VISTA la legge 27 dicembre 2017, n. 205, recante “Bilancio di previsione dello Stato per l´anno finanziario 2018 e bilancio pluriennale per il triennio 2018-2020”;
Cionondimeno, l´obiettivo primario della portabilità è quello di “riequilibrare” il rapporto fra interessati e titolari del trattamento, tramite l´affermazione dei diritti e del controllo spettanti agli individui in rapporto ai dati personali che li riguardano. Il Regolamento è, infatti, incentrato sulla protezione dei dati personali e non limita il novero dei dati portabili solamente a quelli necessari o utili per la prestazione di servizi analoghi da parte di soggetti concorrenti del titolare (cfr. Linee guida sul diritto alla portabilità dei dati, adottate dal Gruppo Art. 29, WP 242 rev. 01, doc. web n. 6058842).
In secondo luogo, possono essere oggetto di portabilità solo i dati che riguardano l´interessato e sono stati “forniti” da quest´ultimo (cfr. Linee guida del Gruppo Art. 29 sul diritto alla portabilità dei dati, cit.). Può accadere, tuttavia, che all´interno di tali dati vi siano anche dati personali di terzi che l´interessato utilizza per scopi personali (si pensi ai tabulati telefonici riferiti a un abbonato, la messaggistica interpersonale o i dati VoIP che possono contenere informazioni su soggetti terzi in rapporto alle chiamate in entrata e in uscita). Questi soggetti terzi non devono però subire alcun pregiudizio dall´esercizio del diritto alla portabilità da parte dell´interessato (art. 20, par. 4, del Regolamento).
Dal punto di vista tecnico, sebbene il Regolamento non configuri un obbligo in capo ai titolari del trattamento di introdurre o mantenere sistemi di trattamento tecnicamente compatibili, è opportuno favorire l´interoperabilità dei formati con cui i dati sono messi a disposizione dagli stessi. Le specifiche del Regolamento circa il formato (“strutturato”, “di uso comune” e “leggibile da dispositivo automatico”) da utilizzare per fornire i dati costituiscono, infatti, requisiti minimi volti a garantire l´interoperabilità dei formati messi a disposizione dai titolari, che rappresenta l´obiettivo finale da perseguire.
In ogni caso, tenuto conto della molteplicità di categorie di dati potenzialmente oggetto di trattamento e che il Regolamento non contiene indicazioni specifiche per i titolari quanto al formato dei dati personali da fornire agli interessati, il Garante si riserva di verificare che il formato scelto sia quello più idoneo – in relazione allo specifico settore di attività – a consentire la trasmissione dei dati personali in un formato che offra all´interessato un ampio margine di portabilità.
In particolare, il Garante potrà verificare – tenuto anche conto del contesto in cui il trattamento viene effettuato, della tipologia di dati trattati e delle finalità perseguite – che il titolare del trattamento non ponga in essere impedimenti – di natura giuridica, tecnica o finanziaria – volti a evitare o rallentare l´accesso, la trasmissione o il riutilizzo dei dati conferiti da parte dell´interessato o di un diverso titolare. A titolo esemplificativo, non potranno essere richiesti dei corrispettivi per fornire i dati richiesti, e i formati interoperabili dovranno sempre essere resi concretamente disponibili; inoltre, dovrà essere favorita la creazione di API (application programming interface) e non dovrà essere impedito l´accesso ai dati nel formato in cui essi vengono forniti; non dovrà risultare eccessivamente complesso il recupero della totalità dei dati richiesti o eccessivamente esteso il tempo necessario a tale scopo. Parimenti, non sarà consentito l´offuscamento deliberato dei dati indicati dall´interessato, o la previsione di vincoli settoriali specifici e ingiustificati o eccessivi in termini di standard o accreditamenti richiesti (cfr. le Linee guida del Gruppo Art. 29 sul diritto alla portabilità dei dati, cit.).
Inoltre, il Regolamento obbliga il titolare a trasmettere i dati portabili direttamente a un diverso titolare “se tecnicamente fattibile” (art. 20, par. 2, del Regolamento). La fattibilità tecnica della trasmissione da un titolare all´altro, sotto il controllo dell´interessato, andrà valutata caso per caso, tenendo presente che il Regolamento non configura alcun obbligo in capo agli altri titolari di supportare il formato con cui i dati sono trasmessi su indicazione dell´interessato. La trasmissione diretta dei dati da un titolare all´altro andrà assicurata, quindi, ove sia possibile instaurare una comunicazione fra due sistemi, in modo sicuro, e se il sistema ricevente è tecnicamente in grado di ricevere i dati in ingresso. Qualora impedimenti di ordine tecnico precludano la trasmissione diretta, il titolare dovrà illustrarne l´esistenza agli interessati poiché, in caso contrario, la sua decisione sarà nei fatti analoga a un diniego di intervento nei confronti della richiesta formulata dall´interessato (art. 12, par. 4, del Regolamento).
v. venga sempre salvaguardata la qualità dei dati che si intende trattare, assicurando che siano adottate misure idonee – in rapporto alla natura, all´oggetto, al contesto e alle finalità del trattamento che si intende effettuare – per garantire l´esattezza e, ove necessario, l´aggiornamento delle informazioni raccolte;
Pertanto, qualsiasi titolare che intenda effettuare un trattamento di dati personali fondato sul legittimo interesse, sia che i dati siano raccolti direttamente presso l´interessato sia che vengano ottenuti da altre fonti, dovrà fornire un´informativa che evidenzi opportunamente – specie qualora il trattamento preveda l´uso di nuove tecnologie o strumenti automatizzati – agli interessati la circostanza che sta trattando i dati che li riguardano sulla base di tale presupposto, nonché esplicitare quale sia il legittimo interesse in concreto perseguito, che andrà quindi opportunamente evidenziato come tale, a beneficio dell´interessato (artt. 13, par. 1, lett. d, e 14, par. 2, lett. b, del Regolamento). In particolare, può essere una buona prassi, quella di fornire all´interessato le indicazioni essenziali risultanti dal bilanciamento effettuato in relazione al caso concreto, che ha portato il titolare a scegliere di far affidamento sull´interesse proprio o di terzi quale presupposto di liceità del trattamento ai sensi dell´art. 6, par. 1, lett. f), del Regolamento (v. Guidelines on transparency under Regulation 2016/679, WP 260, in fase di definizione). Considerata la peculiare fonte di legittimazione del trattamento, il titolare dovrà sottolineare in special modo, il diritto di opposizione attribuito agli interessati (v. artt. 13, par. 2, lett. d, 14, par. 2, lett. c e 21, par. 4, del Regolamento).
Quanto al formato o alle modalità con cui l´informativa va resa agli interessati, il Regolamento chiarisce che spetta al titolare del trattamento adottare “misure appropriate” (art. 12, par. 1, del Regolamento). Ciò significa che, al fine di decidere le modalità e il formato più adeguati per fornire all´interessato le indicazioni richieste dall´informativa, il titolare dovrebbe tenere conto del contesto e delle circostanze in cui si svolge il trattamento, nonché delle modalità di interazione con l´interessato (ambiente cartaceo, telefonico, ambiente IoT-Internet delle cose, utilizzo di tecnologie intelligenti, interazioni dirette in ambiente fisico, eventualmente associate all´utilizzo di videosorveglianza o droni in grado di registrare dati e immagini). Potrà quindi essere necessario prendere in considerazione, ove applicabile, il dispositivo utilizzato dall´interessato, oppure l´interfaccia a disposizione dell´utente e le eventuali limitazioni che tali elementi comportano. In contesti digitali, al fine di evitare che le informazioni fornite siano troppo dettagliate e difficilmente comprensibili per gli interessati, potranno essere, ad esempio, utilizzate modalità per rendere l´informativa su più livelli in modo da consentire agli interessati di acquisire i necessari approfondimenti in fasi successive o di consultare particolari aspetti dell´informativa che giudicano di maggiore interesse. Sempre nel contesto digitale, a seconda dei casi, altre modalità appropriate per rendere l´informativa potrebbero includere, tra gli altri, avvisi tramite finestre a comparsa (pop-up), notifiche di cui confermare la ricezione esercitando differenti pressioni sullo schermo di un dispositivo intelligente, notifiche dinamiche legate al passaggio del mouse o del puntatore su determinate aree, e i “cruscotti” di controllo per la privacy).
Ad esempio, nel momento in cui l´utente accede a un sito web, dovrebbe essergli presentata una prima informativa “breve” (contenuta non in una sezione nascosta del sito che necessita di diversi clic per essere raggiungibile, bensì in un banner a comparsa immediata sulla home page o altra pagina tramite la quale l´utente può accedere al sito) contenente le indicazioni essenziali relative al trattamento dei suoi dati personali. Tale prima informativa dovrebbe altresì consentire all´interessato di avere una chiara visione d´insieme sulle informazioni a sua disposizione in relazione al trattamento che lo riguarda e sulle modalità con cui può reperire tali indicazioni dettagliate all´interno dei diversi “livelli” in cui si articola l´informativa. L´informativa “estesa” dovrebbe invece essere resa su più “livelli”, anche attraverso link cliccabili dall´utente che rinviano a ulteriori dettagli in conformità agli artt. da 12 a 14 del Regolamento, sempre che siano opportunamente evidenziati, in particolare, il legittimo interesse perseguito, il soggetto che ne sia portatore, nonché la possibilità per l´interessato di esercitare il diritto di opposizione al trattamento.
Si ricorda, infine, che le informazioni possono essere fornite “in combinazione” con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d´insieme del trattamento previsto; inoltre, se presentate elettronicamente, le icone dovrebbero essere leggibili da dispositivo automatico (art. 12, par. 7, del Regolamento). Quindi, non potrà farsi ricorso a tali strumenti in sostituzione delle informazioni necessarie per l´esercizio dei diritti degli interessati, o in ogni caso in sostituzione del rispetto degli obblighi trattamento in materia di trasparenza fissati dal Regolamento (artt. 13 e 14).
eprivacr	2018-10-09T13:22:09+00:00	22 febbraio 2018|Provvedimenti, Varie|
Regolamento 1/2019 – Procedure per lo svolgimento dei compiti e all’esercizio dei poter idel Garante
Sweep 2018. Garante: Regioni, Province autonome e società controllate devono ancora impegnarsi sul principio di responsabilizzazione