Source: https://www.alessandristudiolegale.com/2019/04/17/il-caldo-dicembre-del-garante-privacy/
Timestamp: 2020-02-22 00:44:08+00:00
Document Index: 158303279

Matched Legal Cases: ['art.20', 'art. 20', 'art. 20', 'art. 20', 'art. 83', 'art. 83']

Il “caldo” dicembre del Garante Privacy - Studio Legale Alessandri
Il “caldo” dicembre del Garante Privacy tra l’avvio della consultazione pubblica su alcune prescrizioni e la verifica di conformità al GDPR dei Codici deontologici.
Il mese di dicembre 2018 ha visto il Garante Privacy italiano impegnato principalmente su un “doppio fronte” costituito, da una parte, dall’avvio della consultazione pubblica sul provvedimento che individua le prescrizioni contenute nelle autorizzazioni generali e, dall’altro, nella verifica di conformità dei Codici di deontologia e di buona condotta per i trattamenti di dati personali al Regolamento Ue 2016/679 sulla protezione dei dati personali (“GDPR”).
Brevemente sul primo fronte:
con provvedimento del 13 dicembre 2018 il Garante ha deliberato l’avvio di una consultazione pubblica per acquisire osservazioni e proposte sulle prescrizioni contenute nelle Autorizzazioni generali nn. 1/2016, 3/2016, 6/2016, 8/2016 e 9/2016.
Scopo della consultazione è coinvolgere i soggetti interessati (mondo del lavoro e della ricerca scientifica, chiese e comunità religiose) per acquisire osservazioni e proposte sulle prescrizioni in questione, con specifico riguardo ad applicazioni dei principi ivi enunciati nonché ad eventuali profili di criticità già sperimentati o riscontrabili nei settori di riferimento.
Il Garante Privacy e la verifica di conformità al GDPR dei codici deontologici.
Relativamente al “secondo fronte” si tratta invece di una verifica demandata al Garante dall’art.20 del D. Lgs. 101/2018 (decreto di adeguamento della normativa nazionale al GDPR) oltre che un aggiornamento c.d. formale dei riferimenti al nuovo quadro normativo europeo il quale ha comportato la cancellazione o la ridefinizione di talune previsioni alla luce del diverso approccio richiesto ai titolari del trattamento dal GDPR in omaggio ai fondamentali principi di accountability, privacy by default e by design.
Più specificatamente, le disposizioni dell’art. 20, comma 4° del D. Lgs. 101/2018 hanno espressamente previsto che entro 90 giorni dall’entrata in vigore di detto decreto (avvenuta il 19 settembre 2018) il Garante verificasse la conformità al GDPR delle disposizioni contenute nei codici riportati negli allegati A.1, A.2, A.3, A.4 e A.6 del D.lgs. 196/2003 (c.d. Codice Privacy).
Ciò è stato realizzato sostanzialmente ripubblicando i vecchi codici “purgati” dalle prescrizioni incompatibili con il GDPR e ridenominati come regole deontologiche, il tutto senza consultazione pubblica essendo questa la prima applicazione dell’art. 20 del D. Lgs. 101/2018.
Le così rinominate regole deontologiche (art. 20, comma 4°, D. Lgs. 101/2018), sono ora in corso di pubblicazione nella Gazzetta ufficiale e sono state trasmesse al Ministero della giustizia per essere riportate con decreto nell’Allegato A) del Codice Privacy.
I codici di condotta e la loro funzione.
I Codici di condotta approvati come parametro di riferimento per i compiti delle Autorità e per gli obblighi dei Titolari e Responsabili.
L’art. 83.2 del GDPR prevede che, in un caso concreto, al momento della decisione sull’an e sul quantum di una sanzione l’Autorità di Controllo (id est Garante Privacy) debba tener conto di molteplici elementi tra i quali vi è “[…] l’adesione ai codici di condotta approvati ai sensi dell’art . 40 […] (art. 83.2 ,lett. j), GDPR)
Osserva infatti il WP 253 che in caso di violazione di una delle disposizioni del GDPR, “l’adesione a un codice di condotta approvato potrà fornire indicazioni circa la portata della necessità di intervenire con una sanzione amministrativa pecuniaria effettiva, proporzionata, dissuasiva o altra misura correttiva da parte dell’autorità di controllo.”
In ogni caso i poteri dell’organismo di controllo si espletano “fatti salvi i compiti e i poteri dell’autorità di controllo competente”, e dunque che l’Autorità di Controllo non ha l’obbligo di tenere conto delle sanzioni precedentemente imposte relative al regime di autoregolamentazione. Osserva infine il WP 253 che “La non conformità con le misure di autoregolamentazione potrebbe altresì rivelare la colpa o il dolo del titolare/responsabile del trattamento.”
Nelle “Linee guida riguardanti l’applicazione e la previsione delle sanzioni amministrative pecuniarie ai fini del Regolamento UE n. 2016/679” del 3 ottobre 2017, viene poi chiarito che l’adesione ai codici di condotta approvati può essere utilizzata, rispettivamente, sia dal titolare del trattamento come elemento per dimostrare il rispetto dei suoi obblighi, sia dal responsabile come elemento per dimostrare di aver posto in essere le garanzie sufficienti per i trattamenti effettuati per conto del Titolare (es. misure tecniche e organizzative adeguate).
previous post: I trasferimenti di dati personali verso paesi terzi e gli strumenti contrattuali
next post: La nuova legge sammarinese sulla tutela dei dati personali.