Source: https://www.avvgiacomoconti.com/faq/
Timestamp: 2019-08-21 13:34:50+00:00
Document Index: 3553311

Matched Legal Cases: ['art. 99', 'art. 30', 'art. 30', 'art. 30', 'art. 30', 'art. 37', 'art. 24', 'art. 37']

FAQ – S.L.C.
DOMANDE FREQUENTI IN TEMA DI GDPR
DOMANDE FREQUENTI IN TEMA DI ECOMMERCE
1. Cosa è il GDPR, cosa è il diritto alla protezione dei dati personali e cosa è il diritto alla privacy?
Il GDPR (Reg. UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016) è l’acronimo di General data protection regulation, ossia di regolamento generale per la protezione dei dati personali.
Il Regolamento è un atto normativo dell’Unione Europea avente pieno valore di Legge europea, come tale idoneo a prevalere sulla legge nazionale incompatibile che va, conseguentemente, disapplicata.
E’ bene mettere in evidenza come il GDPR non tuteli, in senso stretto la privacy, ma tuteli il diritto a ricevere protezione dei dati personali ed è importante rilevare come concetto di protezione dei dati personali non sia perfettamente coincidente con quello di privacy.
2. Il GDPR è già entrato in vigore? E‘ vero è stata prorogata l’applicazione delle sanzioni e che è stato concesso un periodo di grazia?
Il GDPR è una norma non del 2018, bensì del 2016 ed è, quindi, già vecchia di ben due anni. Tuttavia, l’art. 99 del GDPR ne ha postergato l’applicazione stabilendo che esso si applichi solo a decorrere dal 25 maggio 2018 nell’ottica di dare tempo a titolari eresponsabili di trattamento di adeguarsi.
Della proroga normativa hanno beneficiato, altresì, gli Stati Membri dell’Unione Europea che dal 2016 al 2018 hanno (o almeno avrebbero dovuto) adeguare al Regolamento Europeo le proprie legislazioni nazionali.
In ogni caso, a partire dal 25 maggio 2018 il GDPR è pienamente ed interamente applicabile in tutti i suoi aspetti, compreso il temuto profilo sanzionatorio.
Giova osservare come il GDPR, avendo forza di Legge Europea, comporti la disapplicazione delle norme di legge nazionali contrastanti e, in quest’ottica la legislazione nazionale è stata di recente riscritta in maniera significativa per renderla compatibile con il Regolamento Europeo.
Al riguardo si deve sottolineare come si debba parlare non già di recepimento, non essendo il GDPR una direttiva, ma di mero adeguamento della legislazione nazionale.
Molti titolari e responsabili hanno sperato in un periodo di grazia o di proroga, ma questo, in realtà non è mai stato concesso da parte del Garante che non ha mai comunicato ufficialmente né rinvii né proroghe in merito all’applicazione delle sanzioni. Al contrario, è stato affermato che le reazioni dell’Autorità ad inadempimenti da parte di titolari e responsabili di trattamento saranno adottate sulla base di un approccio gradualistico al solo fine di evitare l’inflizione di sanzioni inutilmente punitive.
Pertanto, nemmeno le PMI saranno esenti da eventuali sanzioni, ma questi titolari saranno tenuti ad adottare misure di organizzazione e sicurezza stabilite sulla base di diversi parametri, quali la dimensione dell’impresa e l’ambito di incidenza del trattamento.
Ovviamente i piccoli imprenditori non saranno necessariamente soggetti agli stessi obblighi di adeguamento (quale a titolo esemplificativo la nomina del data protection officer) che possono riguardare multinazionali o i colossi del web, ma avranno, nel loro piccolo, il dovere di adeguarsi al GDPR.
Per maggiori approfondimenti sul tema, si invita a consultare il sito ufficiale dell’Autorità Garante Italiana: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9099445
3. Quali sono gli obblighi previsti dal GDPR per imprenditori, società e professionisti?
Se, da un lato, il GDPR riguarda tutti i titolari ed i responsabili che trattano dati personali; dall’altro, non tutti i destinatari del Regolamento europeo sono tenuti a realizzare gli stessi adempimenti o a realizzare lo stesso adempimento in uguale maniera.
L’Autorità Garante ha, al riguardo, precisato come: “Il Regolamento già di per sé modula gli adempimenti previsti in capo al titolare in ragione, tra l’altro, della dimensione dell’impresa e, quindi, dell’ambito di incidenza del trattamento, come abbiamo chiarito anche in diversi incontri con esponenti del mondo imprenditoriale e, in particolare, associazioni di categoria. La disciplina europea, che mira a rafforzare “il clima di fiducia che consentirà lo sviluppo dell’economia digitale” nel mercato interno, coniuga la protezione dati con istanze di semplificazione, che il decreto di adeguamento peraltro valorizza, prevedendo che rispetto alle micro, piccole e medie imprese il Garante possa promuovere modalità semplificate di adempimento agli obblighi del titolare. (Cfr. https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9099445)”
Il singolo adempimento deve, pertanto, essere graduato in ragione del principio di adeguatezza ed assumerà forme e contenuti diversi in ragione del titolare che lo realizza e del rischio che pone l’attività di trattamento.
Ne consegue che una P.M.I. manifatturiera che tratta, al più, dati identificativi e di contatto di fornitori e clienti per vendere i propri prodotti a persone fisiche e per esigenze di fatturazione non sarà tenuta a realizzare gli stessi adempimenti di un ospedale o di un’agenzia di investigazione privata o di una pubblica amministrazione.
Allo stesso modo, diversa è la situazione di un imprenditore che, implementando servizi di e-commerce effettua politiche di comunicazioni commerciali dirette, soft spam e profilazione dei propri Clienti per aumentare i propri profitti studiando le abitudini e le scelte di consumo dei propri clienti.
Ugualmente, uno Studio Associato di Avvocati che tratta dati relativi a reati o condanne penali su larga scala (si pensi se i dati riguardano procedimenti in materia di delitti contro la persona relativi a violenze ed abusi) o specializzato nel diritto di famiglia (dove saranno frequenti pratiche in materia di divorzi e separazione con addebiti per motivi che possono rivelare aspetti molto delicati della vita di una persona) o anche in diritto del lavoro (dove si impugneranno verosimilmente sanzioni disciplinari e si tratteranno dati particolari idonei a rivelare lo stato di salute dei propri clienti), non avrà gli stessi adempimenti di uno studio legale specializzato in diritto industriale, nella contrattualistica o nella consulenza ad imprese che ha a che fare, in genere, con imprese e persone giuridiche.
In genere, tutti i titolari dovranno predisporre informative aggiornate ed adeguate (acquisendo il consenso degli interessati ove questo sia necessario) e contrattualizzare – previa mappatura dei flussi di dati personali – i rapporti con Contitolari e Responsabili di trattamento al fine di garantire il rispetto del principio di trasparenza delle attività di trattamento.
In ogni caso, l’elaborazione di un’informativa adeguata è, tuttavia, solo uno degli adempimenti che i titolari devono eseguire e, verosimilmente dovrà essere elaborato dopo aver compiuto un processo di adeguata mappatura dei dati personali e successivamente alla compilazione del registro delle attività di trattamento (art. 30 GDPR).
Buona parte degli adempimenti che il GDPR richiede in genere a tutti titolari e responsabili di trattamento hanno natura organizzativa. Si pensi al dovere di valutare il rischio delle attività di trattamento realizzate, di mappare i flussi interni ed esterni all’organizzazione aziendale, di autorizzare ed istruire i soggetti trattano dati personali sotto l’autorità del titolare (collaboratori e dipendenti), di adottare misure di organizzazione e di sicurezza adeguate al rischio e di impostare una procedura per gestire eventuali violazioni dei dati personali trattati/data breach.
Peraltro, nel caso di realizzazione di attività a rischio particolarmente elevato, si pensi a titolo esemplificativo al trattamento di dati attraverso il dossier sanitario, alla profilazione e geolocalizzazione degli interessati, il quadro degli adempimenti può ulteriormente articolarsi e potrebbe essere richiesta l’adozione di ulteriori misure tecniche ed organizzative.
Altri obblighi generali, come l’effettuazione di una valutazione di impatto (DPIA) e a nomina del DPO, devono essere operati invece solamente laddove il trattamento presenti un rischio elevato per gli interessati e al ricorrere di altri presupposti.
Seppure non tutti gli adempimenti siano obbligatori per tutti i titolari, la realizzazione di questi potrebbe rappresentare una scelta strategica finalizzata ad impostare prassi virtuose ed a migliorare le politiche di trattamento di dati personali in azienda.
Non da ultimo, nell’ottica di implementare procedure aziendali che garantiscano un adeguato livello organizzativo, il novellato Codice nazionale suggerisce di individuare, all’interno dell’organizzazione aziendale, soggetti designati dotati di particolari responsabilità ed incaricati di specifici compiti nel quadro della protezione dei dati personali aziendali.
Nel quadro della realizzazione degli adempimenti va ricordato il principio di documentazione/accountability, altro pilastro del GDPR, che impone a titolari e responsabili di essere in grado di documentare non solo di avere effettuato gli adempimenti imposti dalla legge, ma di averli anche effettuati in ossequio al principio di adeguatezza.
4. Chi è tenuto ad adottare un registro delle attività di trattamento e cosa si dovrebbe indicare nel registro?
Secondo l’art. 30 GDPR non dovrebbero essere obbligate a tenere il registro delle attività di trattamento le imprese o le organizzazioni con meno di 250 dipendenti.
A prescindere dal numero di dipendenti in azienda, tuttavia, sono comunque obbligate a tenere il registro i titolari ed i responsabili che effettuano trattamenti che possano presentare un rischio per i diritti e le libertà dell’interessato se il trattamento non sia occasionale o prevede il trattamento di categorie particolari di dati (o sensibili per usare la vecchia terminologia) ai sensi degli artt. 9 e 10 GDPR.
A dispetto del dato letterale della lettera della norma, sia l’Autorità Garante Nazionale che il Comitato europeo per la protezione dei dati personali (l’ex gruppo di lavoro 29) consiglia a tutti i titolari ed i responsabili di munirsi di un registro delle attività di trattamento la cui adozione rappresenta un importante scelta strategica.
In particolare, il Garante ha stabilito che, in ambito privato, i soggetti obbligati a tenere il registro sono:
• imprese o organizzazioni con almeno 250 dipendenti;
• qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti che possano presentare un rischio – anche non elevato – per i diritti e le libertà dell’interessato;
• qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti non occasionali;
• qualunque titolare o responsabile (incluse imprese o organizzazioni con meno di 250 dipendenti) che effettui trattamenti delle categorie particolari di dati di cui all’articolo 9, paragrafo 1 RGPD, o di dati personali relativi a condanne penali e a reati di cui all’articolo 10 RGPD.
Rientrano, inoltre, nella categoria delle “organizzazioni” di cui all’art. 30, par. 5 anche le associazioni, fondazioni e i comitati.
Sono, quindi, tenuti all’obbligo di redazione del registro, ad esempio:
– esercizi commerciali, esercizi pubblici o artigiani con almeno un dipendente (bar, ristoranti, officine, negozi, piccola distribuzione, ecc.) e/o che trattino dati sanitari dei clienti (es. parrucchieri, estetisti, ottici, odontotecnici, tatuatori ecc.
Ad esempio, è probabile che una PMI tratti regolarmente i dati relativi ai propri dipendenti in maniera che non può essere considerata come non occasionale e, di conseguenza, anche titolari di questo tipo dovrebbero munirsi di registro ai sensi dell’art. 30 GDPR ed includere suddetta attività di trattamento all’interno del proprio registro.
Il registro delle attività, infatti, è un importante strumento di consapevolezza sulla base del quale titolari e responsabili possono strutturare tutti gli altri adempimenti richiesti dal GDPR; un pilastro sulla base del quale strutturare ogni adempimento richiesto dal Regolamento europeo.
In quest’ottica, un registro ben tenuto e ben integrato, può essere cruciale per tenere sotto controllo i flussi interni ed esterni all’azienda (mappatura), per valutare il rischio realizzato dalle attività di trattamento e dare atto della documentazione utile per dimostrare di aver adempiuto agli obblighi normativi (informative, acquisizione consensi, DPIA, etc..).
Pertanto, è opportuno strutturare ed integrare il registro delle attività di trattamento sulla base delle esigenze aziendali sviluppando un documento ad hoc sulla base dei trattamenti operati dal titolare o dal responsabile che va costantemente aggiornato, integrato ed implementato. Dovrebbe, quindi, essere riportata nel registro qualsiasi altra informazione che il titolare o il responsabile ritengano utile indicare (ad es. le modalità di raccolta del consenso, le eventuali valutazioni di impatto effettuate, l’indicazione di eventuali “referenti interni” individuati dal titolare in merito ad alcune tipologie di trattamento ecc.).
Per dimostrare l’adempimento degli altri obblighi imposti dalla Legge è, inoltre, opportuno adottare ulteriori modelli di registri, come quello relativo alle violazioni/data breach e quello per la formazione di dipendenti e collaboratori e degli strumenti ICT.
Si invita, per maggiori approfondimenti, a consultare il documento interpretativo del 19 aprile 2018 dell’ex Gruppo di Lavoro 29 (Ora Comitato europeo per la protezione dei dati) reperibile al seguente link: http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=624045
5. Cosa è una valutazione di impatto (DPIA) e quando va disposta?
La DPIA è una particolare valutazione che deve essere effettuata quando i trattamenti realizzati da titolari e responsabili presentano un elevato rischio per i diritti e le libertà degli interessati e rappresenta, pertanto, un elemento essenziale ai fini del rispetto del GDPR qualora si preveda di svolgere o si svolga un trattamento a rischio elevato.
La DPIA è quindi una procedura che permette di realizzare e dimostrare la conformità con le norme sul rispetto della protezione dei dati personali; in altri termini, un imprescindibile strumento di accountability.
Indicativamente, se le attività di trattamento prevedono in particolare l’uso di nuove tecnologie e considerati la natura, l’oggetto, il contesto e le finalità del trattamento è probabile che il rischio per gli interessati sia elevato e dovrebbe essere condotta prima di procedere al trattamento.
Il GDPR fissa le caratteristiche basilari di una DPIA stabilendo che questa deve contenere una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, una valutazione della necessità e proporzionalità dei trattamenti, una valutazione dei rischi per i diritti e le libertà degli interessati, le misure previste per o affrontare i rischi o dimostrare la conformità con il presente regolamento. Tuttavia, questo adempimento dovrebbe essere integrato con ogni altro elemento utile da parte del titolare e del responsabile che la effettuano.
Talvolta, è difficile stabilire se il trattamento presenta o meno un alto grado di rischio e, pertanto, questo aspetto dovrebbe essere valutato in sede di assessment tenendo conto anche di quanto stabilito dal Garante e dal Gruppo di Garanti Europei (European data protection board). Allo scopo, titolari e responsabili hanno il dovere di valutare se il trattamento presenta, in concreto, almeno due (ma talvolta anche solo uno) degli indici sintomatici di rischio elevato indicati dall’EDPB.
L’esecuzione della DPIA può essere un adempimento gravoso e complesso che può essere difficile realizzare senza l’aiuto di un consulente esperto o senza il parere di un DPO. Tuttavia, per aiutare titolari e responsabili nello svolgere questo adempimento il CNIL (l’Autorità Garante Francese) ha creato un software specifico messo a disposizione gratuitamente e reperibile al presente link: https://www.cnil.fr/en/open-source-pia-software-helps-carry-out-data-protection-impact-assesment del quale è presente anche una versione in italiano.
Da ultimo, è indispensabile osservare come lo svolgimento della DPIA sia un processo continuativo da aggiornare ed integrare periodicamente e non un’attività cartolare da effettuarsi una tantum.
Qualora il titolare non sia in grado di individuare misure sufficienti a ridurre il rischio a livelli accettabili ossia, qualora il rischio residuale continui a permanere elevato, si rende, infine, necessario consultare l’Autorità di controllo in sede di consultazione preventiva.
6. Chi è il DPO (data protection officer) e quali sono le sue funzioni e compiti?
Il data protection officer (o responsabile per la protezione dei dati personali) è una figura cardine nel GDPR che svolge la funzione di garante ed alto consulente in materia di protezione di dati personali all’interno all’organizzazione aziendale del titolare o del responsabile del trattamento,
Ai sensi dell’art. 37 GDPR sono tenuti alla nomina del DPO titolari che siano un’autorità pubblica o un organismo pubblico, eccettuate le autorità giurisdizionali nell’esercizio delle loro funzioni giurisdizionali. Inoltre, sono obbligati a nominare il DPO titolari o il responsabili del trattamento con personalità giuridica di diritto privato laddove le attività principali di questi consistano in trattamenti che, per loro natura, ambito di applicazione piuttosto che per finalità, richiedano il monitoraggio regolare e sistematico degli interessati su larga scala o, ancora, se le loro attività principali consistano nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 GDPR oppure di dati relativi a condanne penali e a reati di cui all’articolo 10 GDPR.
In certe ipotesi, pur se non obbligatoria, la nomina del DPO può essere una scelta strategia fondamentale per dimostrare la compliance al Regolamento europeo e per instaurare prassi aziendali virtuose in materia di protezione e tutela dei dati personali.
Il DPO può essere dotato di diverse funzioni, fra cui quella di informare e fornire consulenza al titolare o al responsabile del trattamento nonché ai dipendenti di questi, sorvegliare sull’osservanza del GDPR, fornire consulenza in materia di protezione dei dati nonché sulle politiche del titolare o del responsabile del trattamento, sensibilizzare e formare il personale che partecipa ai trattamenti e alle connesse attività di controllo, fornire, se richiesto, un parere in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne lo svolgimento, cooperare con l’autorità di controllo e fungere da punto di contatto per l’autorità di controllo per questioni connesse al trattamento.
Titolari o responsabili possono decidere se individuare il DPO all’interno della propria organizzazione aziendale oppure se nominare il DPO sulla base di un contratto di servizi.
In un caso e nell’altro il DPO non deve mai operare in conflitto di interessi con il soggetto che lo ha nominato il quale deve, al contempo garantire risorse a livello tempo, risorse ed energie, per assicurare l’effettività delle funzioni del data protection officer.
7. Cosa si intende per principio di responsabilizzazione/accountability di titolari e responsabili del trattamento?
Il concetto di “accountability”, che può essere tradotto in italiano con quello di “responsabilizzazione” di titolari e di responsabili del trattamento, è un principio cardine che governa la protezione dei dati personali delle persone fisiche.
A livello pratico, il principio di responsabilizzazione comporta che il titolare o il responsabile del trattamento, oltre a realizzare gli adempimenti richiesti dal GDPR, siano anche in grado di dimostrare di avere adottato un processo complessivo di misure giuridiche, organizzative, tecniche, idonee a garantire adeguati livelli di protezione dei dati personali che trattano sotto la loro responsabilità.
In quest’ottica, è opportuno adottare specifici modelli organizzativi per essere nelle condizioni di provare, in modo positivo e proattivo, che i trattamenti di dati effettuati da titolari e responsabili siano sempre rispettosi del GDPR e dei suoi principi oltre che, della Legislazione nazionale, degli atti di soft law e delle migliori prassi di settore.
Ne consegue che titolari e responsabili, tenuto conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, non solo hanno il dovere di mettere in atto misure tecniche e organizzative adeguate per garantire che il trattamento è effettuato conformemente al GDPR, ma devono essere altresì in grado di dimostrarlo.
Se il GDPR, da un lato lascia ampia autonomia organizzativa a titolari e responsabili in merito alla determinazione di misure tecniche ed organizzative per garantire adeguati livelli di protezione dei dati personali trattati; dall’altro, impone a questi un significativo obbligo di autovalutazione circa il rischio delle attività di trattamento operate nonché di documentazione delle scelte in materia di protezione di dati personali effettuate.
8. Che rilevanza ha la sicurezza informatica nel GDPR e come faccio ad essere totalmente compliant al Reg. UE?
Che rilevanza ha la sicurezza informatica all’interno del GDPR?
La compliance (o conformità di titolari e responsabili di trattamento) al GDPR si articola su tre pilastri fondamentali
l’aspetto legale (riguardante prevalentemente le informative, l’acquisizione e la documentazione del consenso degli interessati ove questo fondi una base di legittimazione del trattamento nonché i contatti con responsabili del trattamento/processor e contitolari/joint controller)
il profilo organizzativo (che riguarda buona parte degli adempimenti che gravano su titolari e responsabili del trattamento a partire dall’obbligo di valutare il rischio ai sensi dell’art. 24 GDPR fino alla nomina del DPO ai sensi dell’art. 37 GDPR)
e le dinamiche relative alla sicurezza informatica che rappresentano l’altro pilastro fondamentale della protezione dei dati personali e che interessa tutti i titolari e responsabili che effettuano trattamenti di dati personali attraverso strumenti informatici (ICT).
Le misure di protezione del dato personale si possono, infatti distinguere in misure di organizzazione (quali l’individuazione di responsabilità aziendali, l’impostazione di una procedura per documentare e valutare le violazioni subite) ed in misure di sicurezza e tutte hanno uguale importanza nell’ottica di garantire adeguati livelli di protezione ai dati personali trattati.
Le misure di sicurezza, a loro volta, si possono suddividere in fisiche (come l’adozione di inferriate alle finestre, porte blindate, armadi chiusi a chiave) ed informatiche (come la presenza di dispositivi per il backup dei dati personali, un piano di disaster recovery in caso di incidente tecnico, la presenza di un firewall aziendale e di un sistema antivirus).
Se, da un lato, l’adozione di misure di sicurezza informatiche adeguate se non assicura il rispetto totale del GDPR; dall’altro, è imprescindibile operare per prevenire e gestire il rischio informatico al fine di garantire un completo e totale rispetto del Regolamento europeo.
In altri termini: l’adozione di misure di sicurezza informatica adeguate, per quanto imprescindibile, non è bastevole a rendere il titolare od il responsabile di trattamento compliant con il Regolamento europeo.
Sotto il profilo dell’adeguatezza delle misure di sicurezza da adottare occorre precisare come non sia più sufficiente fare il minimo imposto dalla Legge, in quanto queste devono essere adeguate e parametrate al rischio del trattamento al fine di evitare di incorrere nelle pesanti sanzioni previste dal Regolamento Europeo.
9. Come devono essere trattati i dati personali di soggetti minorenni?
I minori sono considerati soggetti vulnerabili e, pertanto, devono formare oggetto di adeguata protezione in quanto essi possono essere meno consapevoli dei rischi e delle conseguenze che corrono in ragione del trattamento nonché dei loro diritti in relazione al trattamento dei dati personali.
L’interessato minorenne è infatti, almeno in teoria, meno in grado di autodeterminarsi rispetto ad un soggetto che ha raggiunto la maggiore età in relazione ai rischi che pone il trattamento realizzato dal titolare ed alle finalità da questi perseguite.
In quest’ottica, particolare attenzione deve essere prestata laddove i dati personali dei minori siano utilizzati a fini di marketing o per la creazione di profili di personalità o di utente piuttosto che per l’utilizzo di servizi forniti direttamente a un minore.
Se il trattamento si basa sul consenso dell’interessato dovrebbe essere il titolare della responsabilità genitoriale a prestarlo in vece del minore, ma il consenso del genitore non dovrebbe essere necessario nel quadro dei servizi di prevenzione o di consulenza forniti direttamente a un minore (offerta di servizi diretti al minore).
Ancora diverso è il profilo dei trattamenti dei dati dei minorenni nell’ambito dell’offerta di servizi della società dell’informazione per i quali la soglia non è di diciotto anni, ma inferiore.
Sul punto, il GDPR stabilisce che il consenso può essere prestato dal soggetto minorenne purché abbia un’età non inferiore ad anni 16 (sedici). Questa soglia è stata ulteriormente abbassata ad anni 14 (quattordici) dal novellato codice privacy a seguito del decreto di adeguamento della Legislazione nazionale al Regolamento Europeo nell’ottica favorire lo sviluppo dell’offerta di servizi della società dell’informazione.
10. Il GDPR impatta anche il trattamento di dati personali effettuato attraverso un sito web?
Il GDPR impatta non solo il profilo relativo all’organizzazione aziendale, ma influisce significativamente anche sul trattamento dei dati personali operato in rete e sul web, dove segue certe declinazioni e particolari logiche di tutela e protezione del dato personale.
Con riferimento al trattamento dei dati personali sul web, l’Autorità Garante italiana si era già espressa, ma con l’entrata in vigore del Regolamento UE quanto precedentemente stabilito (per maggiori informazioni vedi: https://www.garanteprivacy.it/cookie) dovrebbe essere integralmente rivisitato alla luce dei nuovi principi stabiliti dal GDPR.
In primo luogo, si deve precisare come un sito web non solo tratti dati personali, ma è facile che raccolga numerose informazioni sugli utenti le quali possono essere trattate in forma anonima (si pensi ai dati di navigazione o statistici) oppure come dati personali laddove consentano di identificare l’utente. Possono essere dati personali, ad esempio l’indirizzo IP dell’utente od altri protocolli di comunicazione implementati dall’editore del sito.
Inoltre, è frequente che un sito tratti dati personali forniti volontariamente dall’Utente quali raccolti, ad esempio, nell’ambito di un contact form o di un blog od una sezione commenti.
In secondo luogo, nell’ambito della gestione della data protection di un sito web una particolare attenzione deve essere riservata al profilo relativo alla gestione dei cookie. Allo scopo è, quindi, indispensabile realizzare un’informativa sui cookie completa e dettagliata anche in forma breve che può essere fornita attraverso un banner nella landing page del sito.
Peraltro, è bene precisare come i cookie abbiano tutti natura diversa ed un diverso impatto sulla sfera personale dell’utente.
Un sito web può limitarsi ad utilizzare cookie tecnici o di sessione oppure installare cookie traccianti per specifiche finalità di profilazione e marketing dell’utente.
Oltre ai doveri di trasparenza ed informativi sarà, quindi, necessario garantire il diritto all’utente di selezionare liberamente quali cookie accettare e quali rifiutare liberamente senza vincolare e condizionare la sua scelta e di metterlo nelle condizioni di revocare liberamente il suo consenso.
Ne consegue come le caselle di selezione delle preferenze non dovrebbero mai essere prespuntate e l’utente dovrebbe essere nelle condizioni di revocare liberamente il proprio consenso ai cookie con la stessa facilità con la quale lo stesso è stato accordato.
1. Cosa si intende per e-commerce e quali attività riguarda?
Il concetto di e-commerce, acronimo di electronic commerce, si può tradurre in italiano con l’espressione commercio elettronico.
Nella Comunicazione della Commissione Europea COM (97) 157 del 15 aprile 1997 si definisce commercio elettronico come lo svolgimento di attività commerciali per via elettronica. Il concetto di e-commerce ricomprende, pertanto, attività disparate quali la commercializzazione di merci e servizi per via elettronica, la distribuzione online di contenuti digitali, l’effettuazione per via elettronica di operazioni quali trasferimenti di fondi, la compravendita di azioni, l’emissione di polizze di carico, le vendite all’asta, la progettazione e ingegneria in cooperazione, l’on line sourcing, la stipula di appalti pubblici per via elettronica e la vendita diretta al consumatore e servizi post-vendita (V. https://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:1997:0157:FIN:IT:PDF).
Sempre più imprenditori, anche PMI, scelgono di vendere i propri beni e servizi online secondo il modello dell’e-commerce. Questo modello di business offre grandissime potenzialità di crescita economica e singificative opportunità di abbattere molti costi che sono tipici delle modalità di distribuzione tradizionali.
2. Cosa devo fare per realizzare un e-commerce a norma di legge?
Il fenomeno del commercio elettronico è regolato da numerose norme di Legge e, pertanto, realizzare un e-commerce a norma di Legge richiede l’intervento specifico di un Professionista specializzato.
La fonte principale che regola l’e-commerce è individuata nel Decreto Legislativo 9 aprile 2003, n. 70 “Attuazione della direttiva 2000/31/CE relativa a taluni aspetti giuridici dei servizi della società dell’informazione nel mercato interno, con particolare riferimento al commercio elettronico”, ma questa è solo una fra le diverse fonti normative che bisogna rispettare.
In secondo luogo, se i beni o servizi sono rivolti a consumatori e persone fisiche è necessario anche garantire il rispetto del Codice del Consumo (D.Lgs. n. 206/2005) se i servizi dell’editore del sito e-commerce sono diretti a consumatori. In particolare, i contratti di e-commerce conclusi con il consumatore rientrano nei cosiddetti “contratti a distanza” a cui è dedicata un’intera sezione del testo normativo e, per i quali, vanno predisposte apposite tutele.
Inoltre, se l’e-commerce si rivolge a persone fisiche, è necessario garantire il rispetto del GDPR (Reg. UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016): il Regolamento generale per la protezione dei dati personali. Garantire una protezione adeguata dei dati personali dei consumatori è particolarmente importante se l’e-commerce implementa sistemi di profilazione della clientela per aumentare le vendite.
Da ultimo, è necessario garantire il rispetto del Regolamento europeo sulle Online Dispute Resolution (ODR) – Regolamento (UE) N. 524/2013 del parlamento europeo del 21 maggio 2013 e la direttiva europea sulle Alternative Dispute Resolution (ADR) che disciplinano le procedure destinate a risolvere extragiudizialmente le controversie tra imprese e consumatori originate dai contratti di beni e servizi stipulati online.
3. Cosa devo fare se voglio creare un e-commerce che opera solamente in ambito B2B?
Un e-commerce B2B, dove i beni o servizi sono rivolti esclusivamente ad altri imprenditori o professionisti, non richiede di rispettare le norme del Codice del Consumo e nemmeno del GDPR.
Ugualmente, potrò profilare con una certa libertà i miei clienti senza dovermi preoccupare di garantire il rispetto della normativa nazionale ed europea sulla protezione dei dati personali che riguarda solamente le persone fisiche.
Si applicheranno, pertanto, le norme generali del codice civile . Ad esempio, non avrò l’obbligo di assicurare alla controparte il recesso libero nel termine di 14 (quattordici) giorni, ma la disciplina di riferimento sarà comunque quella generale in materia di recesso, annullamento, nullità ed inefficacia del contratto.
In particolare, troveranno applicazione gli articoli 1341 e 1342 del Codice Civile relativi ai contratti per adesione. Ne consegue che le condizioni generali di contratto predisposte da uno dei contraenti sono efficaci nei confronti dell’altro, se al momento della conclusione del contratto questi le ha conosciute o avrebbe dovuto conoscerle e che, se non sono specificamente approvate per iscritto, non hanno effetto le cosiddette clausole vessatorie.
Sono ricomprese in questa categoria, ad esempio, le condizioni che stabiliscono, a favore di colui che le ha predisposte, limitazioni di responsabilità, facoltà di recedere dal contratto o di sospenderne l’esecuzione, ovvero sanciscono a carico dell’altro contraente decadenze, limitazioni alla facoltà di opporre eccezioni, restrizioni alla libertà contrattuale nei rapporti coi terzi, tacita proroga o rinnovazione del contratto, clausole compromissorie o deroghe alla competenza dell’autorità giudiziaria.
Particolari problematiche pone, da ultimo, l’approvazione e la documentazione del consenso in ambito online, specie se nel contratto inserisco clausole vessatorie che necessitano, per essere efficaci, della doppia sottoscrizione della controparte.
4. Come gestisco eventuali controversie con i clienti e che cosa sono le online dispure resolution?
Per Legge, ogni controversia con il consumatore deve essere decisa nel Tribunale dove il consumatore ha la residenza o il domicilio e ogni patto in deroga è, in genere, considerato nullo.
Dato che si tratta di nullità di protezione, operante solamente a vantaggio del consumatore che non può danneggiare il consumatore, solo il consumatore può decidere di indicare un Foro diverso e si ha anche l’onere di provare la diversa pattuizione e, pertanto, la Legge è alquanto sfavorevole al Professionista.
Una controversia giudiziale è, tuttavia, spesso sconveniente anche per il Professionista in quanto lo espone a costi significativi e a probabili pregiudizi reputazionali per il Professionista e la possibile perdita di clienti.
La Legge, per favorire sistemi di composizione stragiudiziale della lite, impone al Professionista di pubblicare sui propri siti web un link elettronico ad una piattaforma ODR (Online Dispute Resolution). Un organismo di risoluzione delle controversie è un’organizzazione o una persona imparziale che aiuta i consumatori e i commercianti a risolvere le controversie senza dover andare in Tribunale.
L’implementazione di questi sistemi avviene risponde, pertanto, anche ad uno specifico interesse del professionista sul quale grava l’obbligo di implementare sistemi di ODR nel proprio servizio e di informare adeguatamente il consumatore della possibilità di avvalersene.
La piattaforma ODR è concepita, infatti, per agevolare la comunicazione fra il commerciante, il cliente e un organismo di risoluzione delle controversie e registrarsi a queste piattaforme rappresenta, pertanto, un’importante opportunità per il Professionista e non semplicemente un obbligo.
5. Quali sono le sanzioni in caso di mancato rispetto della normativa?
L’Autorità Garante della Concorrenza e del Mercato è competente a comminare le sanzioni per la violazione delle norme a tutela dei consumatori.
In genere, il mancato rispetto delle normative in tema di e-commerce espone il titolare a sanzioni amministrative che possono ammontare fino a 10.000,00 Euro.
Nei casi più gravi, ad esempio qualora le informazioni o la documentazione fornite non siano veritiere, l’Autorità può applicare sanzioni amministrative più significative che variano da un minimo di 4.000 Euro fino anche a 40.000 Euro.
Nei casi, più gravi, dove il contratto preveda clausole vessatorie in danno al consumatore l’Autorità può imporre la pubblicazione del provvedimento che accerta la vessatorietà della clausola mediante pubblicazione su apposita sezione del sito internet istituzionale dell’Autorità, sul sito dell’operatore e mediante ogni altro mezzo ritenuto opportuno in relazione all’esigenza di informare compiutamente i consumatori a cura e spese dell’operatore. In caso di inottemperanza alle disposizioni di cui al presente comma, l’Autorità applica una sanzione amministrativa pecuniaria da 5.000 euro a 50.000 euro.
Oltre ai profili amministrativi, il mancato rispetto delle norme a tutela del consumatore mi espone anche a class action che possono essere attivate da un singolo consumatore oppure da associazioni di categoria e che hanno ad oggetto l’accertamento della responsabilità e la condanna al risarcimento del danno e alle restituzioni in favore degli utenti consumatori e oni consumatore è libero di aderire alle class action contro il Professionista.
Non rispettare le norme di legge espone il mio business, pertanto, a perdite economiche e di clienti, pregiudizi reputazionali nonché cause e contenziosi contro consumatori e Associazioni di categoria.
6. Come mi posso difendere contro la sanzione dell’autorità garante o da una class action?
I provvedimenti e le sanzioni dell’Autorità Garante si possono impugnare avanti il Tribunale Amministrativo Regionale secondo quanto stabilisce il Codice del Processo Amministrativo.
Il TAR può, nel caso in cui accolga la domanda proposta, escludere interamente l’applicazione della sanzione annullando il provvedimento oppure ridurne, in ogni caso, l’importo se questa risulta essere eccessiva.
Formulando apposita istanza cautelare è possibile, inoltre, ottenere la sospensione degli effetti della sanzione fino al provvedimento definitivo del Giudice.
Sotto i profili civilistici, gli aspetti più critici sono rappresentati sicuramente dalle class action che possono essere azionate da Associazioni di categoria oppure da un numero indeterminato di consumatori.
Ogni consumatore può, infatti, adire il Tribunale semplicemente oppure aderire senza particolari formalità all’azione intentata da altri nei confronti del Professionista.
Nel caso in cui il Professionista sia convenuto in una class action è opportuno costituirsi in giudizio per evitare di perdere la causa. In questa sede è, infatti, possibile richiedere al Giudice l’ordinanza di inammissibilità dell’azione di classe.