Source: http://luigidevaleri.postilla.it/2019/04/01/ispezioni-correttivi-sanzioni-del-garante-privacy-e-ricorsi-al-tribunale/?utm_medium=email&utm_source=WKIT_NSL_IQmatt-00004823&utm_campaign=WKIT_NSL_IQmatt12.06.2019_TFM&elqTrackId=e005e65bb8a446e6ac074895b724ff0f&elq=0f298abe38da4d80a3d1d4d2998a2ddc&elqaid=31082&elqat=1&elqCampaignId=15520
Timestamp: 2019-10-19 00:33:02+00:00
Document Index: 158672945

Matched Legal Cases: ['art. 24', 'art. 58', 'art. 62', 'art. 157', 'art. 39', 'art. 29', 'art. 32', 'art. 83', 'art.158', 'art. 220', 'art. 167', 'art. 167', 'art. 166', 'art. 83', 'art. 58', 'art. 166', 'art. 83', 'art. 110', 'art. 83', 'art. 111', 'art. 13', 'art. 157', 'art. 83', 'art. 58', 'art. 83', 'art. 166', 'art. 10', 'art. 166', 'art. 169', 'art. 172', 'sentenza ', 'art.36']

Ispezioni, correttivi, sanzioni del Garante privacy e... ricorsi al Tribunale - Postilla
Postilla » Diritto » Il Blog di Luigi De Valeri » Diritto civile » Ispezioni, correttivi, sanzioni del Garante privacy e… ricorsi al Tribunale
Abstract della relazione svolta nel corso del workshop formativo per le aziende “ La privacy aggiornata e le PMI del settore Testing, Inspection, Certification” tenuto a Roma il 29 marzo 2019 in collaborazione con Alpi Associazione.
Da settembre 2018 sono state avviate le prime indagini sul rispetto del principio di responsabilizzazione (accountability) istituito dal G.D.P.R. General Data Protection Regulation, il Regolamento UE 2016/679, mi riferisco all’attività ispettiva d’iniziativa del Garante in adempimento alla piena operatività del GDPR che come noto risale al 25 maggio del 2018.
Tutte le società, titolari del trattamento dei dati personali (data controllers), possono essere interessate dalle ispezioni d’iniziativa del Garante che con il passar dei mesi si intensificheranno secondo un programma di controlli richiesto dal GDPR alle singole Autorità europee.
Nessuno si senta al sicuro ma non è il caso di temere disgrazie incombenti per chi si è messo veramente in regola con le disposizioni del GDPR… e sottolineo il veramente, per chi invece ha preso sottogamba il principio di accountability è necessario un serio esame di coscienza e correre subito ai ripari giovandosi di giuristi esperti di Data Protection.
Con il termine anglosassone accountability, che dovremmo tradurre alla lettera rendicontazione, in realtà si fa riferimento al principio che richiede e pretende che il titolare del trattamento attui misure adeguate per garantire e dimostrare che il trattamento dei dati personali effettuato è conforme al Regolamento UE 2016/679.
In particolare all’art. 24 si legge che “ tenuto conto della natura, del campo di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento dei dati personali è effettuato conformemente al Regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.”
L’importanza del principio di accountability si evidenzia in maniera lampante in fase di controllo dove l’azienda o il professionista dovrà dimostrare agli ispettori con ragionamento logico e documentare quanto ha fatto concretamente ed eventualmente difendersi da scelte opinabili come ad esempio il non aver attivato il registro dei trattamenti o non aver provveduto alla nomina di un Responsabile della protezione dei dati, il Data Protection Officer.
Di recente sul sito www.garanteprivacy.it con la newsletter del 25 marzo 2019 è stata resa pubblica la Deliberazione del 14 febbraio 2019 inerente l’attività ispettiva curata dall´Ufficio del Garante, anche per mezzo della Guardia di finanza, per il primo semestre 2019.
L’attività ispettiva viene svolta in applicazione degli articoli 157 e 158 del Codice e dell’art. 58 del Regolamento, nei confronti di soggetti non necessariamente individuati sulla base di reclami o segnalazioni degli interessati.
Nel semestre corrente è indirizzata, tra gli altri, ai trattamenti di dati effettuati dalle banche, con particolare riferimento ai flussi legati all’anagrafe dei conti; effettuati dalle Asl e poi trasferiti a terzi per il loro utilizzo a fini di ricerca; la gestione delle carte di fidelizzazione da parte delle aziende; il rilascio dell´identità digitale ai cittadini italiani (Spid); il Sistema Integrato di Microdati (Sim) dell´Istat e i trattamenti effettuati da società per attività di marketing.
Inoltre vi saranno controlli nei confronti di soggetti, pubblici e privati, appartenenti a categorie omogenee sui presupposti di liceità del trattamento, sulle condizioni per il consenso qualora il trattamento sia basato su tale presupposto, sul rispetto dell’obbligo dell’informativa nonché sulla durata della conservazione dei dati.
Sottolineo che il Garante potrà svolgere ulteriori attività istruttorie di carattere ispettivo d’ufficio ovvero in relazione a segnalazioni o reclami proposti dagli interessati (data subjects) oppure nel quadro di eventuali operazioni congiunte con altre Autorità europee come previsto dall’art. 62 del Regolamento.
Fatta questa premessa d’attualità va detto che il decreto legislativo 101/2018 che ha modificato il codice privacy, in vigore dal 19 settembre 2018, stabilisce che “per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati personali tiene conto, ai fini dell’applicazione delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del Regolamento (UE) 2016/679, della fase di prima applicazione delle disposizioni sanzionatorie”.
Quindi, stigmatizzando la pochezza giuridica di questa disposizione, si dovrebbe pensare ad una prima fase di applicazione del Regolamento (fino al 19 maggio 2019) di cautela nel comminare le sanzioni da parte del Garante il che però è affatto coerente con le prescrizioni del GDPR… staremo a vedere.
In ogni caso posso e devo consigliare le aziende e i professionisti, titolari o responsabili esterni del trattamento (data processors) di essere pronti a gestire un’ispezione dell’Autorità.
I poteri di indagine del Garante sono previsti e regolati dagli art. 157 (richiesta di informazioni e documenti) e 158 (accertamenti) del codice privacy.
L’obbligo formativo è previsto dall’art. 39.1.b del Regolamento in cui si indica tra i compiti del DPO, “sorvegliare l’osservanza […] delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi […] la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo”, l’art. 29 e l’art. 32.4 per cui “chiunque abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento”.
Cosa si rischia a non effettuare la formazione in azienda oppure a farla non a regola d’arte, come per la compliance, affidandosi a soggetti factotum pseudoconsulenti non affidabili, nell’ultimo anno ne sono spuntati a decine, che propongono corsi di formazione, tra l’altro con l’esborso di qualche centinaio di euro per accalappiare i titolari sprovveduti, tanto per dire che l’obbligo è stato rispettato ?
Nel caso di mancata erogazione della formazione si applica l’art. 83.4 del Regolamento con la sanzione fino a 10 milioni di euro o, per le imprese, fino al 2 % del fatturato mondiale annuo dell’anno precedente se superiore.
Tornando alle ispezioni del Garante ricordo che l’inadempimento alla richiesta di informazioni e di esibizione di documenti avanzata dal Garante può portare all’ingiunzione di pagare una sanzione pecuniaria fino a venti milioni di euro o per le imprese fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente.
Se una società, cooperativa, associazione o un professionista titolari o responsabili del trattamento ricevono richieste di informazioni da parte dell’Autorità, questo comporta un aumento della probabilità di ricevere un ispezione del Garante e questo ancor più se le richieste di informazioni si riferiscono ai settori indicati nei piani semestrali resi pubblici dal Garante.
Le attività ispettive sono condotte in genere dal Nucleo Speciale Privacy della Guardia di Finanza.
Nei casi più gravi in cui sono richieste competenze specifiche maggiori, i funzionari del Garante procedono personalmente alle ispezioni con o senza il supporto dei finanzieri.
Se l’ispezione è condotta in prima persona da funzionari del Garante è probabile che l’Autorità consideri la situazione già a rischio in tema di rispetto della normativa sulla protezione dei dati personali.
La tipologia del soggetto che procede agli accertamenti ispettivi denota il livello di attenzione dell’Autorità che, nei limiti di budget e di personale, deve decidere a quali operazioni (e operatori) dedicare le proprie risorse.
Le ispezioni possono essere “annunciate” dal Garante o dalla G.d.F tramite una comunicazione mediante posta elettronica, il giorno prima del sopralluogo, ma possono anche avvenire a sorpresa.
E’ opportuno che in azienda chi controlla la P.E.C. avverta subito i vertici e l’area legale in modo da prepararsi all’arrivo degli ispettori.
Se l’ispezione avviene in una abitazione o un altro luogo di dimora privata (art.158.4) occorre l’assenso informato del titolare soggetto passivo dell’ispezione o l’autorizzazione del Presidente del Tribunale competente per territorio la cui copia verrà rilasciata ai soggetti presso cui vengono svolti gli accertamenti.
L’accertamento non può essere iniziato prime delle ore sette e dopo le ore venti salvo diversa disposizione del decreto del presidente del Tribunale.
In caso di rifiuto gli accertamenti sono comunque eseguiti e le spese ove occorrenti sono poste a carico del titolare con il provvedimento che definisce il procedimento.
Il DPO, ove nominato è come noto il tramite tra l’Autorità di controllo e il titolare del trattamento, potrà ovviamente presenziare e rendersi parte attiva nelle operazioni degli ispettori coadiuvandoli secondo la necessaria preparazione e professionalità di cui deve dare garanzia giustificando la scelta operata nominandolo.
L’ambito dell’ispezione è individuato da un documento che viene notificato al momento dell’accesso in sede.
E’ la “richiesta di informazioni” con cui il Garante domanda come siano stati assolti determinati obblighi legislativi o regolamentari in materia di protezione dei dati personali.
La richiesta di informazioni può includere come viene data l’informativa agli interessati, come viene raccolto il consenso ove necessario, come sono contrattualizzati i responsabili esterni del trattamento, quali misure di sicurezza sono applicate in azienda, per quanto tempo e come vengano conservati i dati trattati e altro in linea con i principi del GDPR.
È opportuno per le aziende dotarsi di internal procedures, una procedura interna che preveda siano avvisati i vertici dell’organizzazione e siano individuati i soggetti preposti alla gestione degli ispettori: il Data Protection Officer se nominato o il responsabile del trattamento, il capo dell’ufficio legale, il capo della funzione compliance.
La redazione del verbale in sede di ispezione
Di fondamentale importanza, secondo l’esperienza acquisita, è la redazione del verbale di quello che avviene e delle dichiarazioni del soggetto che subisce l’ispezione.
Il verbale viene redatto in contraddittorio tra le parti, riportando le eventuali dichiarazioni dei presenti, se l’accertamento viene effettuato presso la sede del Titolare del trattamento.
Consiglio di verificare la correttezza di quanto dichiarato, anche al fine di limitare i rischi di sanzioni penali e/o amministrative, meglio sarebbe se le dichiarazioni a verbale vengano esaminate da un legale interno della società o un consulente esterno in modo da verificare che non si rivelino controproducenti o contraddittorie.
Prima di rispondere se non si è capito cosa viene chiesto è meglio chiedere chiarimenti agli ispettori che richiedono informazioni.
Il personale dovrà essere munito di documento di riconoscimento e potrà essere assistito da consulenti tenuti al segreto e nel procedere alle operazioni tecniche potrà estrarre copia di ogni atto o documento.
E’ lapalissiano che se l’adeguamento dell’organizzazione al GDPR nel rispetto del principio di accountability sarà ben fatto, evitando ad esempio di affidarsi solo a software creatori di policies e di compliance a distanza al costo di poche centinaia di euro, con facilità si potrà esibire la documentazione richiesta, soddisfare le richieste dell’Autorità ed uscire indenni da ogni ispezione.
Alcuni consigli pratici in occasione delle ispezioni.
- non consegnare la documentazione in originale ma le copie, gli originali, se presenti, andranno esibiti agli ispettori o ai finanzieri;
– prendere nota di tutti i documenti visionati dagli ispettori e delle informazioni richieste e fornite;
– dimostrarsi collaborativi e non reticenti;
– rilasciare sempre informazioni veritiere e corrette, nel dubbio, non rispondere è meglio che dare informazioni che poi si rivelino false e farsi rilasciare la copia del verbale.
In caso di richiesta di documentazione riservata, è consigliabile anonimizzare o cancellare le parti che non si desidera mettere a disposizione dell’Autorità, ad esempio i termini economici di un contratto.
È opportuno inoltre che almeno una delle persone individuate per la gestione dell’ispezione sia presente per tutto il tempo in modo da coordinare i lavori e fare da punto di riferimento sia interno che per gli ispettori.
In genere le ispezioni durano due o tre giorni e al termine di ogni giornata è consigliabile redigere un report interno di cosa è successo anche per favorire l’attività che dovranno svolgere i legali dell’azienda a seguito di contestazioni o irrogazione delle sanzioni come si dirà in seguito.
Cosa succede al termine delle ispezioni ?
Nel caso in cui a seguito dell’esame degli atti acquisiti si configurino ipotesi di reato verrà applicata la disposizione di garanzia dell’ art. 220 disp. att. codice procedura penale per cui saranno assicurati i diritti di difesa dal primo momento in cui si manifestino comportamenti rilevanti in sede penale.
Il Decreto 101 ha introdotto nel codice privacy un particolare sistema di coordinamento tra procedimento penale e amministrativo, volto ad attenuare il rischio di configurabilità del cosiddetto bis in idem, nel rispetto del principio del contraddittorio.
E’ previsto dall’art. 167 commi 4 e 5 del codice, per alcuni reati, che il Pubblico Ministero informi il Garante senza ritardo quando abbia notizia di fattispecie di reato, questa disposizione si applica solo per il trattamento illecito di dati personali, la comunicazione e diffusione illecita di dati oggetto di trattamento su “larga scala” e l’acquisizione fraudolenta di dati personali oggetto di trattamento su “larga scala”, viceversa il Garante è tenuto a trasmettere al Pubblico Ministero, con una relazione motivata, al più tardi al termine dell’attività di accertamento, la documentazione raccolta qualora emergano elementi tali da far presumere la sussistenza di un reato.
Il legislatore italiano ha pensato di limitare il carico che deriva della convergenza tra sanzione penale e amministrativa, prevedendo, ex art. 167 comma 6, che, qualora per lo stesso fatto sia stata applicata e riscossa una sanzione amministrativa pecuniaria dal Garante, la pena per il reato che si dovesse ravvisare sia diminuita.
L’applicazione delle sanzioni pecuniarie.
Il Garante è l’organo competente ex art. 166 del codice ad irrogare le sanzioni pecuniarie dell’art. 83 del GDPR e i provvedimenti correttivi di cui all’art. 58 paragrafo 2 del GDPR.
L’art. 166 del codice precisa che sono soggette alla sanzione amministrativa dell’art. 83 paragrafo 4 del GDPR, ovvero fino a 10 milioni di euro o per le imprese fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente, le violazioni degli articoli 2-quinquies, comma 2, 2-quinquiesdecies, 92, comma 1, 93, comma 1, 123, comma 4, 128, 129, comma 2, e 132-ter. e la violazione commessa dal titolare che non effettua la valutazione d’impatto di cui all’art. 110 comma 1 in tema di ricerca medica, biomedica ed epidemiologica.
Sanzioni più pesanti secondo quanto previsto al paragrafo 5 dell’art. 83 GDPR ovvero fino a 20 milioni di euro o per le imprese fino al 4% del fatturato, interessano altri articoli del codice tra cui segnalo l’art. 111 bis in materia di obbligo di resa delle informazioni ex art. 13 GDPR in caso di ricezione di curricula e l’art. 157 in materia di informazioni ed esibizioni di documenti su richiesta del Garante.
L’applicazione delle sanzioni pecuniarie, mi riferisco all’ammontare delle somme, tiene conto di una serie di criteri indicati all’art. 83 del GDPR per cui il Garante dovrà considerare, tra l’altro, le circostanze del caso particolare e del soggetto trasgressore valutando l’entità del danno arrecato agli interessati, il numero degli interessati destinatari della violazione, la collaborazione prestata dal trasgressore al fine di ridurre gli effetti negativi nei confronti degli interessati.
Le sanzioni secondo il GDPR devono essere effettive, proporzionate e dissuasive.
Appare evidente e dobbiamo attenderci che una PMI non debba temere di ricevere sanzioni per milioni di euro come viceversa potrebbe temere una società per azioni o una multinazionale,
I provvedimenti correttivi del Garante ex art. 58.2 GDPR e 166.3 del Codice.
Il Garante, a parte sanzionare le violazioni del trattamento dei dati personali, può rivolgere avvertimenti al titolare o al responsabile indicando che i trattamenti previsti possono violare le disposizioni del GDPR, rivolgere ammonimenti ove i trattamenti abbiano violato le disposizioni del GDPR, ingiungere di soddisfare le richieste dell’interessato di esercitare i diritti derivanti dal GDPR, ad esempio il diritto alla portabilità dei suoi dati, ingiungere di conformare i trattamenti alle disposizioni del GDPR in una certa maniera ed entro un certo termine, ingiungere di comunicare all’interessato una violazione dei dati personali, imporre una limitazione provvisoria o definitiva del trattamento incluso il divieto di trattamento, ordinare la rettifica, la cancellazione di dati personali o la limitazione del trattamento, prescrivere al titolare di adottare una procedura.
In tema di provvedimenti correttivi del Garante un anno fa circa accadde che un comune toscano decise di dotare ogni operatore ecologico di un braccialetto elettronico volendo controllare che i raccoglitori di rifiuti fossero effettivamente svuotati.
Il braccialetto, a dire del comune, non serviva a controllare i lavoratori in quanto privo di GPS che poteva localizzarli, tuttavia a seguito di segnalazioni intervenne sulla questione il Garante che avvio d’ufficio un procedimento.
Al termine dell’istruttoria il Garante ritenne illegittimo l’uso del braccialetto indicando al comune la necessità di servirsi di altri dispositivi nel rispetto della dignità dei lavoratori prescrivendo la necessità di attivare la procedura di valutazione d’impatto.
I dispositivi, rilevò l’Autorità, permettevano il trattamento di dati personali di lavoratori identificabili in quanto pur essendo i braccialetti collegati a zone della città e non ai singoli operatori tuttavia attraverso questi potevano essere individuati e quindi controllati attraverso i registri dei turni di lavoro.
La prescrizione del Garante richiedeva “di individuare tempi di conservazione dei registri, cartacei e digitali, strettamente necessari a gestire le eventuali contestazioni da parte della società municipalizzata e descrivere nel dettaglio i casi specifici nei quali sarà possibile incrociare le informazioni.”
Il procedimento per l’adozione delle sanzioni e il ricorso all’Autorità giudiziaria.
Qualora l’ufficio reputi che dagli elementi acquisiti si evidenzino una o più violazioni indicate nel codice o nell’art. 83 del GDPR l’art. 166 prevede la notifica al titolare o al responsabile del trattamento delle presunte violazioni “salvo che la previa notifica non sia compatibile con la natura del provvedimento che intende adottare”.
Il rispetto del principio del contraddittorio, anche nella fase post-ispettiva, si manifesta nella facoltà di inviare al Garante entro trenta giorni dal ricevimento della notifica scritti difensivi o documenti e chiedere di essere ascoltati.
Scaduto il termine ed esaminate le difese dei soggetti sanzionati, il Garante prenderà la decisione sulla violazione ascritta al titolare per cui potrà comunicare il provvedimento sanzionatorio (ordinanza-ingiunzione) e il trasgressore entro trenta giorni può adeguarsi alle prescrizioni del Garante definendo la controversia mediante il pagamento di un importo pari alla metà della sanzione irrogata.
In alternativa è possibile per il trasgressore proporre ricorso all’autorità giudiziaria sempre nel termine perentorio di trenta giorni, come previsto dall’art. 10 del D. Lgs. 150 del 2011, al Tribunale del luogo dove il titolare del trattamento risiede oppure del luogo di residenza dell’interessato.
Ricordo inoltre che a mente dell’art. 166 comma 7 il Garante può applicare la sanzione amministrativa accessoria della pubblicazione dell’ordinanza-ingiunzione sul sito internet e questa pubblicità è del tutto negativa per l’immagine societaria del titolare del trattamento e da sola dovrebbe servire come deterrente per mettersi in regola e non commettere violazioni.
Svariate ordinanze-ingiunzioni di pagamento ai titolari del trattamento, comprese le PMI, sono state emesse dal Garante negli ultimi anni per sanzionare trattamenti illeciti di dati personali a seguito di segnalazioni ed ispezioni.
Ricordo tra le altre una decisione della Cassazione, ordinanza n. 17665 del 5 luglio 2018, che ha confermato la legittimità di una ordinanza-ingiunzione che prevedeva una sanzione pecuniaria di oltre quattordicimila euro a carico di una PMI, nella vicenda l’interessato al quale non veniva richiesto uno specifico ed esplicito consenso al trattamento dei dati, “risultava potenziale destinatario di “newsletters” presso lo spontaneamente segnalato indirizzo e-mail”.
Il Decreto 101/2018 ha confermato alcune fattispecie di reato preesistenti nel codice privacy pur trasformandole, abrogato l’art. 169, coerentemente con i principi del GDPR, che puniva l’omessa assunzione delle misure minime di sicurezza e ne ha aggiunte tre nuove.
Le fattispecie di reato previste dal codice novellato applicabili dal 19 settembre 2018 sono le seguenti:
– Comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala;
– Acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala;
– Violazioni in materia di controlli a distanza dei lavoratori e di indagine sulle loro opinioni.
Per quanto concerne i comportamenti connessi all’attività ispettiva e l’emanazione di provvedimenti del Garante possono configurarsi due fattispecie di reato.
Art. 168 – False attestazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante.
L’articolo 168 del codice prevede che chiunque, in un procedimento o nel corso di accertamenti dinanzi al Garante, dichiara o attesta falsamente notizie o circostanze o produce atti o documenti falsi, è punito con la reclusione da sei mesi a tre anni.
Al secondo comma, una nuova fattispecie, è sanzionata con la reclusione sino ad un anno chiunque intenzionalmente cagiona un’interruzione o turba la regolarità di un procedimento dinanzi al Garante o degli accertamenti dallo stesso svolti.
Art. 170 Inosservanza di provvedimenti del Garante.
L’articolo 170 del codice punisce l’inosservanza dei provvedimenti del Garante.
“Chiunque, essendovi tenuto, non osserva il provvedimento adottato dal Garante ai sensi degli articoli 58, paragrafo 2, lettera f) del Regolamento, dell’articolo 2 septies, comma 1, nonché i provvedimenti generali di cui all’articolo 21, comma 1, del decreto legislativo di attuazione dell’articolo 13 della legge 25 ottobre 2017, n. 163 è punito con la reclusione da tre mesi a due anni”.
Infine va ricordato che la condanna per uno dei delitti previsti dal codice ex art. 172 del codice comporta la pubblicazione della sentenza ai sensi dell’art.36, commi 2 e 3 del codice penale.
In conclusione… sono in corso e arriveranno altre ispezioni ma chi è compliant to GDPR non avrà nulla da temere.
Info GDPR privacy, adeguamento e formazione obbligatoria in azienda
Letture: 8757 | Commenti: 2 |
2 Commenti a “Ispezioni, correttivi, sanzioni del Garante privacy e… ricorsi al Tribunale”
GDPR - ispezioni del Garante della Privacy dal 20 maggio - Regolamento 8 Regolamento 8 scrive:
Scritto il 30-5-2019 alle ore 14:14
[…] Il Garante può disporre quindi gli accessi a banche dati, archivi o altre ispezioni e verifiche nei luoghi ove si svolge il trattamento o nei quali occorre effettuare rilevazioni utili al controllo del rispetto della normativa sul trattamento dei dati personali (clicca qui per approfondimenti) […]
Scritto il 15-6-2019 alle ore 04:37
Come noto il decreto legislativo 101/2018 che ha modificato il codice privacy, in vigore dal 19 settembre 2018, stabiliva che “per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati personali tiene conto, ai fini dell’applicazione delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del Regolamento (UE) 2016/679, della fase di prima applicazione delle disposizioni sanzionatorie”. Ebbene questo periodo definito di transizione è terminato il 20 maggio 2019 per cui sembrerebbe che ora il Garante possa applicare sanzioni economiche e altri provvedimenti ai titolari e responsabili del trattamento non in regola senza alcuna “cautela”. Pertanto ancor di più dal 20 maggio è necessario essere compliant con il GDPR e questo anche per la formazione obbligatoria interna a scadenza almeno annuale. Non mancano le società che in prima battuta in fretta e furia si erano rivolte a consulenti e società tuttofare di recente “esperienza” dai compensi di poche centinaia di euro ora stanno seguendo la strada della “second opinion” affidandosi a professionisti di maggiore e comprovata esperienza in materia privacy.