Source: http://gagisco.it/il-nuovo-regolamento-privacy-ue-6792016-e-il-decreto-attuativo-1012018-linee-essenziali-%E2%80%93-sabrina-peron
Timestamp: 2020-08-13 05:13:29+00:00
Document Index: 79818286

Matched Legal Cases: ['art. 3', 'art. 6', 'art. 7', 'art. 7', 'art. 12', 'art. 12', 'art. 13', 'art. 14', 'art. 9', 'art. 2', 'art. 2', 'art. 8', 'art. 13', 'art. 17', 'art. 8', 'art. 24', 'art. 25', 'art. 89', 'art. 89', 'art. 28', 'art. 30', 'art. 30', 'art. 32', 'art. 45', 'art. 83', 'art. 96']

Dal 25 maggio 2018, in tutti i Paesi degli Stati membri della UE, è entrato in vigore il nuovo Regolamento del Parlamento europeo e del Consiglio, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
A differenza della direttiva, il Regolamento è direttamente applicabile in tutti gli Stati membri UE, senza la necessità di atti di recepimento, così da conseguire l’obiettivo di una uniformazione del diritto degli Stati europei.
Il Regolamento Privacy, che rappresenta un chiaro segnale di un nuovo interesse pubblico dell’Unione alla circolazione dei dati nello spazio digitale, è stato adottato il 27 aprile 2016 ed è abrogativo della direttiva 95/46/CE (Regolamento generale sulla protezione dei dati), con lo scopo di rafforzare i diritti dei cittadini europei nel controllo dei propri dati personali e di definire un quadro unificato di regole per le aziende.
L’art. 3 GDPR, ne prevede l’applicazione anche “indipendentemente dal fatto che il trattamento sia effettuato o meno nell’Unione”. Il medesimo articolo stabilisce altresì che le sue regole debbano valere anche per i Titolari e Responsabili del Trattamento non stabiliti nell’UE, quando trattano dati che concernono: a) l'offerta di beni o la prestazione di servizi di soggetti che trovano nella UE; b) il monitoraggio del comportamento di soggetti che si trovano nella UE nella misura in cui tale comportamento abbia luogo all'interno dell'Unione.
L’art. 6 GDPR conferma le condizioni di liceità del trattamento dei dati, ossia:
- prestazione di un valido consenso al trattamento;
- trattamento necessario per:
l’adempimento obblighi contrattuali;
far fronte a obblighi di legge che incombono sul titolare
far fronte ad interessi vitali della persona interessata o di terzi;
l’esecuzione di compiti di interesse pubblico o per l’esercizio di pubblici poteri.
Con particolare riferimento al consenso:
dev’essere liberamente prestato e l’esecuzione di un contratto o la prestazione di un servizio, non può essere subordinata al consenso al trattamento di dati non necessari (art. 7, co. 4);
dev’essere specifico, informato e inequivocabile.
Pur non essendo necessaria la forma scritta, non è mai considerato come validamente prestato il consenso tacito o presunto: al riguardo sul titolare al trattamento grava l’onere di dimostrare che l’interessato ha prestato il suo consenso.
Secondo le indicazioni date dal Garante Privacy, il consenso raccolto prima del 25 maggio 2018 rimane valido:
solo se presenta tutte le caratteristiche sopra citate: in caso contrario, occorrerà raccogliere un nuovo consenso conforme al Regolamento;
solo se la “vecchia” richiesta di consenso sia conforme a quanto stabilito dall’art. 7, co. 2, ossia sia semplice, chiara, comprensibile e chiaramente distinguibile da altre richieste o dichiarazioni rivolte all’interessato.
In ogni caso il consenso può essere revocato in ogni momento dall’interessato
L’informativa data all’interessato deve utilizzare un linguaggio chiaro e semplice e deve essere concisa, trasparente, intelligibile e facilmente accessibile (art. 12).
Inoltre, deve preferibilmente avere forma scritta, ma sono ammessi anche altri mezzi: elettronici o, se richiesto dall’interessato può essere fornita anche oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato. Interessante notare che l’art. 12 co. 7, ammette anche l’utilizzo di icone al fine di presentare i contenuti dell'informativa in forma sintetica, che va però data “in combinazione” con l'informativa estesa.
L’informativa deve tassativamente contenere tutte le analitiche prescrizioni indicate dall’art. 13 del GDPR.
Inoltre, se i dati non sono stati direttamente ottenuti dall’interessato, questi ha diritto di ricevere dal titolare del trattamento – al più tardi entro un mese dalla raccolta o dalla comunicazione dei dati a terzi - tutte le informazioni previste dal successivo art. 14, quali:
identità e dati di contatto del titolare e del responsabile; finalità del trattamento e la sua base giuridica;
categoria dei dati personali oggetto di trattamento;
eventuali destinatari dei dati; l’intenzione del titolare del trattamento di trasferire dati personali a un destinatario in un paese terzo (e con quali strumenti avverrà il trasferimento);
il periodo di conservazione dei dati personali (o il suo criterio di determinazione);
l’esistenza del diritto dell’interessato a chiedere l’accesso ai proprio dati, oppure la rettifica, l’aggiornamento, la cancellazione;
l’esistenza del diritto per l’interessato ad opporsi al trattamento, a revocare il suo consenso al trattamento e a proporre reclamo;
4) Dati personali di natura particolare
Ai sensi art. 9 GDPR, per alcuni dati personali è prevista una disciplina particolarmente rigorosa.
dati idonei a rivelare l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale;
Con riguardo ai dati biometrici e quelli relativi la salute, l’art. 2 septies del Codice Privacy (così come modificato dal Decreto attuativo n. 101/2018), prevede che il garante per la Privacy, stabilisca quali sono le misure di garanzie da adottare, e che dovranno indicare le misure di sicurezza da adottare, ivi comprese quelle tecniche di cifratura e di pseudonomizzazione, le misure di minimizzazione, le specifiche modalità per l'accesso selettivo ai dati e per rendere le informazioni agli interessati, nonché le eventuali altre misure necessarie a garantire i diritti degli interessati.
Inoltre, è fatto carico al Garante aggiornare ogni due anni, tali misure di garanzia che dovranno tener conto: “a) delle linee guida, delle raccomandazioni e delle migliori prassi pubblicate dal Comitato europeo per la protezione dei dati e delle migliori prassi in materia di trattamento dei dati personali; b) dell'evoluzione scientifica e tecnologica nel settore oggetto delle misure; c) dell'interesse alla libera circolazione dei dati personali nel territorio dell'Unione europea”.
I dati personali di natura particolare, possono essere trattati solo in presenza delle seguenti condizioni.
Anzitutto solo con il consenso esplicito dell’interessato reso per finalità specifiche.
motivi di interesse pubblico rilevante sulla base del diritto dell’Unione o degli Stati membri, che deve essere proporzionato alla finalità perseguita. A tale riguardo l’art. 2 sexies del Decreto attutivo 101/2018, ha precisato che si considera di rilevante interesse pubblico i trattamenti effettuati da soggetti che svolgono compiti di interesse pubblico o connessi all'esercizio di pubblici poteri in una serie di materie dettagliatamente esplicitate nella norma (quali ad esempio: accesso a documenti amministrativi; tenuta dei registri dello stato civile, dell’anagrafe e delle liste elettorali, tenuta dei registri pubblici relativi a beni immobili o mobili, etc. etc.);
finalità di medicina preventiva o di medicina del lavoro, valutazione della capacità lavorativa del dipendente, diagnosi, assistenza o terapia sanitaria o sociale ovvero gestione dei sistemi e servizi sanitari o sociali;
motivi di interesse pubblico nel settore della sanità pubblica, quali la protezione da gravi minacce per la salute a carattere transfrontaliero o la garanzia di parametri elevati di qualità e sicurezza dell’assistenza sanitaria e dei medicinali e dei dispositivi medici;
fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici.
purché ciò avvenga, nell’ambito delle loro legittime attività, con adeguate garanzie e riguardi unicamente i membri (o ex membri) e/o persone con cui hanno regolari contatti; e
sempreché tali dati personali non siano comunicati all’esterno senza il consenso dell’interessato.
5) I minori
L’attenzione posta dal Regolamento a soggetti minori è dovuta ad una maggiore sensibilità alle problematiche dei minori che oramai, in quanto nativi digitali, utilizzano quotidianamente i vari prodotti digitali. Il consenso di soggetti minori è valido a partire dal 16 anno d’età (con libertà per gli Stati membri di abbassare tale età sino ai 13 anni). Prima di tale data il consenso è prestato dai genitori o da chi ne fa le veci (art. 8). In questo caso, il titolare del trattamento deve adoperarsi per verificare che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, in considerazione delle tecnologie disponibili. In ogni caso per i minori sono necessarie informative idonee e redatte in modo semplice e chiaro.
6) I diritti dell’interessato
L’interessato al trattamento ha diritto ad ottenere dal titolare del trattamento – entro un mese dalla richiesta (eventualmente prorogabile a due, in caso di complessità della richiesta) – tutte le informazioni di cui agli art. 13 e 14, per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici (se richiesto dall’interessato, le informazioni possono essere fornite oralmente, purché sia comprovata con altri mezzi l’identità dell’interessato). La risposta fornita all’interessato deve avere le seguenti caratteristiche: dev’essere intelligibile, anche attraverso l’utilizzo di un linguaggio semplice e chiaro; inoltre, dev’essere concisa, trasparente e facilmente accessibile.
Ai sensi dell’art. 17 GDPR, l’interessato ha il diritto di ottenere (senza ingiustificato ritardo) la cancellazione dei dati personali che lo riguardano in presenza di uno dei seguenti motivi:
dati personali non più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
revoca del consenso su cui si basa il trattamento e se non sussiste altro fondamento giuridico per il trattamento;
opposizione al trattamento senza che sussista alcun motivo legittimo prevalente per procedere;
trattamento illecito dei dati personali; e) cancellazione dei dati personali per adempiere un obbligo legale cui è soggetto il titolare del trattamento. Infine quanto i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione ai minori (art. 8, co. 1).
per l’adempimento di un obbligo legale cui è soggetto il titolare del trattamento o per l’esecuzione di un compito svolto nel pubblico interesse oppure nell’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
per fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, nella misura in cui il diritto di cui al paragrafo 1 rischi di rendere impossibile o di pregiudicare gravemente il conseguimento degli obiettivi di tale trattamento;
8) Obblighi del Titolare del trattamento
Il Titolare del trattamento deve attuare tutte le misure tecniche e organizzative adeguate per garantire (e dimostrare), che il trattamento è effettuato conformemente al Regolamento. Dette misure vanno poi periodicamente riesaminate ed aggiornate (art. 24).
Tra le misure da mettere in atto vi possono essere la pseudonimizzazione e la minimizzazione (art. 25). In particolare, il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, deve assicurare la predisposizione di misure tecniche e organizzative, in particolare al fine di garantire il rispetto del principio della minimizzazione dei dati. Tali misure possono includere anche la pseudonimizzazione, purché le finalità in questione possano essere conseguite in tal modo (art. 89).
In ogni caso ai sensi dell’art. 89 Codice Privacy (così come modificato dal Decreto attuativo n. 101/2018), il “trattamento di dati personali a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici può essere effettuato anche oltre il periodo di tempo necessario per conseguire i diversi scopi per i quali i dati sono stati in precedenza raccolti o trattati”.
9) Il Responsabile del trattamento
Il titolare del trattamento, designa il Responsabile del trattamento.
La designazione avviene per iscritto – con un contratto o altro atto giuridico conforme al diritto nazionale – e deve attribuirgli i compiti indicati al successivo art. 28. Il responsabile del trattamento, può nominare dei sub-responsabili del trattamento per specifiche attività di trattamento, nel rispetto degli stessi obblighi contrattuali.
Il Responsabile del trattamento ha l’obbligo della tenuta (e dell’aggiornamento) del registro dei trattamenti, tenuto in conformità alle prescrizioni dell’art. 30. Il registro deve avere forma scritta anche elettronica e dev’essere esibito su richiesta del Garante.
10) I Registri delle attività di Trattamento
Tra le novità introdotte dal GDPR, l’art. 30 prevede la tenuta e, in caso di modifiche, l’aggiornamento dei Registri delle attività di trattamento.
Il Titolare del Trattamento, oltre a adottare misure di sicurezza tecnico organizzative adeguate al livello rischio (ad esempio, pseudonimizzando e cifrando i dati personali – cfr. art. 32), in caso di data breach (ovvero violazione della sicurezza e della riservatezza dei dati) deve farne tempestiva comunicazione al Garante e agli interessati.
Tutte le volte in cui un trattamento comporti (a causa del monitoraggio sistematico dei loro comportamenti, o per il gran numero dei soggetti interessati di cui sono magari trattati dati sensibili, o anche per una combinazione di questi e altri fattori), un rischio elevato per i diritti e le libertà delle persone interessate, il Titolare ha l’obbligo di svolgere preliminarmente una valutazione di impatto.
Tale valutazione deve necessariamente contenere una precisa descrizione dei trattamenti previsti e delle loro finalità (incluso l’interesse legittimo perseguito dal Titolare); una valutazione della necessità e della proporzionalità dei trattamenti in relazione alle finalità dichiarate; un’analisi dei rischi per i diritti e le libertà degli interessati; le misure che si intendono adottare per affrontare i rischi (ivi incluse le garanzie ed i meccanismi di sicurezza predisposti per la tutela dei dati personali e i diritti e libertà fondamentali).
13) Trasferimento dati verso Paesi terzi
E’ consentito, senza la necessità di autorizzazioni specifiche, il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale che garantiscono un livello di protezione adeguato, secondo le disposizioni dell’art. 45.
E’ necessaria, invece, l’autorizzazione del Garante in caso di utilizzo di clausole contrattuali ad-hoc (cioè non riconosciute come adeguate tramite decisione della Commissione europea) oppure accordi amministrativi stipulati tra autorità pubbliche.
14) Sanzioni (art. 83)
In caso di violazione del Regolamento, ogni Autorità nazionale, può applicare delle sanzioni che siano effettive, proporzionate e dissuasive, tenendo conto di alcuni elementi quali: natura, la gravità e la durata della violazione; carattere doloso o colposo; misure adottate dal Titolare e dal Responsabile e loro grado di responsabilità; eventuali precedenti violazioni, etc.
15) Trattamento dati a fini giornalistici (art. 96)
Per tutti i casi di trattamento effettuato a scopi giornalistici o di espressione accademica, artistica o letteraria, al fine di conciliare il diritto alla protezione dei dati personali e la libertà d’espressione e di informazione agli Stati membri è fatto obbligo di prevedere esenzioni o deroghe riguardo ai seguenti capi del Regolamento: capo II (principi); capo III (diritti dell’interessato); capo IV (titolare del trattamento e responsabile del trattamento); capo V (trasferimento di dati personali verso paesi terzi o organizzazioni internazionali); capo VI (autorità di controllo indipendenti) ; capo VII (cooperazione e coerenza); capo IX (specifiche situazioni di trattamento dei dati).
Articolo pubblicato in www.personaedanno.it e reperibile al seguente link: https://www.personaedanno.it/articolo/il-nuovo-regolamento-privacy-ue-679-2016-e-il-decreto-attuativo-101-2018-linee-essenziali-sabrina-peron