Vi proponiamo qui l’articolo di Giusella Finocchiaro sullo schema di decreto che armonizza l’integrazione del Regolamento dell’Unione Europea sulla privacy, pubblicato sull’inserto privacy del il Sole 24 Ore il 24 maggio 2018.
A distanza di oltre vent’anni dalla prima normativa europea in materia, la direttiva madre 46 del 1995, è giunto il momento di voltare pagina. Prendendo atto dei cambiamento tecnologici (nel 1995 non esistevano gli smartphone) che hanno indotto grandi cambiamenti sociologici (basti pensare alla vita che si svolge sui social network). E’ cambiato anche il contesto economico: oggi i dati sono il nuovo petrolio, come scrive l’Economist. E quello politico: l’Europa si è impegnata nel mercato unico digitale.
Il Regolamento europeo 679/2016, che entra in vigore domani, riflette tutti questi cambiamenti e volta pagina. Innanzitutto detta una disciplina unitaria per tutti gli Stati Membri, salvo alcuni spazi lasciati al legislatore nazionale, definendo così uno spazio unico anche sotto il profilo giuridico, all’interno e verso l’esterno.
Afferma con forza il principio della libera circolazione dei dati, la quale “non può essere limitata nè vietata per motivi attinenti alla protezione delle persone fisiche con riguardo al trattamento dei dati personali”, come recita l’articolo 1 del regolamento.
Il diritto alla protezione dei dati personali, sancito dalla Carta Dei Diritti Fondamentali dell’Unione Europea, è soggetto a un necessario bilanciamento. I dati personali possono essere al tempo stesso gli elementi su cui si definiscono l’immagine e l’identità dell’individuo, nonché beni economici oggetto di scambio.
Il patrimonio italiano costituito dalla nostra elaborazione normativa, giurisprudenziale e dottrinale, è ormai patrimonio giuridico europeo e in questa prospettiva va correttamente inquadrata la nuova fase della protezione dei dati personali. I principi fondamentali già consolidati sono confermati dal regolamento europeo: così informativa, consenso e altri presupposti di legittimità del trattamento.
Muta però la filosofia di fondo: si passa dall’approccio autorizzatorio a quello fondato sull’accountability. E questo comporta la modifica nella governance: la gestione dei dati personali diviene gestione del rischio, non più soltanto competenza del legale o dell’IP.
In Italia, con grande ritardo, è stata incaricata una commissione legislativa – che ha concluso i lavori in due mesi, il 19 marzo – di predisporre il testo di un decreto legislativo per adeguare la normativa italiana a quella europea.
Opera non strettamente necessaria, essendo il regolamento direttamente applicabile, ma utile per operare un coordinamento. La commissione ha verificato la compatibilità delle norme presenti nell’ordinamento italiano con quelle del regolamento europeo, che direttamente le sostituiscono.
Ha quindi proceduto con un’operazione non frequente: l’abrogazione espressa delle norme italiane sostituite. Si tratta di n’operazione culturale di grande rilevanza, volta a chiarire agli operatori e agli interpreti il quadro normativo di riferimento.
[...]
Continua sull’inserto privacy del Il Sole 24 Ore del 23 maggio 2018.
La Commissione Speciale per gli atti urgenti del Governo ha iniziato l’esame dello schema di decreto legislativo per l’adeguamento della legislazione nazionale al Regolamento (UE) 2016/679.
Si comunica che durante la 14ª seduta di giovedì 17 maggio 2018, la Commissione speciale per l’esame degli atti urgenti presentati dal Governo Schema di decreto legislativo recante disposizioni per l’adeguamento della normativa nazionale alle disposizioni del Regolamento (UE) 2016/679, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati).
Vi proponiamo qui l’articolo di Giusella Finocchiaro e Oreste Pollicino, pubblicato su il Sole 24 Ore il 12 maggio 2018.
È stato finalmente trasmesso alle Camere lo schema di decreto elaborato dalla Presidenza del consiglio sulla base della proposta ricevuta dalla Commissione incaricata di adeguare la normativa italiana a quella europea. Tempi molto lunghi, anche per la situazione politica che non ha inserito certamente una normativa apparentemente di tipo tecnico, come quella sul Gdpr, fra le priorità.
Cosa è cambiato nello schema? Il contenitore e le norme penali. Mentre il contenuto è fondamentalmente rimasto il medesimo, salvo alcuni aggiustamenti, in parte condivisibili.
Con riguardo alla tecnica normativa, è stato scelto di inserire le modifiche apportate dal decreto nel Codice per la protezione dei dati personali, le cui disposizioni sono però perlopiù abrogate e di cui molte altre sono modificate. Ne risulta un testo di inutile complessità, che non apporta alcuna tutela sostanziale in più per il diritto alla protezione dei dati personali. La semplificazione è abbandonata e la leggibilità certamente ne risente.
La nuova tecnica normativa sembra sia stata motivata dal timore del rischio di un eccesso di delega se si fosse confermato l’approccio della Commissione di abrogare il codice. Il problema dell’eccesso di delega sembra essere stato amplificato rispetto alla sua reale portata. A differenza di numerosi casi in cui la legge delega fornisce dei principi e criteri direttivi dettagliati andando ad individuare questioni specifiche, in questo caso, si è di fronte ad espressioni di maggior respiro finalizzate più ad un riordino, anzi, ad un adeguamento della disciplina esistente rispetto alla nuova legislazione europea piuttosto che ad interventi di chirurgia legislativa. C’era dunque l’esigenza di dare piena applicazione ad una fonte di diritto dell’Unione europea che la Corte costituzionale, già dagli anni Settanta, ha riconosciuto prevalente sul diritto interno. In questi casi la Consulta è assai prudente nella identificazione di possibili vizi di costituzionalità.
L’impressione è, in altre parole, che l’adeguamento a cui mirava la legge delega sarebbe potuto passare, senza troppi problemi di possibile conformità costituzionale dello schema di decreto e un risultato di maggiore chiarezza e leggibilità dello stesso, anche per la scelta dell’abrogazione fatta dalla Commissione.
Sono state ampiamente riviste le disposizioni penali presenti nel Codice per la protezione dei dati personali e sono stati creati due nuovi reati, concernenti la cessione di rilevanti quantità di dati e l’acquisizione fraudolenta di dati. La formulazione delle nuove fattispecie di reato va ora verificata con la massima attenzione. Il principio di tassatività in materia penale non è solo tutelato dalla nostra Costituzione, ma anche dalla Carta dei diritti fondamentali dell’Unione europea. Trattandosi di materia in cui gli Stati membri hanno un margine di discrezionalità, sono comunque rilevanti i vincoli provenienti dal diritto dell’Unione, poiché si sta dando attuazione ad un regolamento comunitario. Ancora, la versione dello schema di decreto inviato alle Camere non ha tenuto in considerazione, a differenza di quanto faceva il testo licenziato dalla Commissione, della giurisprudenza della stessa Corte in tema di raccolta e conservazione di dati personali per finalità di sicurezza e di prevenzione di gravi reati.
Il bilanciamento tra sicurezza e privacy che emerge dal testo finale non sembra perfettamente in linea con il principio di proporzionalità delle restrizioni alla tutela dei dati personali su cui ha sempre insistito la Corte di giustizia.
In sintesi, uno schema di decreto che crea un raccordo fra la normativa italiana e quella europea ed effettua una verifica di compatibilità che contribuisce a creare una maggiore certezza del diritto. Ma su alcune scelte si sarebbe potuto avere più coraggio.
In previsione dell’imminente entrata in vigore del GDPR, l’Università degli studi di Roma 3 organizza un convegno del titolo “verso l’entrata in vigore del Regolamento UE 2016/679 sulla protezione dei dati personali”.
L’appuntamento è per Mercoledì 16 Maggio 2018 dalle ore 16:30 alle 19:00 presso la Sala del Consiglio del Dipartimento di Giurisprudenza.
Introducono il convegno il Prof. Carlo Colapietro e il Prof. Giorgio Resta.
Intervengono:
Prof.ssa Licia Califano (Garante per la protezione dei dati personali – Università di Urbino);
Prof.ssa Giusella Finocchiaro (Università di Bologna – Presidente del Gruppo di lavoro Min. Giustizia);
Prof. Alberto Gambino (Università Europea – IAIC);
Prof. Arturo Maresca (Università di Roma Tre);
Prof. Roberto Pardolesi (Luiss);
Prof. Oreste Pollicino (Università Bocconi);
Avv. Guido Scorza;
Dott. Roberto D’Orazio (Camera dei Deputati – Ufficio Legislazione Straniera);
Dott.ssa Ginevra Bruzzone (Assonime);
Dott. Antonio Matonti (Confindustria).
Modera il Dott. Federico Fubini (Corriere della Sera).
L’imminente entrata in vigore del GDPR è al centro del convegno organizzato da Confindustria, che si terrà presso la sede di Roma, in data 11 maggio 2018.
Interverranno:
Marcella Panucci, Direttore Generale Confindustria
Bruno Gencarelli Capo unità “Protezione e flussi internazionali di dati” Direzione generale Giustizia e Consumatori della Commissione europea.
Giuseppe Busia, Segretario Generale Autorità Garante per la protezione dei dati personali
Giusella Finocchiaro, Ordinario di diritto privato e di diritto di internet Università di Bologna
Savino Figurati Responsabile Ufficio Legale Unione Industriale Torino
Modera i lavori:
Antonio Matonti, Direttore Affari Legislativi Confindustria.
Per informazioni ed iscrizioni si rimanda alla pagina del sito di Confindustria dedicata all’evento.
Vi proponiamo qui l’articolo di Giusella Finocchiaro, pubblicato su Agenda Digitale il 10 aprile 2018.
Il diritto alla protezione dei dati personali è stato disciplinato in Europa dalla cosiddetta “direttiva madre” in materia di trattamento dei dati personali, la dir. 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
Da questa direttiva, a cui si sono aggiunte poi molte altre disposizioni normative, storicamente proviene il Codice per la protezione dei dati personali italiano.
La direttiva, di oltre venti anni fa, recepiva un dibattito culturale e un pensiero dottrinale sviluppatosi nei decenni precedenti e delineava un modello statico di trattamento dei dati personali, ormai superato. Basti pensare quanto fosse diversa all’epoca la tecnologia disponibile: era, ad esempio, un mondo privo di smart phone e social network.
Il Regolamento europeo 679/2016 “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione dei dati e che abroga la direttiva 1995/46/CE”, preso atto del mutamento tecnologico e sociale, detta una nuova disciplina e dunque segna una significativa svolta in un percorso iniziato oltre venti anni fa. Abroga, infatti, la “direttiva-madre”, fin dal titolo.
La filosofia del Regolamento europeo è radicalmente differente. La direttiva è fondata su un approccio autorizzatorio, il Regolamento sul principio dell’accountability.
Il termine accountability significa, come è noto, responsabilità e, insieme, prova della responsabilità. Il titolare del trattamento deve essere in grado di dimostrare che ha adottato un processo complessivo di misure giuridiche, organizzative, tecniche, per la protezione dei dati personali, anche attraverso l’elaborazione di specifici modelli organizzativi.
L’adeguamento al GDPR
Il Regolamento europeo è direttamente applicabile dal 25 maggio 2018. Considerato lo strumento scelto dal legislatore europeo, regolamento e non direttiva, sotto il profilo strettamente tecnico-giuridico non sarebbe stato necessario un intervento del legislatore. Esso è stato, tuttavia, ritenuto utile in moltissimi Paesi europei, per raccordare al Regolamento la normativa nazionale. In Italia analoga scelta è stata operata l’anno scorso per raccordare il Regolamento E-Idas (910/2014) sull’identità digitale, le firme elettroniche e i trust service, con il Codice dell’amministrazione digitale.
Dunque, benché con grande ritardo, in Italia è stata nominata presso il Ministero della giustizia la Commissione incaricata di adeguare la normativa italiana in materia di dati personali al Regolamento Ue 679/2016.
La Commissione ha potuto incominciare i lavori solo in gennaio e ha dovuto concluderli a metà marzo. Mentre, in altri Paesi, analoghi lavori sono iniziati nel 2016. Della Commissione hanno fatto parte, oltre a chi scrive, autorevoli esperti della materia, quali Franco Pizzetti, Oreste Pollicino, Giorgio Resta, Alessandro Mantelero, Giovanni Guerra e, per gli aspetti penali, Vittorio Manes e Francesco Caprioli. Ha partecipato costantemente ai lavori il Garante per la protezione dei dati personali, rappresentato dal Segretario generale e da alcuni funzionari.
L’adeguamento della normativa italiana a quella europea serve a coordinare la legislazione nazionale vigente con il Regolamento e ad anticipare quella verifica di compatibilità altrimenti rimessa all’interprete, al Garante per la protezione dei dati personali e al giudice. Vedi a proposito l’attuale “schema di decreto Gdpr” (per adeguare il quadro normativo nazionale alle disposizioni del regolamento UE 2016/679 GDPR).
La tecnica normativa
Sotto il profilo della tecnica normativa, il Regolamento deve restare testo a sé stante e non può essere incorporato in un testo normativo nazionale. In questo senso, fra l’altro, sono le chiare indicazioni della Commissione europea.
Si sono dunque prese le mosse dal Regolamento europeo per verificare quali norme dell’ordinamento vigente italiano siano compatibili con esso.
Si è proceduto, muovendo dal Regolamento, ad esaminare quali disposizioni nazionali sono sostituite direttamente dalle disposizioni del Regolamento europeo. Ove la materia è disciplinata dal Regolamento, le disposizioni del Codice sono ovviamente sostituite da quelle del Regolamento, che prevalgono.
Nella mutata filosofia di fondo del GDPR si possono individuare, in sintesi, due tipologie di norme.
In primo luogo, le disposizioni del Regolamento che non modificano radicalmente i contenuti della direttiva o della legge italiana, ma innovano parzialmente oppure precisano. Alcuni contenuti sono simili, calati ovviamente in un contesto differente. In questi casi, non possono coesistere due insiemi di norme (quelle italiane e quelle europee) e ovviamente il Regolamento prevale. Quindi, ad esempio, i corpi di disposizioni su informativa, consenso, diritti dell’interessato, trasferimento dei dati all’estero sono completamente sostituiti dal Regolamento. In questo caso, non ci saranno grandi differenze sostanziali per gli operatori ma un riferimento chiaro ad una fonte diversa, quella del Regolamento, prevalente.
In secondo luogo, si possono individuare disposizioni del Regolamento completamente innovative sotto il profilo sostanziale. Ad esempio, nella materia della sicurezza ci sono radicali modificazioni introdotte dal GDPR e quindi ovviamente cambia la fonte e cambia completamente anche la disciplina sostanziale.
Ancora, le sanzioni amministrative introdotte dal Regolamento innovano completamente rispetto alle disposizioni del Codice e le sostituiscono. Non è ammessa l’introduzione di minimi, ancora una volta conformemente alle indicazioni della Commissione europea. I criteri per la determinazione delle sanzioni amministrative sono elencate dal Regolamento all’art. 83 (ad es.: natura , gravità e durata della violazione, carattere dolo o colposo, ecc.).
Conseguentemente, all’esito della verifica di compatibilità, la parte generale del Codice risultava quasi interamente sostituita. Si sarebbe potuta mantenere la parte speciale, modificando numerose disposizioni, sostituite dal Regolamento. Ad esempio, quelle in materia di sanità, dal momento che l’art. 9, comma 2, lett. h) del GDPR non prevede più il consenso come base giuridica del trattamento dei dati effettuato per finalità di diagnosi, assistenza o terapia sanitaria.
Se si fosse seguita questa strada, l’interprete avrebbe avuto tre testi normativi di riferimento: il Regolamento, il decreto di adeguamento, e ciò che restava del Codice, all’evidenza non più tale. Per ragioni di semplificazione e di chiarezza si è scelto di trasferire le disposizioni rimanenti del Codice nel decreto.
Ciò nel rispetto della delega che prevede l’abrogazione delle disposizioni del Codice privacy incompatibili con il Regolamento europeo, la modifica del Codice, nonché il coordinamento del quadro normativo, in osservanza del principio generale di semplificazione e riassetto normativi.
La continuità con il Codice Privacy
Per non creare incertezza fra gli operatori, si è scelto di mantenere la continuità, ove possibile. Dunque sono fatti salvi i provvedimenti del Garante (si pensi, per esempio a quello in materia di biometria) e le autorizzazioni, che saranno oggetto di successivo riesame.
Sono stati mantenuti anche i Codici deontologici vigenti (ad esempio, quello dei giornalisti) che resteranno fermi nei settori in cui il Regolamento lascia agli Stati competenza, mentre negli altri settori potranno essere avviate le procedure per i codici di settore.
Consultazioni pubbliche e semplificazioni
Il meccanismo delle consultazioni pubbliche e il coinvolgimento delle categorie interessate è stato rafforzato in molteplici casi. Ad esempio, per l’adozione delle regole deontologiche e per la riassunzione delle autorizzazioni generali. Ciò è necessario per raccogliere le istanze dello specifico settore, assicurare la conoscenza allo stato dell’arte e verificare l’efficacia delle soluzioni che si prospettano. Per le micro, piccole e medie imprese si è previsto che il Garante promuova modalità semplificate di adempimento degli obblighi del titolare del trattamento.
Sanzioni penali
Il Regolamento precisa che l’imposizione di sanzioni penali non deve essere in contrasto con il principio del ne bis in idem quale interpretato dalla Corte di Giustizia, che vieta, come ribadito recentemente, un sistema a doppia sanzione e a doppio processo. Dal momento che il Regolamento europeo prevede gravi sanzioni amministrative (fino a 20 milioni di euro o fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore), che gli Stati membri non possono modificare e per le quali non è consentito introdurre un minimo, si sono eliminate le corrispondenti norme penali.
Questa è la proposta elaborata dalla Commissione. Ma la scelta è ovviamente di tipo politico, anche per la forte emotività connessa al tema.
E-privacy
Non si poteva intervenire in materia di e-privacy in attesa dell’emanando Regolamento in materia che sostituirà la direttiva 2002/58. Dunque le disposizioni del Codice in materia di comunicazioni elettroniche non sono state modificate.
Conclusioni
Abrogare o non abrogare il Codice per la protezione dei dati personali non significa elevare o diminuire la tutela giuridica. Il diritto alla protezione dei dati personali, si è scritto all’inizio di questo pezzo, è patrimonio giuridico europeo.
Il Codice è comunque sostituito dal Regolamento europeo per la maggior parte dei suoi articoli. Mantenere ciò che resta è una questione di tecnica normativa. La scelta più razionale sembra quella di avere due testi normativi e non tre. Ed è la scelta che rende il coordinamento più semplice per tutti gli interpreti e gli operatori. Ma che resti un Codice in gran parte abrogato non comporta di per sé una maggiore protezione, né il contrario.
Il regolamento privacy (Regolamento 2016/679, GDPR) sarà a breve direttamente applicabile su tutto il territorio europeo. Ha inizio per imprese, pubbliche amministrazioni e privati cittadini il rush finale per adeguarsi alle disposizioni previste dalla nuova normativa. Allo scopo di facilitare la lettura di un testo complesso e articolato come il GDPR, si propongono una serie di semplici schede informative, attraverso la formula del Q&A, che, riprendendo concetti ormai noti nell’ambito privacy, offrono un sintetico orientamento alla nuova normativa.
In cosa consiste la valutazione d’impatto?
Con il nuovo Regolamento privacy il titolare del trattamento è chiamato a valutare il rischio a cui il proprio trattamento potrebbe esporre i dati trattati e, quindi, i diritti e le libertà fondamentali delle persone fisiche. La valutazione d’impatto consiste quindi in un “processo continuo” da riesaminare periodicamente e in occasione di eventuali mutamenti sostanziali, il cui risultato finale è rappresentato da una rassegna delle attività svolte per valutare il rischio derivante dal trattamento e dei mezzi, degli strumenti e delle misure adottate per contrastarlo.
Quando occorre effettuare tale valutazione?
La valutazione d’impatto andrebbe svolta dal titolare prima di procedere al trattamento, ossia in una fase in cui sia ancora possibile apportare modifiche e adottare misure tali da mitigare l’eventuale rischio emergente dalla valutazione. Tale adempimento rientra infatti nell’ambito dell’approccio di sicurezza proattiva adottato dal GDPR, consistente in una serie di strumenti a carattere preventivo e anticipatorio della tutela dei dati personali oggetto di trattamento.
Si tratta di un adempimento obbligatorio?
La valutazione d’impatto è obbligatoria solo in taluni casi, cioè quando il trattamento consista in: 1) una valutazione sistematica e globale di aspetti personali relativi a persone fisiche, basata su un trattamento automatizzato, compresa la profilazione, e sulla quale si fondano decisioni che hanno effetti giuridici o incidono in modo analogo significativamente su dette persone fisiche; 2) un trattamento, su larga scala, di categorie particolari di dati personali o di dati relativi a condanne penali e a reati; o 3) una sorveglianza sistematica su larga scala di una zona accessibile al pubblico (per il concetto di larga scala, si veda LINK Faq sul DPO). È poi previsto che l’Autorità Garante per la protezione dei dati personali rediga e pubblichi un elenco delle tipologie di trattamenti soggetti a tale adempimento.
Anche nei casi in cui non debba procedersi obbligatoriamente alla valutazione d’impatto, quest’ultima rappresenta una misura raccomandata, poiché consente al titolare di individuare le eventuali situazioni di rischio e di porvi rimedio prima di arrecare danni agli interessati ovvero di violare la normativa.
Chi deve procedere alla valutazione d’impatto?
Responsabile della conduzione della valutazione d’impatto è il titolare del trattamento che può decidere di condurre la valutazione all’interno della propria organizzazione ovvero affidarla all’esterno. In ogni caso, la responsabilità rimane in capo al titolare che dovrà quindi vigilare attentamente sulla conduzione della valutazione d’impatto.
Come evidenziato anche dal Regolamento, il titolare dovrebbe poi consultarsi fin dall’inizio con il Data Protection Officer e con i responsabili del trattamento. E? altresì previsto che, ove necessario, il titolare del trattamento (o il soggetto incaricato di effettuare la valutazione) raccolga le opinioni degli interessati o dei loro rappresentanti sul trattamento che si intende effettuare, documentando l’eventuale difformità di opinioni, nonché le motivazioni che hanno indotto ad agire diversamente da quanto emerso dalle consultazioni.
Come si effettua la valutazione d’impatto?
Una volta esaminata l’obbligatorietà o facoltatività della conduzione della valutazione, occorre procedere ad una ricognizione sistematica dei trattamenti che presentano un rischio elevato. Per ciascun trattamento (o categoria di trattamento) andranno quindi raccolte informazioni circa: a) la natura, la finalità e il contesto del trattamento; b) le categorie di dati (personali e sensibili) oggetto di trattamento, i soggetti interessati a cui si riferiscono e il periodo di conservazione dei dati; c) una descrizione funzionale delle operazioni di trattamento e, in particolare, dei flussi informativi (ipotesi di comunicazione, diffusione, cessione, trasferimento dei dati con l’indicazione specifica dei soggetti destinatari dei dati interni o esterni all’organizzazione del titolare del trattamento); d) le modalità (cartacee e automatizzate) e gli strumenti con cui viene effettuato il trattamento; e) i soggetti che potranno accedere ai dati unitamente alle finalità o alle motivazioni sottese all’accesso.
Successivamente, occorrerà valutare se il trattamento sia necessario e proporzionale in relazione alle finalità e alle misure di sicurezza adottate: per ciascun trattamento andranno quindi verificate le misure previste per affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezione dei dati personali.
Grazie alla documentazione e alle informazioni così raccolte, sarà possibile procedere all’identificazione dei rischi a cui sono esposti i dati, analizzandone il ciclo di vita e prendendo in considerazione il loro impiego, le finalità per cui sono utilizzati, le tecnologie impiegate e i soggetti autorizzati a trattarli.
Una volta identificati i rischi, occorrerà infine provvedere alla gestione dei medesimi. In questa fase sarà dunque necessario scegliere (ove vi sia margine di valutazione) se un determinato rischio vada eliminato, mitigato oppure accettato.
Dove conservo la valutazione d’impatto?
I risultati e le osservazioni emersi in sede di valutazione d’impatto devono confluire in un report finale, in cui le informazioni precedentemente raccolte e analizzate vengono presentate in maniera sistematica e funzionale unitamente alle misure e ai rimedi elaborati e da implementare per contrastare i rischi emersi. Il report dovrà altresì recare l’indicazione specifica dell’organizzazione o del progetto per cui la valutazione d’impatto è stata condotta, nonché i soggetti o il team che ha svolto la valutazione d’impatto unitamente ai dati di contatto di un referente.
Pillola: gli adempimenti successivi alla valutazione d’impatto
Sebbene non sia obbligatoria a norma del Regolamento, il Gruppo di lavoro Art. 29, nelle sue Guidelines on DPIA adottate il 4 aprile 2017 e revisionate il 4 ottobre 2017, raccomanda la pubblicazione del report (o di parte di esso) per ragioni di trasparenza e per dimostrare la conformità al Regolamento. Ciò è suggerito in particolare per le organizzazioni il cui trattamento di dati riguarda la generalità dei consociati (ad esempio, le autorità pubbliche), ma rappresenta ad ogni modo una buona prassi per tutte le organizzazioni.
Ove sulla base della valutazione d’impatto il titolare del trattamento sia riuscito a porre rimedio in modo soddisfacente ai rischi emersi, la procedura può dirsi conclusa. In caso contrario, cioè qualora la situazione di rischio non sia stata mitigata e il trattamento riveli pertanto un rischio ancora elevato per i diritti e le libertà fondamentali dei soggetti interessati, occorrerà rivolgersi all’Autorità Garante italiana per la protezione dei dati personali, al fine di avviare la c.d. consultazione preventiva ai sensi dell’art. 36 del Regolamento.
Il regolamento privacy (Regolamento 2016/679, GDPR) sarà a breve direttamente applicabile su tutto il territorio europeo. Ha inizio per imprese, pubbliche amministrazioni e privati cittadini il rush finale per adeguarsi alle disposizioni previste dalla nuova normativa. Allo scopo di facilitare la lettura di un testo complesso e articolato come il GDPR, si propongono una serie di semplici schede informative, attraverso la formula del Q&A, che, riprendendo concetti ormai noti nell’ambito privacy, offrono un sintetico orientamento alla nuova normativa.
Cosa è il registro delle attività di trattamento?
Si tratta di un nuovo adempimento introdotto dal GDPR e consistente nell’elenco di tutte le attività di trattamento svolte sotto la responsabilità del titolare e del responsabile del trattamento.
Chi è obbligato alla tenuta di tale registro?
Il titolare e il responsabile sono tenuti obbligatoriamente a redigere e a conservare in modo autonomo il proprio registro. Il registro del titolare e quello del responsabile devono pertanto essere due documenti distinti, aventi ciascuno un preciso contenuto minimo.
La compilazione del registro potrà eventualmente essere delegata al Data Protection Officer, senza che ciò comporti uno spostamento della responsabilità relativa all’osservanza di tale obbligo che rimane comunque in capo al titolare e al responsabile.
Nella redazione del registro, il titolare e il responsabile potranno poi chiedere l’ausilio dei responsabili dipartimentali della propria organizzazione: si presume infatti che questi ultimi abbiano una maggiore familiarità e conoscenza dei trattamenti svolti all’interno del reparto a cui fanno capo, potendo fornire informazioni più precise e corrette in ordine ai trattamenti.
Il GDPR prevede eccezioni a tale obbligo?
Il nuovo Regolamento prevede che l’obbligo di tenuta del registro delle attività di trattamento non si applichi a imprese o organizzazioni con meno di 250 dipendenti. Tuttavia, affinché tale esonero sia valido, è necessario altresì che il trattamento non presenti un rischio per i diritti e le libertà dell’interessato, il trattamento sia occasionale o non includa il trattamento di categorie particolari di dati o di dati personali relativi a condanne penali e a reati.
Quali informazioni devono essere indicate nel registro?
Il contenuto minimo delle informazioni da inserire nel registro muta a seconda che il documento inerisca le attività di trattamento del titolare ovvero del responsabile.
Nel primo caso, il titolare dovrà indicare: a) il nome e i dati di contatto del titolare e, ove applicabile, del contitolare, del rappresentante del titolare del trattamento e del D.P.O; b) le finalità del trattamento; c) una descrizione delle categorie di interessati e delle categorie di dati personali; d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati; e) ove applicabile, il Paese terzo o l’organizzazione internazionale verso cui i dati vengono trasferiti, indicando anche la relativa base di legittimità (decisione di adeguatezza o garanzie adeguate); f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati; g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative adottate.
Nel secondo caso, il responsabile è tenuto invece a indicare solo: a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del D.P.O; b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento; c) ove applicabile, il Paese terzo o l’organizzazione internazionale verso cui i dati vengono trasferiti, indicando anche la relativa base di legittimità; d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative adottate.
È possibile elaborare e conservare il registro in forma elettronica?
Il GDPR prescrive la forma scritta del registro, ammettendo tuttavia l’equivalenza del formato elettronico. Sarà dunque possibile elaborare e conservare il registro anche direttamente su periferiche informatiche, ad esempio attraverso la creazione di file Excel.
Esistono ulteriori adempimenti connessi al registro?
La mera redazione del registro non è sufficiente per potersi dire completamente conformi al GDPR. Occorre infatti provvedere periodicamente alla sua revisione ed aggiornamento, in particolare inserendo eventuali nuove attività di trattamento o eliminando quelle cessate.
Inoltre, il titolare e il responsabile del trattamento (e, ove applicabile, il loro rappresentante) hanno l’obbligo di esibire il registro ogniqualvolta l’Autorità Garante per la protezione dei dati personali lo richieda.
Vi proponiamo qui l’articolo di Giusella Finocchiaro sullo schema di decreto che armonizza l’integrazione del Regolamento dell’Unione Europea sulla privacy, pubblicato su il Sole 24 Ore in data 1 aprile 2018.
Il GDPR, cioè il Regolamento UE 2016/679 relativo alla protezione dei dati personali nonché alla libera circolazione dei dati, è direttamente applicabile dal 25 maggio.
L’Italia ha ritenuto, con un notevole ritardo, che fosse opportuno adeguare il quadro normativo. Altri Paesi europei hanno intrapreso il lavoro di adeguamento già nel 2016, noi nel gennaio di quest’anno. Il 21 marzo il Consiglio dei Ministri ha approvato uno schema di decreto.
Il GDPR, emanato oltre 20 anni dopo la “direttiva-madre” 95/46, che viene abrogata, rivoluziona l’approccio alla protezione dei dati personali. Si passa da un regime autorizzatorio ad uno di accountability, cioè di responsabilizzazione. L’interesse alla libera circolazione dei dati personali è ora uno dei riferimenti necessari nel bilanciamento che l’applicazione del diritto alla protezione dei dati personali impone. Sulla base giuridica del legittimo interesse del titolare, valutata la specifica finalità, potranno essere trattati, ad esempio, i dati provenienti da pubblici registri, comunicati i dati infragruppo, trattati i dati dei rappresentanti delle persone giuridiche. Ancora, il consenso al trattamento dei dati sanitari per finalità di diagnosi, assistenza o terapia sanitaria non sarà più richiesto.
Il nuovo approccio normativo della UE a venti anni dalla direttiva, si fonda sulla constatazione del mutamento dello scenario tecnologico e sociale (basti pensare ai social network che neppure esistevano).
Ciò premesso, veniamo al metodo e alle scelte principali adottate nello schema di decreto. Visto che il Regolamento europeo non può essere inserito in un testo normativo italiano, si sono integrate le sue disposizioni, ove necessario, nello schema di decreto, seguendo l’ordine del Regolamento. La delega prevedeva l’abrogazione delle disposizioni del Codice privacy incompatibili con il Regolamento, la modifica del Codice e il coordinamento del quadro normativo, in osservanza del principio generale di semplificazione e riassetto normativi.
Dunque, muovendo dal Regolamento, fonte sovraordinata, si sono eliminate le disposizioni del Codice italiano, figlio della direttiva abrogata, non compatibili. Pressoché l’intera parte generale del Codice è risultata abrogata.
Di conseguenza, si è posta la scelta se mantenere un terzo testo normativo (oltre al Regolamento e al decreto) costituito da ciò che restava del Codice, all’evidenza non più tale, o se trasferire le disposizioni del Codice nel decreto, lasciando agli operatori non tre, ma due testi normativi. Questa seconda scelta è parsa la più razionale nell’ottica di riordinamento e di semplificazione.
Si è scelto, inoltre, di mantenere la continuità facendo salvi per un periodo transitorio i provvedimenti del Garante (si pensi, per esempio a quello in materia di biometria) e le autorizzazioni, che saranno oggetto di successivo riesame. Sono stati mantenuti anche i Codici deontologici vigenti (ad esempio, quello dei giornalisti).
Si sono rafforzati il meccanismo delle consultazioni pubbliche e il coinvolgimento delle categorie interessate in molteplici casi. Per le micro, piccole e medie imprese si è previsto che il Garante promuova modalità semplificate di adempimento degli obblighi del titolare del trattamento.
Il Regolamento precisa che l’imposizione di sanzioni penali non deve essere in contrasto con il principio del ne bis in idem quale interpretato dalla Corte di Giustizia Ue, che vieta, come ribadito recentemente, un sistema a doppia sanzione e a doppio processo.Siccome il Regolamento prevede gravi sanzioni amministrative (fino a 20 milioni di euro o fino al 4% del fatturato mondiale annuo dell’esercizio precedente, se superiore), che gli stati membri non possono modificare e per le quali non è consentito introdurre un minimo, si sono eliminate le corrispondenti norme penali.
In attesa dell’emanando Regolamento europeo in materia di e-Privacy, il decreto non modifica le disposizioni concernenti le comunicazioni elettroniche.
Considerato il nuovo approccio europeo alla protezione dei dati personali, lo schema di decreto cerca di semplificare e deburocratizzare, nonché di ridurre i costi dell’incertezza giuridica.
-
Dal 2001 specializzato in diritto di Internet e dell'Informatica
-
Tutti i contenuti di questo blog sono sottoposti ad una licenza Creative Commons
