NOR18114 – Oggetto: Nuovo Regolamento europeo in materia di privacy. Entrata in vigore dal 25 Maggio p.v.

Roma, 4 Maggio 2018

NOR18114
SM

Oggetto: Nuovo Regolamento europeo in materia di privacy. Entrata in vigore dal 25 Maggio p.v.

A partire dal 25 Maggio p.v, scatterà l’applicazione del nuovo Regolamento europeo in materia di privacy (Regolamento 2016/679), “relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati”, che da tale data abroga la precedente normativa comunitaria in tema (direttiva 95/46/CE).

Come chiarito di recente dal Garante per la privacy, a partire dalla citata data, il Regolamento sarà immediatamente applicabile anche laddove il d.lgs di coordinamento con l’attuale Codice della privacy italiano, non fosse adottato in tempo utile.

Sempre il Garante per la privacy, all’interno del proprio sito internet, ha creato una sezione dedicata all’argomento da cui è possibile prelevare una “Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali” (alla cui attenta lettura si fa rinvio in considerazione dell’estrema complessità della materia), e il testo del Regolamento 679. Tale  sezione è raggiungibile dal seguente link:

http://www.garanteprivacy.it/web/guest/regolamentoue/guida-all-applicazione-del-regolamento-europeo-in-materia-di-protezione-dei-dati-personali

Di seguito, evidenziamo alcuni dei molteplici aspetti legati alla nuova disciplina:

• Campo di applicazione. La normativa interessa il trattamento dei dati personali (automatizzato o meno) delle persone fisiche, mentre non riguarda il trattamento dei dati delle persone giuridiche (in particolare, delle imprese dotate di personalità giuridica), inclusi nome,  forma e  informazioni di contatto (vedi considerando 14 del Regolamento);
• Liceità del trattamento dei dati personali. Ai fini della liceità del trattamento dei dati personali, è necessario che venga integrata almeno una delle condizioni stabilite dall’art. 6 del Regolamento, tra le quali (alla lettera a) compare il consenso rilasciato dall’interessato per una o più specifiche finalità. A questo proposito, il consenso non deve necessariamente fornirsi per iscritto anche se, per il trattamento dei dati cd sensibili (definiti all’art. 9, come quelli che rivelino informazioni particolari del diretto interessato, come l’appartenenza a sindacati, le convinzioni religiose, l’origine razziale o etnica, ecc..), la normativa (in particolare l’art. 9.2 lett.a) richiede che debba essere “esplicito”. In tutti i casi, è necessario che il consenso sia libero, specifico, informato e inequivocabile, non essendo ammessa una manifestazione tacita o presunta (es caselle pre-spuntate su un modulo – per approfondimenti, si vedano i considerando 39 e 42 del Regolamento). 
  Per il consenso prestato prima del 25 Maggio p.v, il Garante ritiene che sia valido purché abbia tutte le caratteristiche sopra individuate, altrimenti dovrà essere nuovamente raccolto con modalità conformi al Regolamento.
  In merito all’informativa sul trattamento dei dati da fornire al diretto interessato, l’art. 12 prescrive che debba essere “concisa, trasparente, intellegibile e facilmente accessibile, con un linguaggio semplice e chiaro”; i contenuti devono rispettare le prescrizioni dettate dagli artt. 13.1 (per i dati personali raccolti presso l’interessato) e 14.1 (per i dati ottenuti da terzi, in cui l’informativa va fatta entro un mese dalla raccolta).
• Diritti degli interessati. Le modalità di esercizio dei diritti da parte degli interessati sono stabilite, in via generale, negli artt. 11 e 12 del regolamento. Per tutti questi (compreso il diritto di accesso), il termine per rispondere alla richiesta è 1 mese, estendibile fino a 3 mesi in casi di particolare complessità; il titolare deve comunque fornire un riscontro entro 1 mese dalla richiesta, anche in caso di diniego. L’elencazione dei diritti è riportata agli articoli dal 15 al 22, e si tratta di quelli all’accesso, all’oblio, limitazione del trattamento e portabilità dei dati
• Figure e formalità legate al trattamento dei dati personali. Il Regolamento disciplina le figure del titolare e del responsabile del trattamento; quest’ultimo soggetto viene designato dal titolare mediante un contratto che deve rispettare le indicazioni previste dall’art. 28.3. Tra i compiti assegnati al responsabile, compaiono:
  • la tenuta del registro delle attività di trattamento (art.30) che peraltro, per espressa previsione del comma 5 del suddetto articolo, non si applica “alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa rappresentare un rischio per i diritti e le libertà dell’interessato, il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati (i cd dati sensibili di cui all’art.9.1, e quelli relativi a condanne penali e reati di cui all’art.10). Il registro contiene un quadro aggiornato dei trattamenti in essere all’interno dell’azienda, “indispensabile per ogni valutazione e analisi del rischio”. Il registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante.
  • L’adozione delle misure tecniche e organizzative necessarie a garantire un livello di sicurezza adeguato al rischio (art.32);
  • la designazione del responsabile della protezione dei dati – D.P.O (art.37), necessaria quando l’attività principale dell’impresa consista in trattamenti che richiedano il monitoraggio regolare e sistematico degli interessati su larga scala, ovvero in trattamenti, sempre su larga scala, di dati sensibili o giudiziari. Le FAQ pubblicate in tema dal Garante per la privacy (disponibili al link seguente:
    http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8036793) hanno specificato che in mancanza di trattamenti con queste caratteristiche, la designazione in esame non è obbligatoria; ad esempio, ciò si verifica nelle imprese individuali o familiari e per le piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti. L’incarico può essere affidato anche a soggetti esterni, che garantiscano l’effettivo assolvimento dei compiti assegnati a questa figura dal Regolamento.
• Sanzioni. L’art. 83, par. 3 e 4 del Regolamento, prevede sanzioni di rilievo per i trasgressori delle nuove disposizioni. Infatti, l’art. 83.4 del Regolamento stabilisce sanzioni amministrative pecuniarie fino a 10 mln € o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente (se superiore), per le violazioni in materia  di obblighi: del titolare/responsabile del trattamento; dell’organismo di certificazione;  dell’organismo di controllo. L’importo sale a 20 mln € o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell’esercizio precedente (se superiore), per una serie di violazioni tra cui quelle dei principi base del trattamento (comprese le condizioni del consenso), dei diritti degli interessati, dei trasferimenti di dati personali a un destinatario di un Paese terzo o a un’organizzazione internazionale, ecc…

Ci riserviamo di ritornare sull’argomento in presenza di provvedimenti ulteriori, emessi in vista dell’entrata in vigore delle nuove regole.

Cordiali saluti.