Legge Sulla Privacy 2018 Cosa Fare?

3) Cosa bisogna fare

assicurare nuovi diritti degli interessati (come il diritto alla portabilità del dato);
implementare meccanismi di privacy by design e by default;
nominare un Responsabile della protezione dei dati (RPD), ove obbligatorio;
qualora ci sia una violazione dei dati, effettuare (se necessario) una valutazione del danno;

Meer items

Come si fa una denuncia al Garante della Privacy?

Ultimo aggiornamento: 27 luglio 2021 VEDI ANCHE SOCIAL MEDIA POLICY INFORMAZIONI SUL TRATTAMENTO DEI DATI PERSONALI degli utenti che consultano i siti web del Garante per la protezione dei dati personali ai sensi dell’articolo 13 del Regolamento (UE) 2016/679 PERCHÉ QUESTE INFORMAZIONI Ai sensi del Regolamento (UE) 2016/679 (di seguito “Regolamento”), questa pagina descrive le modalità di trattamento dei dati personali degli utenti che consultano i siti web del Garante per la protezione dei dati personali (di seguito “Garante”) accessibili per via telematica ai seguenti indirizzi:

www.garanteprivacy.it garanteprivacy.it www.gpdp.it gpdp.it www.dataprotection.org dataprotection.org servizi.gpdp.it

Le presenti informazioni non riguardano altri siti, pagine o servizi online raggiungibili tramite link ipertestuali eventualmente pubblicati nei siti ma riferiti a risorse esterne al dominio del Garante. TITOLARE DEL TRATTAMENTO A seguito della consultazione dei siti sopra elencati possono essere trattati dati relativi a persone fisiche identificate o identificabili.

Titolare del trattamento è il Garante per la protezione dei dati personali, con sede in Piazza Venezia 11, IT-00187, Roma (Email: [email protected], PEC * : [email protected], centralino +39 06.696771).
RESPONSABILE DELLA PROTEZIONE DEI DATI Il Responsabile della Protezione dei Dati (RPD) è raggiungibile al seguente indirizzo: Garante per la protezione dei personali – Responsabile della Protezione dei dati personali, Piazza Venezia 11, IT-00187, Roma, email: [email protected]

BASE GIURIDICA DEL TRATTAMENTO I dati personali indicati in questa pagina sono trattati dal Garante nell’esecuzione dei propri compiti di interesse pubblico o comunque connessi all’esercizio dei propri pubblici poteri, ivi incluso il compito di promuovere la consapevolezza e favorire la comprensione del pubblico riguardo ai rischi, alle norme, alle garanzie e ai diritti in relazione al trattamento e, altresì, di promuovere la consapevolezza dei titolari del trattamento e dei responsabili del trattamento riguardo agli obblighi imposti loro dal Regolamento (art.57, par.1, lett.

B) e d), del Regolamento). TIPI DI DATI TRATTATI E FINALITÀ DEL TRATTAMENTO Dati di navigazione I sistemi informatici e le procedure software preposte al funzionamento di questo sito acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell’uso dei protocolli di comunicazione di Internet.

In questa categoria di dati rientrano gli indirizzi IP o i nomi a dominio dei computer e dei terminali utilizzati dagli utenti, gli indirizzi in notazione URI/URL (Uniform Resource Identifier/Locator) delle risorse richieste, l’orario della richiesta, il metodo utilizzato nel sottoporre la richiesta al server, la dimensione del file ottenuto in risposta, il codice numerico indicante lo stato della risposta data dal server (buon fine, errore, ecc.) ed altri parametri relativi al sistema operativo e all’ambiente informatico dell’utente.

Tali dati, necessari per la fruizione dei servizi web, vengono anche trattati allo scopo di: – ottenere informazioni statistiche sull’uso dei servizi (pagine più visitate, numero di visitatori per fascia oraria o giornaliera, aree geografiche di provenienza, ecc.); – controllare il corretto funzionamento dei servizi offerti.

I dati di navigazione non persistono per più di sette giorni (salve eventuali necessità di accertamento di reati da parte dell’Autorità giudiziaria). Dati comunicati dall’utente L’invio facoltativo, esplicito e volontario di messaggi agli indirizzi di contatto del Garante, i messaggi privati inviati dagli utenti ai profili/pagine istituzionali sui social media (laddove questa possibilità sia prevista), nonché la compilazione e l’inoltro dei moduli presenti sui siti dell’Autorità, comportano l’acquisizione dei dati di contatto del mittente, necessari a rispondere, nonché di tutti i dati personali inclusi nelle comunicazioni.

Specifiche informative verranno pubblicate nelle pagine dei siti del Garante predisposte per l’erogazione di determinati servizi.
Cookie e altri sistemi di tracciamento Non viene fatto uso di cookie per la profilazione degli utenti.
L’unico trattamento effettuato riguarda la produzione di statistiche, con dati pseudonimizzati, sulla navigazione nei siti www.garanteprivacy.it, garanteprivacy.it, www.gpdp.it, gpdp.it, www.dataprotection.org, dataprotection.org.

La configurazione adottata, in modo da escludere trattamenti di dati identificativi, raccoglie le seguenti informazioni: • L’indirizzo IP, che viene mascherato azzerando gli ultimi 2 byte (xxx.xxx.0.0) • Il sistema operativo utilizzato • Il tipo di browser • Il tipo di dispositivo (PC, smartphone, etc.) Viene fatto uso di cookie tecnici di sessione (non persistenti), in modo strettamente limitato a quanto necessario per la navigazione sicura ed efficiente dei siti.

Informazioni circa il trattamento dei dati personali effettuate attraverso le piattaforme di Social Media utilizzate dal Garante Circa i trattamenti di dati personali effettuati dai gestori delle piattaforme di Social Media utilizzate dal Garante si rimanda alle informazioni da questi rese attraverso le rispettive privacy policy.

Il Garante tratta i dati personali conferiti dall’utenza attraverso le pagine delle piattaforme di Social Media dedicate a questa Autorità, nell’ambito delle sue finalità istituzionali, esclusivamente per gestire le interazioni con l’utenza (commenti, post pubblici, etc.) e nel rispetto della normativa vigente.

DESTINATARI DEI DATI Sono destinatari dei dati raccolti a seguito della consultazione di alcuni dei servizi sopra elencati i seguenti soggetti designati dal Garante, ai sensi dell’articolo 28 del Regolamento, quali responsabili del trattamento. Almaviva – The Italian Innovation Company S.p.A., quale fornitore dei servizi di sviluppo, erogazione e gestione operativa delle piattaforme tecnologiche dei siti accessibili per via telematica ai seguenti indirizzi: www.garanteprivacy.it, garanteprivacy.it; www.gpdp.it; gpdp.it; www.dataprotection.org; dataprotection.org; servizi.gpdp.it; Manafactory s.r.l., relativamente alla gestione dell’account social del Garante su Twitter.

I dati personali raccolti sono altresì trattati dal personale del Garante, che agisce sulla base di specifiche istruzioni fornite in ordine a finalità e modalità del trattamento medesimo. DIRITTI DEGLI INTERESSATI Gli interessati hanno il diritto di ottenere dal Garante, nei casi previsti, l’accesso ai propri dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento che li riguarda o di opporsi al trattamento (artt.15 e ss.

Del Regolamento).
L’apposita istanza all’Autorità è presentata contattando il Responsabile della protezione dei dati presso il Garante (Garante per la protezione dei personali – Responsabile della Protezione dei dati personali, Piazza Venezia, 11, IT-00187, Roma, email: [email protected]).
DIRITTO DI RECLAMO Gli interessati che ritengono che il trattamento dei dati personali a loro riferiti effettuato attraverso questo sito avvenga in violazione di quanto previsto dal Regolamento hanno il diritto di proporre reclamo al Garante, come previsto dall’art.77 del Regolamento stesso, o di adire le opportune sedi giudiziarie (art.79 del Regolamento).

* (questo indirizzo è configurato per ricevere SOLO comunicazioni provenienti da posta elettronica certificata)

Quanto tempo ho per denunciare violazione privacy?

Senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.

Quali sono i poteri dell’autorità di controllo?

GDPR E AUTORITÀ DI CONTROLLO: POTERI DI INDAGINE, CORRETTIVI, AUTORIZZATIVI E CONSULTIVI – Legge Sulla Privacy 2018 Cosa Fare I poteri attribuiti alle Autorità di Controllo dall’ articolo 58 del GDPR si strutturano in modo graduale secondo un percorso che prevede una crescente autorevolezza ad ogni passaggio. In una prima fase all’autorità sono riconosciuti poteri di indagine, ovvero il potere di imporre ad aziende e organizzazioni pubbliche di fornire ogni informazione di cui abbia bisogno relativamente al trattamento dei dati personali, l’accesso ai dati personali gestiti così come ai locali del titolare del trattamento e del responsabile del trattamento, compresi gli strumenti e i mezzi utilizzati per trattare i dati.

Ai poteri di indagine si ricollega anche quello di notificare presunte violazioni del Regolamento al titolare o al responsabile del trattamento. I poteri correttivi prevedono attività che spaziano dal semplice avvertimento sulla possibilità che determinate attività di trattamento possano violare il Regolamento, a interventi che incidono direttamente sull’operatività connessa al trattamento dei dati,

Così figura tra i poteri correttivi la possibilità di:

rivolgere ammonimenti al titolare/responsabile del trattamento o ingiungere agli stessi di conformare i trattamenti dei dati alle disposizioni del regolamento, in caso di violazione delle disposizioni del GDPR; ingiungere che siano soddisfatte le richieste di un soggetto interessato dal trattamento dei dati; imporre limitazioni, provvisorie o definitive, al trattamento o anche il divieto completo di trattamento dei dati, eventualmente circoscritto ai dati per i quali si è verificata la violazione.

In quest’ambito l’Autorità ha anche il potere di ordinare la rettifica o la cancellazione, la limitazione o il divieto del trattamento, relativamente a una sfera più ampia di dati. Vanno inoltre aggiunti ai poteri correttivi quelli sanzionatori di cui dicevamo sopra, ovvero il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’ art.83 del GDPR,

Sanzioni e interventi correttivi danno un grande potere all’Autorità di Controllo nei confronti dei titolari e responsabili del trattamento, e quindi delle organizzazioni che vi fanno capo.
L’area dei poteri autorizzativi e consultivi, infine, riguarda funzioni che spaziano dalla consulenza al titolare del trattamento alla definizione di poteri e limiti in merito alle autorizzazioni cui è subordinata l’intera attività di trattamento dei dati: pareri su progetti di codici di condotta e approvazione degli stessi, approvazione dei criteri di certificazione e rilascio delle certificazioni stesse.

Una serie di attività miranti a costruire l’assetto organizzativo entro il quale dovrà poi esercitarsi l’attività del titolare e del responsabile, finalizzata al corretto trattamento dei dati.9 maggio 2018

A quale Autorità ci si può rivolgere e in che modo nel caso di violazione dei propri dati personali?

Tutela civile – In alternativa al reclamo al Garante, l’interessato può rivolgersi al giudice civile, e in particolare al tribunale del luogo dove il titolare del trattamento ha uno stabilimento oppure dove risiede l’interessato (art.79 GDPR). Può anche impugnare tramite opposizione al tribunale il provvedimento che conclude il procedimento di reclamo amministrativo dinanzi all’autorità di controllo nazionale.

L’impugnazione va fatta entro i 30 giorni dalla data di comunicazione del provvedimento. Solo il tribunale può condannare il titolare del trattamento illecito al risarcimento dei danni occorsi all’interessato. L’articolo 82 del regolamento europeo prevede l’obbligo, da parte del titolare, di risarcire i danni causati nel corso di un trattamento di dati personali,

L’art.13 del Codice Privacy prevede espressamente che chiunque cagiona un danno ad altri, per effetto del trattamento di dati personali, è tenuto al risarcimento del danno ai sensi dell’art.2050 del codice civile ( responsabilità per l’esercizio di attività pericolose),

Il richiamo di tale articolo evidenzia che l’ interessato che ha subito un danno potrà limitarsi a dimostrare l’esistenza del danno e che esso è conseguenza del trattamento illecito, mentre spetta al titolare del trattamento, casomai in solido col responsabile, dimostrare di aver adottato tutte le misure idonee per evitare il danno.

Ovviamente, il danno non può identificarsi nell’evento dannoso (cioé l’illecito trattamento dei dati) ma é necessario che si concreti un un pregiudizio della sfera di interessi del danneggiato. Sostanzialmente si ha l’inversione dell’onere della prova, per cui il danneggiato (eventualmente ricorrendo a presunzioni e fatti notori) si limita a provare: – il trattamento illecito; – la gravità del pregiudizio subito (ai soli fini dell’accertamento del quantum ); – il nesso causale tra trattamento e evento dannoso.

In realtà col GDPR si rafforza la posizione dell’interessato, il quale si può limitare a provare la mera violazione dei principi e delle regole di condotta del GDPR.
Il titolare del trattamento, quindi, in base al principio di responsabilizzazione, risponde del rischio tipico di impresa,
Per non incorrere in responsabilità deve dimostrare (art.82.3 GDPR) che l’evento dannoso non gli è in alcun modo imputabile.

Quindi non può limitarsi alla prova negativa di non aver violato le norme (e quindi di essersi conformato ai precetti ), ma occorre la prova positiva di aver valutato autonomamente il rischio di impresa, purché tipico, cioè prevedibile, e attuato le misure organizzative e di sicurezza tali da eliminare o ridurre il rischio connesso alla sua attività.

Cosa si intende per comunicazione e diffusione illecita di dati personali?

Comunicazione e diffusione illecita di dati personali L’articolo 167-bis punisce la comunicazione e la diffusione di dati personali oggetto di trattamento su larga scala, al fine di trarre profitto per sé o altri ovvero al fine di arrecare danno.

Come viene tutelato il diritto alla privacy?

Questa voce è stata curata da Andrea Stanchi La Privacy è uno dei diritti fondamentali dell’uomo nell’età dell’informazione. E’ protetta dalla Dichiarazione Universale dei diritti dell’Uomo, dal International Covenant on Civil and Political Rights, dalla Convenzione Europea per la Protezione dei Diritti dell’Uomo e delle Libertà fondamentali e trova specifico riconoscimento nel Codice della Privacy (D.lgs.196/2003).

D.Lgs.30 giugno 2003, n.196 – Codice in materia di protezione dei dati personali
Garante per la protezione dei dati personali, Provvedimento 30 giugno 2005 – Trattamento dei dati sensibili nella pubblica amministrazione
Garante per la protezione dei dati personali, Provvedimento 23 novembre 2006 – Linee-guida per il trattamento di dati dei dipendenti privati
Garante per la protezione dei dati personali, Interpello 28 novembre 2006 n.6585 – Controllo a distanza dell’attività dei lavoratori attraverso sistema informatico
Garante per la protezione dei dati personali, Deliberazione 1° marzo 2007 – Lavoro: le linee guida del Garante per posta elettronica e internet
INPS, Circolare n.50 del 6 marzo 2007 – Misure finalizzate a dare attuazione alle disposizioni del Codice in materia di protezione dei dati personali
Garante per la protezione dei dati personali, Provvedimento 14 giugno 2007 – Linee guida in materia di trattamento di dati personali di lavoratori per finalità di gestione del rapporto di lavoro in ambito pubblico
INPS, Circolare n.87 del 12 settembre 2008 – Trattamento dei dati sanitari nella gestione della certificazione di malattia
Garante per la protezione dei dati personali, Interpello 3 ottobre 2008 n.41 – Dati da riportare sul tesserino di riconoscimento per il personale occupato nei cantieri edili e rispetto del Codice in materia di protezione dei dati personali
Garante per la protezione dei dati personali, Newsletter 2 marzo 2009 n.320 – No alle impronte digitali per le presenze dei lavoratori
Presidenza Consiglio dei Ministri, Dipartimento Funzione Pubblica – Direttiva 26 maggio 2009 n.2 – Utilizzo di internet e della casella di posta elettronica istituzionale sul luogo di lavoro
Garante per la protezione dei dati personali, Newsletter 22 settembre 2009 n.328 – Le aziende non possono “spiare” la navigazione su Internet dei dipendenti
Garante per la protezione dei dati personali, Provvedimento in materia di videosorveglianza – 8 aprile 2010

In Europa il fondamento normativo è dato dall’articolo 8 della Convenzione per la Protezione dei Diritti dell’Uomo e delle Libertà Fondamentali, sottoscritta a Roma il 4 novembre 1950 e ratificata poi dall’Italia con la legge 4 agosto 1955, n.848. Il citato articolo 8 testualmente recita:

Ogni persona ha diritto al rispetto della sua vita privata e familiare, del suo domicilio e della sua corrispondenza.

Non può esservi ingerenza di una autorità pubblica nell’esercizio di tale diritto a meno che tale ingerenza sia prevista dalla legge e costituisca una misura che, in una società democratica, è necessaria per la sicurezza nazionale, per la pubblica sicurezza, per il benessere economico del paese, per la difesa dell’ordine e per la prevenzione dei reati, per la protezione della salute o della morale, o per la protezione dei diritti e delle libertà altrui.

L’applicazione della norma ottiene effettività da parte della Corte Europea dei Diritti dell’Uomo. La Costituzione del 1948 contiene diverse previsioni relative alla tutela della sfera personale. Il riferimento principe è alle previsioni dell’art.2 che riconosce i diritti inviolabili dell’uomo e ne garantisce l’attuazione sia come singolo sia nelle formazioni sociali ove si svolge la sua personalità (1).

Provvedono poi la Parte prima, Titolo primo ad individuare i diritti inviolabili dell’individuo (artt.13 a 23: libertà personale, inviolabilità del domicilio, libertà e segretezza della corrispondenza e di ogni altra forma di comunicazione, libertà di associazione, di circolazione, politiche e religiose, di manifestazione del pensiero) (2).

La legge 20 maggio 1970, n.300 (c.d. Statuto dei Lavoratori ) si occupava (e si occupa) specificamente della tutela di alcuni fondamentali principi di libertà del lavoratore e di contemperare tali diritti con le necessità dell’impresa di conoscere e gestire alcune tipologie di informazioni personali essenziali all’instaurazione ed allo svolgimento del rapporto di lavoro subordinato,

2 (utilizzo delle guardie giurate)
3 (utilizzo del personale di vigilanza)
4 (utilizzo di impianti audiovisivi)
5 (accertamenti sanitari da parte del datore di lavoro)
6 (visite personali di controllo)
8 (divieto di indagini sulle opinioni)
da 15 a 17 (relativi alla tutela antidiscriminatoria in positivo ed in negativo)

la normativa del 1970 detta regole fondamentali che individuano ambiti di libertà per la personalità del lavoratore: cioè limitano le possibilità di ingerenza del datore di lavoro nella sfera personale dell’individuo e la gestione di determinate categorie di informazioni che la legge considera irrilevanti ai fini del rapporto di lavoro,

Ribadito il principio che l’ambito di applicazione delle normative dello Statuto dei lavoratori è limitato al rapporto di lavoro subordinato (art.2094 cod.
Civ.), il punto di partenza di ogni indagine è, imprescindibilmente, l’articolo 1, il quale prevede che “i lavoratori, senza distinzione di opinioni politiche, sindacali e di fede religiosa, hanno diritto di manifestare liberamente il proprio pensiero, nel rispetto dei principi della Costituzione e delle norme della presente legge.” Si tratta del principio ispiratore di tutto il titolo primo rubricato “della libertà e dignità del lavoratore” e, in generale, ispiratore di tutta la legge.

Il rapporto di lavoro, infatti, per le sue peculiarità (continuità, durata, messa a disposizione di energie per il coordinamento da parte dell’imprenditore per il raggiungimento delle finalità dell’impresa, poteri di controllo e disciplinari, poteri di conformazione, doveri di tutela sotto il profilo psico-fisico e della personalità morale del dipendente, ecc.) comporta la necessità per l’impresa, di intervenire, entro certi limiti, nella sfera personale del dipendente.

La disciplina Statutaria pertanto, dovrà essere integrata dalla normativa generale in tema di trattamento dei dati personali.
Le due discipline non necessariamente si sovrappongono, ma in certi casi la generalità della seconda deve essere, dall’interprete, integrata e armonizzata con la specificità della prima.

Il 24 ottobre 1995 è stata approvata la Direttiva 95/46/CE del Parlamento Europeo e del Consiglio relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. Questa direttiva – il cui recepimento da parte dell’Italia avrebbe portato poi all’approvazione della legge 675/96 – risulta suddivisa in 7 Capi di cui il primo, dal titolo “Disposizioni Generali”, contiene i principi generali, le definizioni e il campo di applicazione (3).

La Direttiva 2002/58/CE (4) approvata il 12 luglio 2002 e relativa al trattamento dei dati personali e alla tutela della vita privata delle comunicazioni elettroniche infine, integra ulteriormente la Direttiva 95/46/CE abrogando, con l’articolo 19, la precedente direttiva 97/66/CE.
In particolare la direttiva, traducendo in norme specifiche per il settore delle telecomunicazioni alcuni principi generali enunciati dalla Direttiva 95/46/CE, ha inteso disciplinare il trattamento dei dati da parte dei fornitori di servizi di telecomunicazione offerti al pubblico.

Tra le varie disposizioni del provvedimento vale la pena ricordare l’articolo 5 che tende a stabilire un principio generale di riservatezza “delle comunicazioni effettuate tramite la rete pubblica di telecomunicazione e i servizi di comunicazione elettronica accessibili al pubblico”,

Con il D.lgs.196/2003 la normativa del 1995 è stata novellata recependo alcune delle interpretazioni che si erano consolidate nell’applicazione della legge. Il Codice della privacy è accompagnato da una serie di Codici deontologici (disponibili come allegati sul sito del Garante richiamato) che disciplinano alcune attività di trattamento dei dati in modo integrativo rispetto al codice.

Tali codici deontologici sono secondo l’opinione della giurisprudenza norme a tutti gli effetti integrative della disciplina della privacy e vincolanti (la violazione può comportare l’applicazione delle sanzioni previste dalla legge). Nel 2006 il Garante della privacy ha emanato delle Linee guida per il trattamento dei dati nel rapporto di lavoro, privato e pubblico, e per il trattamento dei dati relativi all’utilizzo delle email da parte dei dipendenti e dell’Internet (cfr.

Cfr. Barbera, Commentario all’art.2 in Commentario della Costituzione a cura di Branca, pagg.50 e sgg.
Cfr. Amato, Pace, Finocchiaro, Rapporti civili, in Commentario della Costituzione a cura di Branca, Bologna, 1977.
La direttiva citata e quelle che verranno successivamente indicate si possono leggere sul sito della Comunità europea

Con riferimento alla direttiva 2002/58/CE, si veda anche la direttiva 2002/21/CE del 7 marzo 2002 che istituisce un quadro normativo comune per le reti e i servizi di comunicazione elettronica (c.d. direttiva quadro).

L’Autorità del Garante della privacy viene definita, nella sua struttura organica, dall’articolo 153 del Codice e, nei suoi compiti, dall’articolo 154. Gli articoli da 157 a 160 definiscono e disciplinano gli accertamenti e i controlli che il Garante può disporre.

Il Garante italiano all’interno dell’Unione Europea è membro del Gruppo delle autorità garanti delle nazioni europee istituito in base all’articolo 29 della direttiva n.95/46/CE (c.d. Data Protection Working Party). Si tratta di un Indipendent EU Advisory Body on Data Protection and Privacy. E’ quindi un organo della Comunità Europea che si occupa di monitorare l’applicazione delle direttive e di fornire linee guida e di indirizzo nonché suggerimenti per l’evoluzione della disciplina e della sua applicazione.

E’ un organismo indipendente a carattere anche consultivo dell’Unione Europea in tema di protezione dei dati personali e dei diritti della personalità. Le raccomandazioni ed i pareri che emana non hanno efficacia normativa. Sempre in ambito europeo, il Garante inoltre fa parte delle Autorità comuni di controllo istituite in base alle Convenzioni Schengen, (Eurogol, Sistema informativo doganale ed Eurodac).

Inoltre il Garante fa parte del Comitato consultivo (denominato T-PD) istituito dalla Convenzione n.108/1981 del Consiglio d’Europa e formato da rappresentanti di paesi aderenti alla Convenzione e del Gruppo di lavoro a carattere permanente (denominato CJ-PD) che si occupa della protezione dei dati personali anche nel settore della cooperazione giudiziaria e della predisposizione delle Raccomandazioni del Consiglio d’Europa.

All’interno dell’OCSE partecipa al Gruppo sulla sicurezza dell’informazione e sulla privacy (WPISP) il quale fa parte del Comitato per la politica dell’informazione (ICCP) istituito all’interno della Direzione scienza, tecnologia e industria dell’OCSE.

Come abbiamo visto, con il Decreto legislativo 196/2003 è stato approvato il testo unico in materia di privacy denominato “Codice in materia di protezione dei dati personali” (d’ora in avanti anche “Codice”) nonché sono stati censiti, e specificamente disciplinati come fonti normative derivate, i codici di deontologia e di buona condotta.

Quelli già pronti risultano parte integrante del Codice stesso come Allegati. Il Codice, frutto della sintesi e dell’ analisi di una complessa evoluzione normativa, è costituito da 186 articoli, suddivisi in 3 Parti:

la Parte I contiene le disposizioni generali, per ogni tipo di trattamento
la Parte II contiene invece disposizioni relative a specifici settori
la Parte III infine si occupa dei procedimenti a tutela dell’interessato e delle sanzioni derivanti dalla violazione delle disposizioni imperative.

Completano il Codice gli Allegati:

L’Allegato A contiene i codici di deontologia in relazione a determinate attività e, più nello specifico:
- l’Allegato A1 contiene il “Codice di deontologia relativo al trattamento dei dati personali nell’esercizio dell’attività giornalistica” (Provvedimento del Garante senza numero del 29 luglio 1998, in G. U 3 agosto 1998, n.179);
- l’Allegato A2 riguarda il “Codice di deontologia e di buona condotta per il trattamento di dati personali per scopi storici” (Provvedimento del Garante n.8/P 121 del 14 marzo 2001, in G. U 5 aprile 2001, n.80);
- l’Allegato A3 si riferisce al Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica effettuati nell’ambito del Sistema statistico nazionale;
- l’Allegato A4 contiene il “Codice di deontologia e di buona condotta per i trattamenti di dati personali a scopi statistici e di ricerca scientifica” ;
- L’Allegato A5 contiene il “Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti” ;
- L’Allegato A6 contiene il “Codice di deontologia e di buona condotta per i trattamenti di dati personali effettuati per svolgere investigazioni difensive”,
L’Allegato B regolamenta, in linea con quanto previsto dagli articolo da 33 a 36 del Codice, il “Disciplinare tecnico in materia di misure minime di sicurezza” che contiene le modalità tecniche da adottare nel trattamento dei dati (1).
L’Allegato C regolamenta i “Trattamenti non occasionali effettuati in ambito giudiziario o per fini di polizia” in attuazione degli articoli 46 e 53 del Codice.

Tra i codici ancora in via di completamento vi è quello per la gestione del rapporto di lavoro e per finalità previdenziali. Per i testi dei diversi allegati si veda il sito del Garante della Privacy (Garante per la protezione dei dati personali) – – – – – – – Note:

Per informazioni sul punto, cfr. Berghella, Guida Pratica alle nuove misure di sicurezza per la privacy, Collana ABI Economia e Gestione, Roma, 2003.

La logica della protezione della legge è che nessuno può trattare i dati personali di qualcun altro senza averlo preventivamente informato del trattamento che intende fare, delle ragioni della raccolta dei dati, delle logiche e modalità di trattamento, della circolazione dei dati conseguente al trattamento.

Sulla base di queste informazioni il titolare dei dati (definito dalla normativa come interessato) può prestare il proprio consenso o meno al trattamento. Senza consenso, in linea generale e salvo le specifiche eccezioni della legge, il trattamento non può essere effettuato. Nessun dato sensibile (v. infra) può essere trattato senza consenso.

La giurisprudenza ha precisato (Cass.10260/2009) che la regola è che il trattamento è vietato tranne i casi in cui è consentito dalla legge (per il consenso o per la ricorrenza dei presupposti di non necessità di questo). Su queste premesse è facile comprendere la natura fondamentale del c.d.

“principio di necessità” (art.3) la cui funzione è limitare, allo stretto indispensabile, il ricorso alle tecnologie che consentono il trattamento dei dati personali, prevedendo la esclusione del trattamento di dati personali (cioè di dati individui) quando le finalità perseguite possono essere realizzate mediante il trattamento di dati anonimi o mediante opportuni accorgimenti che permettano l’individuazione dell’interessato solo in caso di necessità.

Il c.d. “principio di necessità” deve essere poi integrato e collegato all’articolo 11 relativo alle modalità di trattamento dei dati e ai requisiti degli stessi con particolare riferimento al c.d. “principio di finalità” di cui allo stesso articolo 11, comma 1, lett.

C) e d) per i quali i dati debbono essere esatti, pertinenti e non eccedenti rispetto allo scopo per i quali sono raccolti e trattati.
I dati vanno conservati per il periodo necessario alle finalità del trattamento e comunque per un tempo definito (in molti casi è previsto dalla normativa o dai provvedimenti a portata generale del Garante).

Il trattamento deve essere presidiato da misure di sicurezza fisiche (segregazione delle aree di residenza dei server e limitazioni di accesso, con identificazione delle persone che accedono) e logiche (sono tali le misure di processo, piuttosto che informatiche, ecc.).

Chi si occupa della tutela della privacy?

Il Garante per la protezione dei dati personali è un’autorità amministrativa indipendente istituita dalla cosiddetta legge sulla privacy ( legge 31 dicembre 1996, n.675 ), poi disciplinata dal Codice in materia di protezione dei dati personali ( d.lg.30 giugno 2003 n.196 ), come modificato dal Decreto legislativo 10 agosto 2018, n.101,

Qual è la normativa che regola il diritto alla privacy?

Cosa è il diritto alla protezione dei dati personali?* Il diritto alla protezione dei dati personali è un diritto fondamentale dell’individuo ai sensi della Carta dei diritti fondamentali dell’Unione europea (art.8). Oggi è tutelato, in particolare, dal Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati), oltre che da vari altri atti normativi italiani e internazionali e dal Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n.196), adeguato alle disposizioni del Regolamento (UE) 2016/679 tramite il Decreto legislativo 10 agosto 2018, n.101.

In particolare, il Regolamento (UE) 2016/679 disciplina il trattamento dei dati personali indipendentemente dal fatto che questo sia effettuato o meno nell’Unione europea, sia quando svolto da titolari o responsabili stabiliti in Ue o in un luogo soggetto al diritto di uno Stato membro dell’Ue in virtù del diritto internazionale pubblico (per esempio l’ambasciata o la rappresentanza consolare di uno Stato membro), sia quando il titolare o il responsabile non è stabilito nell’Unione europea ma le attività di trattamento riguardano: • l’offerta di beni o la prestazione di servizi ai suddetti interessati nell’Unione europea, indipendentemente dall’obbligatorietà di un pagamento dell’interessato; • il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell’Unione europea.

Il Regolamento (UE) 2016/679 ha ampliato i diritti riconociuti all’interessato con riferimento ai dati che lo riguardano, rendendoli maggiormente incisivi in una realtà permeata sempre più dal ricorso alle nuove tecnologie e all’utilizzo della rete. Diritto di accedere ai propri dati personali L’interessato ha il diritto di chiedere al titolare del trattamento (soggetto pubblico, impresa, associazione, partito, persona fisica, ecc.) se è in corso o meno un trattamento di dati personali che lo riguardano e, qualora il trattamento sia confermato: – di ottenere una copia di tali dati; – di essere informato su: a) le finalità del trattamento; b) le categorie di dati personali trattate; c) i destinatari dei dati; d) il periodo di conservazione dei dati personali ; e) quale sia l’origine dei dati personali trattati; f) gli estremi identificativi di chi tratta i dati (titolare, responsabile, rappresentante designato nel territorio dello Stato italiano, destinatari); g) l’esistenza di un processo decisionale automatizzato, compresa la profilazione; h) i diritti previsti dal Regolamento. LINEE GUIDA – Linee guida EDPB 01/2022 sul diritto di accesso Diritto alla rettifica, alla cancellazione, alla limitazione del trattamento, alla portabilità dei dati personali Il Regolamento (UE) 2016/679 (articoli da 15 a 22), ha ampliato i diritti riconosciuti all’interessato con riferimento ai dati che lo riguardano, rendendoli maggiormente incisivi nella nostra realtà permeata sempre più dal ricorso alle nuove tecnologie e all’utilizzo della rete.

L’interessato può richiedere a chi sta trattando i suoi dati personali che questi siano: a) rettificati (perché inesatti o non aggiornati), eventualmente integrando informazioni incomplete; b) cancellati, se: – i dati non sono più necessari ai fini del perseguimento delle finalità per le quali sono stati raccolti o trattati; – l’interessato revoca il consenso o si oppone al trattamento; oppure – i dati sono trattati illecitamente o devono essere cancellati per adempiere a un obbligo legale; e se non vi sono altri trattamenti per i quali i dati sono considerati necessari (libertà di espressione e informazione, svolgimento di compiti nel pubblico interesse, trattamenti connessi alla sanità pubblica, ecc.).

c) limitati nel relativo trattamento, se: – i dati non sono esatti o sono trattati illecitamente e l’interessato si oppone alla loro cancellazione; – nonostante il titolare non ne abbia più bisogno ai fini del trattamento, i dati sono necessari all’interessato per fare valere un diritto in sede giudiziaria; d) trasferiti ad un altro titolare (c.d.

Diritto alla portabilità), se il trattamento si basa sul consenso o su un contratto stipulato con l’interessato e viene effettuato con mezzi automatizzati.
Nota: Il titolare del trattamento, se ha reso pubblici dati personali ed è obbligato a cancellarli, tenendo conto della tecnologia disponibile e dei costi di attuazione adotta le misure ragionevoli, anche tecniche, per informare i titolari del trattamento che stanno trattando i dati personali della richiesta dell’interessato di cancellare qualsiasi link, copia o riproduzione dei suoi dati personali.

Come si esercita questo diritto? Diritto di opposizione E’ possibile opporsi al trattamento dei propri dati personali: a) per motivi connessi alla situazione particolare dell’interessato, da specificare nella richiesta; b) (senza necessità di motivare l’opposizione) quando i dati sono trattati per finalità di marketing diretto.

Chi può richiedere il risarcimento dei danni?

La legge prevede che chiunque causa ad altri un danno ingiusto è tenuto a risarcirlo. Il risarcimento dal danno si distingue dall’indennizzo che viene versato nei casi previsti dalla legge quando un comportamento autorizzato dall’ordinamento comporta dei danni per i terzi.

Che cosa prevede la procedura di reclamo?

Come si propone il reclamo – L’ art.142 del Codice prevede che il reclamo deve contenere un’indicazione per quanto possibile dettagliata dei fatti e delle circostanze su cui si fonda, delle disposizioni che si presumono violate e delle misure richieste, nonché gli estremi identificativi del titolare o del responsabile del trattamento, ove conosciuto.

Inoltre, in linea con il Regolamento UE prevede la possibilità per l’interessato di dare mandato per la presentazione del reclamo ad organizzazioni od associazioni no profit (articolo 80 Reg.), che sono stati individuati nei c.d.
Enti del Terzo settore di cui al decreto legislativo n.117 del 2017 (v.

articolo l, comma 2, lettera b), legge n.106 del 2016), e, da un altro lato, l’obbligo per il Garante di informare l’interessato sullo stato o esito del reclamo entro tre mesi dalla data di presentazione, in conformità al considerando 141 ed all’articolo 77, paragrafo 2, del Regolamento.

Il reclamo deve recare in allegato la documentazione utile ai fini della sua valutazione e l’eventuale mandato, e indica un recapito per l’invio di comunicazioni anche tramite posta elettronica, telefax o telefono.
Lo stesso Garante, in realtà, ha già predisposto un modello per il reclamo, pubblicato nel proprio sito istituzionale, di cui favorisce la disponibilità con strumenti elettronici.

L’ art.8 del Regolamento interno del Garante chiarisce che sono qualificabili come reclami gli atti che indicano specificatamente, anche sulla base del modello appositamente predisposto dal Garante, gli elementi previsti dall’articolo 142 del Codice.

Ove, poi, il reclamo sia irregolare o incompleto, ne è data comunicazione all’istante, con l’indicazione delle cause della irregolarità o incompletezza nonché del termine, di regola non superiore a quindici giorni, entro cui provvedere alla relativa regolarizzazione. Il reclamo non tempestivamente regolarizzato è archiviato e può essere esaminato a titolo di segnalazione,

Potrebbe interessarti anche il seguente articolo: “Il Garante sanziona Facebook per la mancanza di una corretta informativa circa i dati raccolti con finalità di profilazione psicologica degli utenti” Il presente contributo è tratto da “I ricorsi al garante della privacy” di Michele Iaselli © RIPRODUZIONE RISERVATA

Quanto tempo ha il titolare per rispondere ad una richiesta di esercizio dei diritti privacy effettuata da un interessato?

Il termine per la risposta all´ interessato è, per tutti i diritti (compreso il diritto di accesso), 1 mese, estendibili fino a 3 mesi in casi di particolare complessità; il titolare deve comunque dare un riscontro all´ interessato entro 1 mese dalla richiesta, anche in caso di diniego.