Regolamento generale sulla protezione dei dati personali

Diritto dell’economia digitale: regolamento generale sulla protezione dei dati personali (GDPR “General data protection regulation”)

Regolamento elaborato in quanto ci si rende conto dell'inadeguatezza della disciplina europea in campo di protezione dei dati personali si è avviato un processo di revisione della normativa vigente che ha avuto inizio con una proposta della Commissione Europea del 2012.

Regolamento 2016/679 UE (GDPR): atto “self executing” > atto che si applica direttamente negli stati membri senza richiedere disposizioni di attuazione.

• Ha sostituito la Direttiva 95/46/CE disegnando un quadro normativo applicabile in ciascun Stato membro.
• Direttiva: focus sui diritti del titolare dei dati > fissava con rigidità una serie di obblighi per i titolari, mentre il regolamento attribuisce ai titolari una maggiore flessibilità nel trattamento dei dati in quanto segue un principio del rischio: titolare deve scegliere le misure adeguate in base al rischio che riguarda il trattamento dei dati.
• È divenuto applicabile nel 2018.
• Si basa sul principio di accountability, ossia di responsabilizzazione del titolare che effettua il trattamento dei dati: quest’ultimo dovrà dimostrare di aver posto in essere tutte le misure idonee a contrastare il verificarsi di rischi relativi al trattamento dei dati > GDPR rispetto alla direttiva prende atto che il trattamento dei dati avvengono su larga scale in modo costante e continuo e in quanto tale ci possono essere rischi.

GDPR nel nostro ordinamento è stato ripreso da un decreto legislativo: D.lgs. 10 Agosto 2018 n.101 «Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)»:

• Non ha cancellato il Codice della Privacy ma ha abrogato gli articoli non conformi ed ormai superati.
• Ha adeguato la normativa nazionale.

2 livelli: primo posto GDPR ossia fonte sovranazionale a cui tutti gli stati membri devono uniformarsi e poi abbiamo il codice della privacy modificato alla luce delle norme contenute nel GDPR.

Principali novità

1. Si introducono regole più chiare su informativa e consenso.
2. Si stabiliscono i limiti al trattamento automatizzato dei dati personali.
3. Si pongono le basi per l’esercizio di nuovi diritti.
4. Si stabiliscono criteri rigorosi per il trasferimento dei dati al di fuori dell’UE (data breach).
5. Si fissano norme rigorose per i casi di violazione dei dati.

In passato > diritto di riservatezza e alla privacy erano sinonimi; poi > art 1 ha codificato la differenza tra i 2: da un lato vuole tutelare il titolare che da consenso al trattamento dei propri dati, dall’altra vuole regolamentare la libera circolazione dei dati.

• Diritto riservatezza > diritto di essere lasciato solo, diritto del singolo a tutelare le vicende della propria vita privata 1.
• Diritto di privacy > diritto alla protezione dei dati personali e coincide con diritto di controllare la circolazione dei dati che riguardano la nostra persona.

Il nostro codice già aveva dato risalto a questa distinzione.

Chi è tenuto ad adeguarsi?

• Tutti i soggetti pubblici e privati che effettuano il trattamento dei dati personali archiviati in forma elettronica e/o cartacea: aziende, avvocati, commercialisti, istituzioni scolastiche, comuni e tutti coloro che trattano dati personali, anche mediante l’ausilio di strumenti elettronici.
• Restano escluse le attività di sfruttamento dei dati personali di tipo non professionale o domestico (uso di un social network per finalità esclusivamente personali).
• Vi rientrerebbe l’amministrazione di una fan page (l’ha detto la Corte di Giustizia) e tutte le attività svolte da chi gestisce piattaforme di comunicazione (Considerando 18 GDPR = il considerando è una premessa che fa il consiglio dell’UE per giustificare quanto scritto nelle norme spesso ne anticipano e completano il contenuto delle norme).

Principali novità introdotte dal GDPR

• Rafforzamento della responsabilità del titolare ovvero del responsabile del trattamento (accountability). Titolare ≠ responsabile del trattamento. Il titolare del trattamento dovrà applicare misure efficaci per garantire che la nuova disciplina contenuta nel regolamento sia rispettata e dimostrare che le tecniche che ha adottato sono conformi a quanto prescritto nel GDPR.
• Pubbliche amministrazioni (Stato) o imprese devono rispettare i principi di privacy by design e privacy by default: ogni nuova attività (di trattamento) deve essere progettata/pensata sin dal principio in modo tale da essere rispettosa della nuova disciplina (delle norme contenute nel regolamento) garantendo una tutela di default → questi 2 principi implicano che il titolare del trattamento dovrà attuare misure tali per cui si limitino i rischi legati ai dati (perdita, alterazione dei dati).
• Viene introdotto l’obbligo di nominare un Data protection officer (DPO) responsabile della protezione dei dati personali (questo sogg fa da tramite tra autorità garante per la protezione dei dati personali e il titolare del trattamento). Serve per tutti i soggetti pubblici e per tutte le imprese (private) che trattino grandi moli di dati o svolgano attività di profilazione o trattino dati giudiziari (relativi a condanne penali) o sensibili (salute e tendenze sessuali). DPO dovrà essere un professionista, un soggetto competente soprattutto con riferimento alle norme del GDPR.
• Si stabilisce il diritto degli interessati alla “portabilità del dato” (data take away = portar via il dato) es. trasferimento dei propri dati da un social network ad un altro.
• Si introduce lo sportello unico (One-stop-shop): le imprese con diversi stabilimenti in Europa possono stabilire lo stabilimento principale e dialogare con una sola Autorità garante nazionale. In passato tutte le multinazionali con più stabilimenti erano costrette a dialogare con i garanti di tutti i paesi in cui avevano sede i propri stabilimenti.
• Potenziamento dell’apparato sanzionatorio con inasprimento delle sanzioni amministrative in caso di violazione delle norme del Regolamento 2.

Principali definizioni

PRINCIPALI DEFINIZIONI (sono state influenzate dalla Direttiva 95/46/CE):

Dato personale

Dato personale (art. 4, n.1): qualsiasi informazione riguardante una persona fisica identificata (ben individuata) o identificabile (interessato = prestato il consenso al trattamento di informazioni che lo riguardano): nome, cognome, immagine di una persona, codice fiscale.

È identificabile la persona fisica che può essere identificata direttamente o indirettamente (es. attraverso il codice fiscale).

• Insieme delle informazioni relative ad una persona fisica come gli identificativi prodotti da dispositivi on line (indirizzo IP, cookies).
• Dati che pur sottoposti a pseudonimizzazione possono essere oggetto di combinazione con ulteriori informazioni in modo da renderne possibile l’identificazione del soggetto.

La pseudonimizzazione è un'operazione che comporta che i dati personali relativi ad un sogg vengano trattati in modo che gli stessi dati non possano più essere attribuiti a quel determinato sogg senza andare a prendere delle info aggiuntive, info che dovranno essere conservate separatamente. L’utente non può essere immediatamente identificato, ma solo andando a prendere altri dati che sono stati conservati separatamente. Si usa per garantire l’anonimato della persona.

Sotto categorie di dato personale

• Dati comuni: consentono in vario modo l’identificazione e tracciamento della persona (nome, codice fiscale, indirizzo, numero di telefono, indirizzo e-mail).
• Dati sensibili rilevano particolari info sulla persona.
• Dati super sensibili: riguardano lo stato di salute e la vita sessuale dell’individuo.
• Dati giudiziari: rivelano la qualità di imputato o indagato del soggetto nonché tutte le informazioni in materia di casellario giudiziale (rubrica in cui sono contenuti tutti i reati commessi da un soggetto) e di anagrafe delle sanzioni amministrative dipendenti da reati.

Dati sensibili

Dati sensibili (art.9):

• Informazioni che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale cui si aggiungono dati genetici, dati biometrici idonei ad identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona.
• Si parla di dati sensibili per contrapporli ai dati comuni. Questo perché il trattamento di questi dati è sottoposto a cautele aggiuntive rispetto al trattamento dei dati comuni (il consenso al trattamento dei dati sensibili da parte dell’interessato deve essere esplicito e fornito per uno o più finalità specifiche).

Trattamento

Trattamento: definizione contenuta nell’articolo 4 del regolamento = qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicati a dati personali o insiemi di dati personali e consistente in:

1. Raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, messa a disposizione.
2. Raffronto tra i dati, interconnessione (mettere dati in confronto gli uni con gli altri), limitazione.
3. Distruzione o cancellazione 3.
4. Profilazione (insieme delle attività di raccolta ed elaborazione dei dati inerenti gli utenti di un servizio al fine di suddividerli in gruppi a seconda del loro comportamento).

La definizione di trattamento è onnicomprensiva in quanto descrive tutte le attività che possono essere riconducibili con i dati personale.

Titolare del trattamento

• Può considerarsi a tutti gli effetti il dominus (proprietario) del trattamento dei dati personali, è la controparte dell'interessato cui si riferiscono i dati personali.
• “Persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali” → egli ha un potere di controllo sui dati e questo può derivare o dal fatto che la legge che un determinato soggetto sia il titolare del trattamento (formalmente), oppure il controllo sui dati personali può essere assegnato implicitamente.

Nel GDPR il titolare del trattamento è una figura importantissima, nel nostro ordinamento questa figura non è sconosciuta in quanto già prevista nel codice della privacy. L’importanza del titolare comporta che quest’ultimo deve attuare tutte le misure che siano in grado di garantire che il trattamento avvenga in conformità delle norme del GDPR e in virtù del principio della responsabilizzazione. Queste misure in concreto in cosa consistono? I dati devono essere legittimamente conservata conformemente alle norme di legge. Inoltre il titolare deve attuare procedure che mettano in sicurezza dei dati, deve agire nel rispetto dei requisiti di autorizzazione preventiva dell’autorità di controllo e deve definire tutte le info che devono essere fornite all’interessato: ha responsabilità gravosa.

Dalla def di titolare del trattamento può verificarsi una situazione di contitolarità al trattamento dei dati persona,i. Questa situazione di contitolarità è oggetto di una norma contenuta nell'art 26: questa norma prevede la situazione dove 2 o più titolari prevedano insieme mezzi di trattamento; essi devono determinare in modo chiaro nei confronti dell'interessato e del garante le rispettive responsabilità.

Es. fanpage su facebook i titolari sono il gestore di facebook e il gestore della fanpage.

Posso rivolgermi indifferentemente a ciascun contitolare del trattamento.

In virtù del principio di responsabilizzazione, il titolare deve adottare misure per salvaguardare i dati secondo le norme del regolamento = privacy by design.

• Indicato formalmente o implicitamente.

Figura già stata prevista nel codice della privacy > importanza resa maggiore con il GDPR.

Es. datore di lavoro rispetto ai dati del lavoratore; l'università rispetto ai dati degli studenti.

Responsabile del trattamento

Responsabile del trattamento: “la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento” (art 4).

Il responsabile deve svolgere il proprio mandato (incarico) nell'interesse e per conto del titolare: è necessario un atto di delega da parte del titolare. Sarà necessario un atto di delega da parte del titolare ossia un contratto che vincola il responsabile al titolare e individua la durata, natura, finalità del trattamento e le categorie di interessati definiti tutti gli aspetti fondamentali del trattamento.

Ad es: studio professionale che svolge in outsourcing servizi contabili e di gestione paghe potrà svolgere il trattamento dei dati personali di dipendenti di un datore di lavoro ma allo stesso tempo agire come titolare del trattamento dei dati dei propri dipendenti 4.

Principi generali per il trattamento dei dati personali

PRINCIPI GENERALI PER IL TRATTAMENTO DEI DATI PERSONALI (ART.5 del GDPR)

• Liceità, correttezza e trasparenza: trattamento deve essere lecito ossia conforme alle norme di legge contenute nel regolamento, deve essere corretto e trasparente (devono essere chiare le modalità con cui i dati sono raccolti e utilizzati).
• Limitazione delle finalità (determinate, esplicite e legittime): i dati devono essere raccolti per finalità determinate esplicite = conformi alla legge e legittime. I dati devono essere trattati anche successivamente a quando il trattamento ha avuto inizio in modo che non ci sia incompatibilità con tali finalità = dati raccolti non devono essere superflui.
• Minimizzazione dei dati (adeguatezza pertinenza e limitazione rispetto alle finalità): i dati devono essere adeguati al trattamento, pertinenti e limitati per il perseguimento delle finalità per i quali sono stati raccolti.

Da cui deriva:

• Esattezza (aggiornamento): dati devono essere esatti, devono essere oggetto di un costante aggiornamento. Nel caso in cui non siano esatti se non si riescono a rettificare in modo tempestivo, dovranno essere eliminati.
• Limitazione della conservazione (per il lasso di tempo non superiore al conseguimento della finalità per i quali sono trattati): dati devono essere conservati per il tempo necessario al raggiungimento della finalità per cui sono stati raccolti.
• Integrità e riservatezza: dati devono essere trattati in modo da garantire sicurezza all’interessato e protegge i dati da trattamenti non autorizzati o illeciti o da perdite o distruzione.
• Tali principi devono essere rispettati dal titolare del trattamento (accountability) che deve dare prova in ogni momento dell'adempimento di tali principi.

Consenso dell'interessato

CONSENSO DELL'INTERESSATO: massima espressione dell'elemento volontaristico e del potere dispositivo dell'interessato sui propri dati manifestazione di volontà con cui individuo acconsente al trattamento dei suoi dati.

CONSENSO: qualsiasi manifestazione di volontà libera, specifica, informata, inequivocabile dell'interessato, con cui lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile (che non faccia sorgere dubbi), a che I dati personali che lo riguardano siano oggetto di trattamento. Il GDPR rafforza le condizioni per l'espressione del consenso in modo da garantire la consapevolezza dell'interessato. Il GDPR ha definito il consenso, ma non è stato disciplinato in maniera compiuta = critica fatta al GDPR.

Il consenso deve essere:

• Libero (interessato nel momento in cui presta consenso non deve essere obbligato, non deve essere oggetto di alcun pregiudizio. L'interessato deve avere controllo dei propri dati personali. Il consenso è libero quando non è condizionato, ma scevro ossia svincolato da condizionamenti. Un consenso è condizionato se avviene sotto ricatto ad esempio), informato (deve attribuire all’interessato una effettiva consapevolezza di ciò che sta firmando e garantire il controllo del contratto all’interessato) e specifico (diretto solo a determinati ambiti) fornito sulla base di un'informativa adeguata ed esaustiva che il titolare deve consegnare all'interessato.
• Esplicito quando riguarda particolari categorie di dati (sensibili).

CONSENSO DELL'INTERESSATO: lo analizziamo dal punto di vista del titolare = massima espressione dell'elemento volontaristico e del potere dispositivo dell'interessato sui propri dati 5.

• Il titolare del trattamento deve dimostrare che l'interessato ha prestato il proprio consenso.
• Se il consenso è prestato nel contesto di una dichiarazione scritta, esso deve essere chiaramente distinto rispetto alle altre eventuali dichiarazioni rese dall'interessato su altre materie deve essere chiaro che interessato presta consenso quando si vanno a firmare moduli particolarmente ricchi sotto il profilo contenutistico.
• L'interessato ha il diritto di revocare il proprio consenso in qualsiasi momento.
• Prima di esprimere il consenso, l’interessato deve essere informato della facoltà di revocarlo in seguito, senza pregiudicare la liceità del trattamento effettuato prima della revoca (an