GDPR, Codice Privacy e diritto alla protezione dei dati personali

Principi per il consenso al trattamento dei dati personali

Similmente, nel caso in cui il titolare aggiunga nuove finalità dovrà chiedere un nuovo consenso all'interessato

Inequivocabile: il consenso non può essere tacito o presunto. Deve cioè implicare una chiara azione positiva da parte dell'interessato (spuntare una casella) e non essere frutto di inerzia (caselle pre-spuntate su un modulo)

Dimostrabile: il titolare dev'essere in grado di dimostrare che l'interessato ha prestato il suo consenso (accountability)

Revocabile: il consenso deve essere revocabile in qualsiasi momento e con la stessa facilità con cui è accordato. Non vi è obbligo di motivare la revoca, a seguito della quale il trattamento deve interrompersi ed i dati devono essere cancellati, a meno che non sussista un'altra base giuridica per continuare il trattamento o per conservare alcuni dati

Informato: l'interessato deve essere posto in condizioni di conoscere quali dati sono trattati

Per quanto tempo, con quale modalità e finalità, le conseguenze del suo consenso, l'identità del titolare nonché i suoi diritti. Occorre, cioè, il rispetto del principio di trasparenza. Qualora il consenso sia la base giuridica, l'informativa privacy diventa una condizione di legittimità del trattamento esplicito. Sussistono casi in cui il consenso dell'interessato deve essere anche, e ciò include:

• Trattamento di dati sensibili
• Trattamenti connessi a processi decisionali automatizzati (profilazione)
• Trasferimento verso Paesi terzi/organizzazioni internazionali, in assenza di adeguate garanzie

Consenso dei minori (art.8). Altro presupposto indefettibile del consenso è che l'interessato che lo conferisce abbia la capacità giuridica per farlo. In merito, ove la base giuridica del trattamento sia il consenso, per quanto riguarda l'offerta diretta di servizi della società dell'informazione ai

minori (social network, messaggistica), il trattamento è lecito ove il minore abbia almeno 16 anni. Ove abbia un'età inferiore, è lecito soltanto se il consenso è prestato/autorizzato dal titolare della responsabilità genitoriale. Il GDPR stabilisce inoltre che gli Stati membri possano definire un'età inferiore, purché nel limite dei 13 anni. In attuazione di detta disposizione, il Codice Privacy italiano ha stabilito un limite di età pari a 14 anni. Il Codice ribadisce inoltre il divieto di divulgazione di notizie/immagini idonee a consentire l'identificazione di un minore.

Dati sensibili (art.9) Il GDPR sancisce un divieto generale di trattare i dati sensibili ("categorie particolari di dati"), cioè i dati che rivelino l'origine razziale o etnica, le opinioni politiche, religiose o filosofiche, l'appartenenza sindacale, nonché i dati genetici, biometrici e relativi alla salute, alla

Vita sessuale o all'orientamento sessuale della persona. Tali dati possono essere trattati solo nei casi indicati ed in presenza di adeguate garanzie per i diritti dell'interessato:

1. L'interessato ha prestato libero ed esplicito consenso al trattamento
2. Il trattamento riguarda dati personali resi manifestamente pubblici dall'interessato (Facebook)
3. Il trattamento è necessario per assolvere gli obblighi in materia di diritto del lavoro, sicurezza e protezione sociale, qualora sia autorizzato da norme di legge o CCNL (calcolo della retribuzione a fini pensionistici)
4. Il trattamento è necessario per tutelare un interesse vitale dell'interessato o di terzi, qualora l'interessato si trovi nell'incapacità fisica/giuridica di prestare il proprio consenso
5. Il trattamento è effettuato da una fondazione, associazione o altro organismo senza scopo di lucro che persegua finalità politiche, filosofiche, religiose o sindacali

a) Il trattamento è necessario per l'esecuzione di un contratto di cui l'interessato è parte o per l'esecuzione di misure precontrattuali adottate su richiesta dell'interessato

b) Il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento

c) Il trattamento è necessario per proteggere gli interessi vitali dell'interessato o di un'altra persona fisica

d) Il trattamento è effettuato nell'esercizio di pubblici poteri di cui è investito il titolare del trattamento

e) Il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell'interessato

f) Il trattamento è necessario per accertare, esercitare o difendere un diritto in sede giudiziaria

g) Il trattamento è necessario per motivi di interesse pubblico rilevante (sulla base di norme giuridiche)

h) Il trattamento è necessario per motivi di sanità pubblica

i) Il trattamento è necessario per finalità di medicina del lavoro, diagnosi, assistenza o terapia sanitaria/sociale

j) Il trattamento è necessario a fini statistici, di archiviazione nel pubblico interesse, di ricerca storica o scientifica

Trattamenti di dati sensibili ai fini di "interesse pubblico rilevante"

L'art.2-sexies del Codice Privacy dispone che i trattamenti dei dati sensibili ai fini di "interesse pubblico rilevante" sono ammessi qualora previsti dal diritto comunitario o nazionale. Tali norme devono specificare i tipi di dati che possono essere trattati, le

operazioni eseguibili e l'interesse pubblico rilevante, nonché le misure per tutelare i diritti degli interessati. È considerato "rilevante" l'interesse pubblico relativo a trattamenti effettuati da soggetti che svolgono attività di:

• Accesso documentale e accesso civico
• Tenuta di registri di stato civile, anagrafe e liste elettorali
• Cittadinanza, immigrazione, asilo
• Attività di controllo, ispettive in materia tributaria (prevenzione e contrasto all'evasione fiscale)
• Concessione, modifica e revoca di benefici economici, agevolazioni, emolumenti e abilitazioni
• Attività sanzionatorie e di tutela in sede amministrativa o giudiziaria
• Compiti del SSN e dei soggetti operanti in ambito sanitario
• Istruzione e formazione in ambito scolastico, professionale, superiore o universitario
• Instaurazione, gestione ed estinzione di rapporti di lavoro, previdenza ed assistenza sociale
• Trattamenti effettuati a fini statistici, di ricerca scientifica o storica

archiviazione nel pubblico interesse o di ricerca storica e scientifica

Per quanto riguarda l'accesso documentale (art.60 del Codice Privacy), quando il trattamento concerne dati genetici, relativi alla salute, alla vita sessuale o all'orientamento sessuale, il trattamento è consentito se la situazione giuridicamente rilevante che si intende tutelare con la richiesta di accesso ai documenti amministrativi è di rango almeno pari ai diritti dell'interessato, ovvero consiste in un diritto della personalità o in un altro diritto o libertà fondamentale (valutazione di pari rango).

Misure di garanzia per il trattamento dei dati genetici, biometrici e relativi alla salute

Per quanto riguarda ulteriori condizioni per il trattamento di dati genetici, biometrici e relativi alla salute, l'art.2-septies del Codice Privacy prevede che il Garante adotti una serie di misure di garanzia tecniche ed organizzative con cadenza biennale, al fine di tutelare i

per ogni paragrafo:

diritti e le libertà fondamentali degli interessati (pseudonimizzazione, cifratura, minimizzazione dei dati, limitazione degli accessi, modalità di comunicazione). Lo schema di provvedimento è sottoposto a consultazione pubblica per un periodo di almeno 60 giorni ed è adottato sentito il Ministro della Salute (previo parere del Consiglio Superiore di Sanità).

Nel rispetto delle norme in materia di privacy, i dati genetici, biometrici e relativi alla salute non possono essere diffusi.

Dati giudiziari (art.10) Per quanto riguarda i dati giudiziari, ossia relativi a condanne penali e reati, il trattamento può avvenire solo sotto controllo dell'autorità pubblica o se autorizzato da norme di legge/regolamento, siano esse di diritto comunitario o nazionale, che prevedano garanzie adeguate per i diritti e le libertà fondamentali degli interessati.

In mancanza di entrambi i requisiti, l’autorizzazione può essere disposta solo

Con decreto del Ministro della Giustizia.

Diritti degli interessati (artt.15-22)

L'interessato al trattamento (data subject) è la persona fisica a cui si riferiscono i dati personali.

Diritto di informazione e di accesso (art.15): l'interessato ha il diritto di ottenere dal titolare la conferma che sia incorso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso a tali dati e alle informazioni sul trattamento (finalità, dati trattati, destinatari, periodo di conservazione). Ciò avviene tramite l'informativa privacy. L'interessato ha altresì il diritto di richiedere (gratuitamente) al titolare una copia dei dati trattati.

Diritto di rettifica (art.16): diritto di ottenere l'integrazione o la rettifica dei dati conferiti, senza ingiustificato ritardo.

Diritto alla cancellazione/oblio (art.17): diritto di ottenere la cancellazione dei dati in possesso del titolare, senza ingiustificato ritardo.

scientifica (nella misura in cui la cancellazione dei dati rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità del trattamento)

Diritto di limitazione di trattamento (art.18): diritto degli interessati a ottenere dal titolare la limitazione provvisoria del trattamento dei loro dati personali. La richiesta può essere avanzata ove ricorra una delle seguenti ipotesi:

• L'interessato contesta l'esattezza dei dati (per il tempo necessario al titolare per verificarne l'esattezza)
• Il trattamento è illecito e l'interessato chiede una limitazione del trattamento piuttosto che la cancellazione dei dati
• L'interessato si è opposto al trattamento (in attesa della decisione in merito alla prevalenza dei motivi legittimi del titolare rispetto a quelli dell'interessato)
• I dati personali sono necessari all'interessato per l'accertamento, l'esercizio o la difesa di un diritto in sede

1. Diritto alla portabilità dei dati (art.20): l'interessato ha diritto di ricevere i dati personali che lo riguardano, nonché il diritto di trasmettere tali dati a un altro titolare, se tecnicamente fattibile e senza impedimenti del titolare originario. Tale