Basi della privacy

privacy.md

Il nuovo Regolamento europeo Privacy 679

(alcuni) Adempimenti

• Redazione Documento misure tecniche e organizzative adeguate (dettagliato per ogni singola postazione ed ogni singolo lavoratore)
• Redazione clausole contrattuali-tipo (ad es. nei contratti cloud per le responsabilità dei dati del fornitore dei servizi)
• Adesione a codici di condotta (emanandi) o certificazioni. Codici definiti non si sa da chi, ce ne saranno diversi per le stesse tipologie di trattamento: il consulente deve aiutare a scegliere).
• Procedure di pseudonimizzazione per privacy by default
• Documento di minimizzazione del trattamento per privacy by design
• Rapporti con titolari o responsabili del trattamento non stabiliti nell'Unione europea istruzioni documentate al responsabile del trattamento
• Registro del titolare del trattamento
• Registro del responsabile del trattamento (non il DPO)
• Analisi dei rischi (lasciata alla valutazione del titolare del trattamento)
• Procedura di notifica di una violazione dei dati personali all'autorità di controllo
• Procedura di comunicazione di una violazione dei dati personali all'interessato
• Verifica del meccanismo di coerenza (extra UE) con autorità di controllo
• Valutazione d’impatto preventiva. È quella che, analizzando il tessuto teconologico e normativo, ti dice se puoi fare quello che stai per fare.
• Consultazione preventiva con autorità di controllo. Istanza di consultazione preventiva: parere del garante.
• Designazione del DPO. Obbligatorietà per gli enti pubblici, può essere interno, può essere condiviso. Oltre agli enti pubblici chi tratti i dati particolari (sensibili e supersensibili (art. 9 nuovo regolamento) e li tratta come dato essenziale del proprio business. Inoltre chi fa trattamento di dati di massa su larga scala.
• Principi generali per il trasferimento extra UE
• Trasferimento sulla base di decisione di adeguatezza.
• Valutazione garanzie adeguate per trasferimento a soggetto estero
• Redazione norme vincolanti d'impresa anche infragruppo
• Procedure di reclamo
• Meccanismi di verifica della conformità alle norme vincolanti d'impresa
• Meccanismi per riferire e registrare le modifiche delle norme e comunicarle all'autorità di controllo
• Meccanismo di cooperazione con l'autorità di controllo
• Meccanismi di segnalazione all'autorità di controllo

Norme vincolanti d'impresa

Le politiche (policy) in materia di protezione dei dati personali applicate da un titolare del trattamento o responsabile del trattamento stabilito nel territorio di uno stato membro al trasferimento o al complesso di trasferimenti di dati personali a un titolare del trattamento o responsabile del trattamento in uno o più paesi terzi, nell'ambito di un gruppo imprenditoriale o di un gruppo di imprese che svolge un'attività economica comune.

Le politiche definiranno il trasferimento di responsabiltà al ricevente i dati trasferiti.

Articolo 5

Documento misure tecniche e organizzative adeguate. I dati sono:

• trattati in modo lecito, corretto e trasparente nei confronti dell'interessato;
• raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità;
• adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità perle quali sono trattati (minimizzazione dei dati);
• esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati (esattezza);
• conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle inalìtà er le quali sono trattati; fatta salva l'attuazione di misure tecniche e organizzative adeguate richieste dal presente re olamento a tutela dei diritti e delle libertà dell'interessato («limitazione de a conservazione»);
• trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezrone, mediante misure tecniche e organizzative adeguate, («integrità e riservatezza»). Le misure minime non bastano più.

Il titolare del trattamento è competente per il rispetto dei numeri precedenti e in grado di comprovarlo: responsabilizzazione.

Art. 6 (Liceità del trattamento) Valutazioni del titolare sulla liceità del trattamento

(Responsabilizzazione)

Laddove il trattamento per una finalità diversa da quella per la guale i dati personali sono stati raccolti non sia basato sul consenso dell'interessato o su un atto legislativo dell'Unione o degli stati membri il titolare del trattamento tiene conto, tra l'altro:

• di ogni nesso tra le finalità per cui i dati personali sono stati raccolti e le finalità dell'ulteriore trattamento previsto;
• del contesto in cui i dati personali sono stati raccolti, inparticolare relativamente alla relazmne tra l'interessato e il titolare del trattamento;
• della natura dei dati personali, specialmente se siano trattate categorie particolari di dati personali, oppure se Stano trattati dati relativi a condanne penali e a reati;
• delle possibili conseguenze dell’ulteriore trattamento previsto per gli interessati;
• dell'esistenza di garanzie adeguate, che possono comprendere la cifratura o la pseudonimizzazione.

Articolo 7 - Condizioni per il consenso

Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali.

Prima di esprimere il proprio consenso, l'interessato è informato di ciò.

Nel valutare se il consenso sia stato liberamente prestato, si tiene nella massima considerazione l'eventualità che l'esecuzione di un contratto, compresa la prestazione di un servizio, sia condizionata alla prestazione del consenso al trattamento di dati personali non necessario all'esecuzione di tale contratto.

CAPO IV - Titolare del trattamento e responsabile del trattamento

Sezione 1

Obblighi generali

Articolo 24

Responsabilità del titolare del trattamento

1. Tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.
2. Se ciò è proporzionato rispetto alle attività di trattamento, le misure di cui al paragrafo 1 includono l'attuazione di politiche adeguate in materia di protezione dei dati da parte del titolare del trattamento.
3. L'adesione ai codici di condotta di cui all'articolo 40 o a un meccanismo di certificazione di cui all'articolo 42 può essere utilizzata come elemento per dimostrare il rispetto degli obblighi del titolare del trattamento.

Articolo 25

Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita [Privacy by default]

1. Tenendo conto dello stato dell'arte e dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate volte ad attuare in modo efficace i principi di protezione dei dati e a integrare nel trattamento le necessarie garanzie al fine di soddisfare i requisiti del presente regolamento e tutelare i diritti degli interessati.
2. Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento.

Articolo 26

Contitolari del trattamento [Joint controller - Responsabilità solidale]

1. Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le risgettive resgonsabilità in merito all'osservanza degli obblighi derivanti dal presente regolamento, con particolare riguardo all'esercizio dei diritti dell'interessato.

Articolo 28

Responsabile del trattamento

1. Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato.

I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento.

Articolo 30.1.

Registri delle attività di trattamento del titolare.

1. Ogni titolare del trattamento tiene un registro delle attività di trattamento svolte sotto la propria responsabilità. ale registro contiene tutte le seguenti informazioni:

• il nome e i dati di contatto del titolare e del responsabile del trattamento
• le finalità del trattamento;
• una descrizione delle categorie di interessati e delle categorie di dati personali;
• le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali;
• la documentazione delle garanzie adeguate;
• i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
• una descrizione generale delle misure di sicurezza tecniche e organizzative

Registro delle attività di trattamento del Responsabile (30.2)

2. Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante tengono un registro di tutte e categorie | attrvrta re attve al trattamento svolte per conto di un titolare del trattamento, contenente:

• il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce || responsabile del trattamento, del rap resentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, el responsabile della protezione dei dati;
• le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento;
• ove applicabile, i trasferimenti di dati Personali verso un [paese terzo o un'organizzazione internazionale, compresa l'identi icazione el paese terzo o de l'organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell'articolo 49, la documentazione delle garanzie adeguate;
• dove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative di cui all'articolo 32, aragrafo 1.3. I registri di cui ai paragrafi 1 e 2 sono tenuti in forma scritta, anche in formato e ettronico.

1. Su richiesta, il titolare del trattamento o il responsabile del trattamento e, ove ap licabile, il rappresentante del titolare del trattamento o del responsabile del trattamento mettono i registro a disposizione dell'autorità di controllo.
2. Gli obblighi di cui ai paragrafi 1 e 2 non si applicano alle imprese o organizzazioni con meno di 250 dipendenti, a meno che il trattamento che esse effettuano possa presentare un rischio per i diritti e le libertà dell'interessato il trattamento non sia occasionale o includa il trattamento di categorie particolari di dati di cui all'articolo 9 paragrafo 1 [dati sensibili] o i dati personali relativi a condanne penali e a reati di cui all'articolo 10.

Articolo 35 -Valutazione d'impatto sulla protezione dei dati

1. Quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, puo presentare unrischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, (prima di procedere al trattamento, una valutazmne dell'impatto dei trattamenti prev1sti sulla protezrone dei dati personali, Una singola valutazione può esaminare un insieme di trattamenti simili che presentano rischi elevati analoghi.
2. Il titolare del trattamento, allorquando svolge una valutazione d'impatto sulla protezione dei dati, si consulta con il responsabile della protezione dei dati, qualora ne sra desugnato uno.
3. La valutazione d'impatto sulla protezione dei dati di cui al paragrafo 1 è richiesta in particolare nei casi seguenti:

• una valutazione sistematica e globale di asFetti personali relativi a persone fisiche, basata su un trattamentoautomatizzato, compresa la pro “azione, e sulla quale sr fondanodecrsronr che hanno effetti giuridici o |neldono in modo analogo stgniflcativamente su dette persone fismhe;
• il trattamento, su lar a scala di cate orie articolari di dati personali di cui all'articolo 9, paragrafo 1, o di dati relativi a condanne penat e a reati di cur a 'arttcolo 10; o
• la sorveglianza sistematica su larga scala di una zona accessibile al pubblico.

1. L'autorità di controllo redige e rende pubblico un elenco delle tipologie di trattamenti soggetti al requisito di una valutazione d'impatto sulla protezione dei dati ai senst del paragrafo 1. L'autorita di controllo comunica tali elenchi al comitato di cur all'articolo 68…
2. L'autorità di controllo può inoltre redigere e rendere pubblico un elenco delle ti ologie di trattamenti perle quali non è richiesta una valutazione d'impatto sulla protezione dei dati. 'autorita di controllo comunica tali elenchi al comitato.
3. Prima di adottare gli elenchi di cui ai para rati 4 e 5, l'autorità di controllo competente applica il meccanismo di coerenza di cui all'articolo 3 se tali elenchi comprendono attivrtà di trattamento finalizzate all'offerta di beni o servizi a interessati 0 al monitoraggio del loro comportamento in piu Stati membri, o attività di trattamento che possono incidere significativamente sulla libera circolazione dei dati personali all'interno dell'Unione…

Contenuto valutazione d’impatto (35)

1. La valutazione contiene almeno:

• una descrizione sistematica dei trattamenti previsti e delle finalità del trattamento, compreso, ove applicabile, l'interesse legittimo persegurto dal titolare del trattamento;
• una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità;
• una valutazione dei rischi per i diritti e le libertà degli interessati di cui al paragrafo 1; e
• le misure reviste er affrontare i rischi, includendo le garanzie, le misure di sicurezza e i meccanismi per garantire la protezrone dei dati personali e dimostrare la conformità al presente regolamento, tenuto conto dei diritti e degli interessi legittimi degli interessati e delle altre persone in questione.

1. Nel valutare l'impatto del trattamento effettuato dai relativi titolari o responsabili e tenuto in debito conto il rispetto da parte di questi ultimi dei codici di condotta approvati di cui all'articolo 40, in particolare ai fini di una valutazione d'impatto sulla protezione dei dati.
2. Se del caso, il titolare del trattamento raccoglie le opinioni degli interessati 0 dei loro rappresentanti sul trattamento previsto, fatta salva la tutela degli interessi commerciali o pubblici o la Sicurezza dei trattamenti.
3. Qualora il trattamento effettuato ai sensi dell'articolo 6, paragrafo 1, lettere o) o e) (obbligo di legge e interesse pubblico), trovi nel diritto dell'Unione o nel diritto dello Stato membro cui il tito are del trattamento è soggetto una base giuridica, tale diritto disciplini il trattamento specifico o l'insieme di trattamenti in questione, e sia già stata effettuata una valutazione d'impatto sulla protezione dei dati nell'ambito di una valutazione d'impatto generale nel contesto dell'adozione di tale base giuridica, i aragrafi da 1 a 7 non si applicano, salvo che gli Stati membri ritengano necessario effettuare ale valutazione prima di procedere alle attività di trattamento.
4. Se necessario,; il titolare del trattamento procede a un riesameper valutare se il trattamento dei dati personali sia e ettuato con ormemente aia va utaZ|one d'lmgatto sula protezmne dei dati almeno quando insorgono variazioni del rischio rappresentato dale attività relative al trattamento.

Articolo 36

Consultazione preventiva.

1. Il titolare del trattamento, prima di procedere al trattamento, consulta l'autorità di controllo qualora la valutazione d'impatto sulla protezione dei dati a norma dell'articolo 35 indichi che il trattamento resenterebbe un rischio elevato in assenza di misure adottate dal titolare el trattamento per attenuare il rischio.
2. Se ritiene che il trattamento previsto di cui al paragrafo 1 violi il presente regolamento, in particolare qualora il titolare del trattamento non abbia identificato o attenuato sufficientemente il rischio, l'autorità di controllo fornisce, entro un termine di otto settimane dal ricevimento della richiesta di consultazione, un parere scritto al titolare del trattamento e, ove ap licabile, al responsabile del trattamento e può avvalersi dei poteri di cui a l'articolo
3. Tale periodo può essere prorogato di sei settimane, tenendo conto della complessità del trattamento previsto. L'autorità di controllo informa il titolare del trattamento e, ove applicabile, il responsabile del trattamento di tale proroga, unitamente ai motivi del ritardo, entro un mese dal ricevimento della richiesta di consultazione La decorrenza dei termini può essere sospesa fino all ottemmento da parte dell' autorità di controllo delle informazioni richieste ai fini della consultazione.

Sezione 4

RESPONSABILE DELLA PROTEZIONE DEI DATI (DPO Privacy Officer)

Articolo 37 - Designazione del responsabile della protezione dei dati

1. Il titolare del trattamento e il responsabile del trattamento designano srstematicamente un responsabile della protezione dei dati ogniqualvolta:

• il trattamento è effettuato da un'autorità pubblica o da un organismo pubblico, eccettuate le autorità giurisdizmnali quando esercrtano le loro funzioni giurisdizionali;
• le attività principali del titolare del trattamento o del responsabile del trattamento consrstono in trattamenti che, per loro natura, ambito di applrcazrone e/o finalità, richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; oppure
• le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all'articolo 9 o di dati relatrw a condanne penali e a reati di cui all'articolo 10.

Articolo 38-Posizione del responsabile della protezione dei dati

1. Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezrone dei dati era tempestivamente e adeguatamente coinvolto in tutte le questioni riguardanti la protezione dei dati personali.
2. Il titolare del trattamento e il responsabile del trattamento sostengono il responsabile della protezione dei dati nell'esecuzione dei compiti fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica.
3. Il titolare del trattamento e il responsabile del trattamento si assicurano che il responsabile della protezione dei dati non riceva alcuna istruzione per guanto riguarda l'esecuzmne di tali compiti. Il responsabile della protezione dei dati non è rimosso o penalizzato dal titolare del trattamento o dal responsabile del trattamento per l'adempimento dei propri compiti. Il responsabile della protezmne dei dati riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento.
4. Gli interessati possono contattare il responsabile della protezione dei dati per tutte le guestioni relative al trattamento dei loro dati personali e all'esercrzro dei loro diritti derivanti dal presente regolamento.

Articolo 39-Compiti del responsabile della protezione dei dati

1. Il responsabile della protezione dei dati è incaricato almeno dei seguenti compiti:

• informare e fornire consulenza al titolare del trattamento o al responsabile del trattamento nonché ai dipendenti che eseguono il trattamento in merito agli obblighi relatwr alla protezmne dei dati;
• sorvegliare l'osservanza del presente regolamento, di altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche del titolare del trattamento o del responsabile del trattamento in materia di protezione dei dati personali, compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di contro 0;
• fornire, se richiesto, un parere in merito alla valutazione d'impatto sulla protezione dei dati e sorvegltarne lo svolgimento ai sensr dell'articolo 35;
• cooperare con l'autorità di controllo; e
• fungere da punto di contatto per l'autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all'articolo 36, ed effettuare, se del caso, consultano… relativamente a qualunque altra questione.

1. Nell'eseguire i propri compiti il responsabile della protezione dei dati considera debitamente i rischi inerenti al trattamento, tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del medesimo.

CAPO VIII

MEZZI DI RICORSO, RESPONSABILITÀ E SANZIONI

Articolo 82 - Diritto al risarcimento e responsabilità

1. Chiunque subisca un danno materiale o immateriale causato da una violazione del presente regolamento ha il diritto di ottenere il risarcimento del danno dal titolare del trattamento o dal responsabile del trattamento.
2. Un titolare del trattamento coinvolto nel trattamento risponde per il danno cagionato dal suo trattamento che violi il presente regolamento. Unr responsabile del trattamento risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del presente regolamento specificatamente diretti ai responsabili del trattamento o ha agito in modo difforme o contrario rispetto alle legittime istruzioni del titolare del trattamento.
3. Qualora più titolari del trattamento o responsabili del trattamento siano coinvolti nello stesso trattamento e siano responsabili dell'eventuale danno causato dal trattamento, ognuno è responsabile in solido per l'intero ammontare del danno, al fine di garantire il risarcimento effettivo dell'interessato.

Articolo 83 - Condizioni generali per infliggere sanzioni amministrative pecuniarie

1. Ogni autorità di controllo provvede affinché le sanzioni amministrative pecuniarie inflitte siano in ogni singo 0 caso eiîettive proporzionate e dissuasrve.
2. Le sanzioni amministrative pecuniarie sono inflitte, in aggiunta alle misure di cui all'articolo 58. Al momento di decidere se infliggere una sanzione amministrativa pecuniaria e di fissare l'ammontare della stessa in ogni Singolo caso sr irene debito conto dei seguenti elementi:

• la natura la gravità e la durata della violazione tenendo in considerazione la natura, l’oggetto o a finalita del trattamento in questione nonche il numero di interessati lesr dal danno e || livello del danno da essr subito;
• il carattere doloso o colposo della violazione;
• le misure adottate dal titolare del trattamento o dal responsabile del trattamento per attenuare il danno subito dagli interessati;
• il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto;
• eventuali precedenti violazioni pertinenti commesse dal titolare del trattamento o dal responsabile del trattamento;
• il grado .di. cooperazione con l'autorità di controllo al fine di porre rimedio alla violazione e attenuarne i possrbili effetti negatrvr;
• le categorie di dati personali interessate dalla violazione.

Condizioni per le sanzioni amministrative pecuniarie (83)

La violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 10.000.000 EUR, 0 per le imprese, fino al 2 % del fatturato mondiale totale annuo dell'esercizio precedente, se superiore:

• gli obblighi del titolare del trattamento e del responsabile del trattamento a norma degli articoli 8, 11, da 25 a 39, 42 e 43;
• gli obblighi dell'organismo di certificazione a norma degli articoli 42 e 43;
• gli obblighi dell’organismo di controllo a norma dell'articolo 41, paragrafo 4;

Sanzioni amministrative pecuniarie (83)

La violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 20.000.000 EUR, o per le imprese, fino al 4% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore:

• i principi di base del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9;
• i diritti degli interessati a norma degli articoli da 12 a 22;
• i trasferimenti di dati personali a un destinatario in un paese terzo o un'organizzazione internazionale a norma degli arttcoli da 44 a 49;
• qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX;
• l'inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell'autorità di controllo ai sensi dell'articolo 58, paragrafo 2, o il negato accesso in violazione dell'articolo 58, paragrafo 1.