2) Chi è il responsabile della protezione dei dati personali (RPD) e quali sono i suoi compiti?
Il responsabile della protezione dei dati personali (anche conosciuto con la dizione in lingua inglese data protection officer – DPO) è la figura prevista dall'articolo 37 del Regolamento (UE) 2016/679: è il soggetto incaricato, dal titolare o dal responsabile del trattamento, per assolvere a funzioni di supporto e di controllo, consultive, formative e informative relativamente all'applicazione del Regolamento stesso. Coopera con l'Autorità (e proprio per questo, il suo nominativo va comunicato al Garante) e costituisce il punto di contatto, anche rispetto agli interessati, per le questioni connesse al trattamento dei dati personali (articoli 38 e 39 del Regolamento).
3) Quali requisiti deve possedere il responsabile della protezione dei dati personali?
Il responsabile della protezione dei dati personali RPD, al quale non sono richieste specifiche attestazioni formali o l'iscrizione in appositi Albi, deve possedere un'approfondita conoscenza della normativa e delle prassi in materia di privacy, nonché delle norme e delle procedure amministrative che caratterizzano lo specifico settore di riferimento. Deve essere in grado di offrire, con il grado di professionalità adeguato alla complessità del compito da svolgere, la consulenza necessaria per progettare, verificare e mantenere un sistema organizzato di gestione dei dati personali, coadiuvando il titolare nell'adozione di un complesso di misure (anche di sicurezza) e garanzie adeguate al contesto in cui è chiamato a operare. Deve agire in piena indipendenza ed autonomia, senza ricevere istruzioni e riferendo direttamente ai vertici. Il responsabile della protezione dei dati personali deve poter disporre di risorse (ad esempio di personale, locali, attrezzature, ecc.) necessarie per l'espletamento dei propri compiti.
4) Chi sono i soggetti privati obbligati alla sua designazione?
Sono tenuti alla designazione del responsabile della protezione dei dati personali RPD il titolare ed il responsabile del trattamento che rientrino nei casi previsti dall'articolo 37, par. 1, lett. b) e c), del Regolamento (UE) 2016/679: sono i soggetti le cui principali attività consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala od in trattamenti su larga scala di categorie particolari di dati personali o di dati relative a condanne penali e a reati. Sono tenuti alla nomina, a titolo esemplificativo e non esaustivo: istituti di credito; imprese assicurative; sistemi di informazione creditizia; società finanziarie; società di informazioni commerciali; società di revisione contabile; società di recupero crediti; istituti di vigilanza; partiti e movimenti politici; sindacati; caf e patronati; società operanti nel settore delle "utilities" (telecomunicazioni, distribuzione di energia elettrica o gas); imprese di somministrazione di lavoro e di ricerca del personale; società operanti nel settore della cura della salute, della prevenzione/diagnostica sanitaria quali ad esempio ospedali privati, terme, laboratori di analisi mediche e centri di riabilitazione; società di call center; società che forniscono servizi informatici; società che erogano servizi televisivi a pagamento.
5) Quali sono i soggetti per i quali non è obbligatoria la designazione del responsabile della protezione dei dati personali?
La designazione del responsabile del trattamento non è obbligatoria, ad esempio, in relazione ai trattamenti effettuati da liberi professionisti operanti in forma individuale; agenti, rappresentanti e mediatori operanti non su larga scala; imprese individuali o familiari; piccole e medie imprese, con riferimento ai trattamenti dei dati personali connessi alla gestione corrente dei rapporti con fornitori e dipendenti. In ogni caso, resta comunque raccomandata, anche alla luce del principio di "accountability" che permea il Regolamento, la designazione di tale figura.
6) Il responsabile della protezione dei dati personali deve essere un soggetto interno o può essere anche un soggetto esterno? Quali sono le modalità per la sua designazione?
Il ruolo di responsabile della protezione dei dati personali può essere ricoperto dal titolare dell'impresa o da un dipendente che conosca la realtà operativa in cui avvengono i trattamenti; l'incarico può essere anche affidato a soggetti esterni, a condizione che garantiscano l'effettivo assolvimento dei compiti che il Regolamento (UE) 2016/679 assegna a tale figura. Il responsabile della protezione dei dati scelto all'interno andrà nominato mediante specifico atto di designazione, mentre quello scelto all'esterno, che dovrà avere le medesime prerogative e tutele di quello interno, dovrà operare in base a un contratto di servizi. Tali atti, da redigere in forma scritta, dovranno indicare espressamente i compiti attribuiti, le risorse assegnate per il loro svolgimento, nonché ogni altra utile informazione in rapporto al contesto di riferimento.Nell'esecuzione dei propri compiti, il responsabile della protezione dei dati personali (interno o esterno) dovrà ricevere supporto adeguato in termini di risorse finanziarie, infrastrutturali e, ove opportuno, di personale.
Il titolare od il responsabile del trattamento che abbia designato un responsabile per la protezione dei dati personali resta comunque pienamente responsabile dell'osservanza della normativa in materia di protezione dei dati e deve essere in grado di dimostrarla.
I dati di contatto del responsabile designato dovranno essere infine pubblicati dal titolare o responsabile del trattamento. Non è necessario - anche se potrebbe rappresentare una buona prassi - pubblicare anche il nominativo del responsabile della protezione dei dati: spetta al titolare o al responsabile e allo stesso responsabile della protezione dei dati, valutare se, in base alle specifiche circostanze, possa trattarsi di un'informazione utile o necessaria.
Il nominativo del responsabile della protezione dei dati e i relativi dati di contatto devono essere invece comunicati all'Autorità di controllo.
7) Il ruolo di responsabile della protezione dei dati personali è compatibile con altri incarichi?
Si, a condizione che non sia in conflitto di interessi. In tale prospettiva, appare preferibile evitare di assegnare il ruolo di responsabile della protezione dei dati personali a soggetti con incarichi di alta direzione (amministratore delegato; membro del consiglio di amministrazione; direttore generale; ecc.), ovvero nell'ambito di strutture aventi potere decisionale in ordine alle finalità e alle modalità del trattamento (direzione risorse umane, direzione marketing, direzione finanziaria, responsabile IT, ecc.). Da valutare, in assenza di conflitti di interesse e in base al contesto di riferimento, l'eventuale assegnazione di tale incarico ai responsabili delle funzioni di staff (ad esempio, il responsabile della funzione legale).
8) Il responsabile della protezione dei dati personali è una persona fisica o può essere anche un soggetto diverso?
Il Regolamento (UE) 2016/679 prevede espressamente che il responsabile della protezione dei dati personali possa essere un "dipendente" del titolare o del responsabile del trattamento: nelle realtà organizzative di medie e grandi dimensioni, il responsabile della protezione dei dati personali, da individuarsi comunque in una persona fisica, potrà essere supportato anche da un apposito ufficio dotato delle competenze necessarie ai fini dell'assolvimento dei propri compiti. Qualora il responsabile della protezione dei dati personali sia individuato in un soggetto esterno, quest'ultimo potrà essere anche una persona giuridica.
Si raccomanda, in ogni caso, di procedere a una chiara ripartizione di competenze, individuando una sola persona fisica atta a fungere da punto di contatto con gli interessati e l'Autorità di controllo.
9) Cosa è il diritto all'oblio?
La norma sancisce il diritto ad ottenere la cancellazione dei propri dati personali dalle notizie e anche dai motori di ricerca qualora il motivo che ha reso legittima la pubblicazione di quel dato non sia più di pubblica utilità (come, per esempio, nell’ipotesi di una persona che è stata assolta da un’accusa di cui i giornali e le testate online avevano dato notizia). Questo diritto si estende anche ai casi in cui un soggetto chiede la cancellazione dei propri dati personali, così revocando il consenso al trattamento concesso per fruire di un determinato servizio. Il diritto all’oblio del cittadino potrà essere limitato solo per garantire la libertà di espressione volta alla tutela di un interesse generale (ad esempio la salute pubblica) o quando i dati trattati in forma anonima dal titolare del trattamento siano necessari per la ricerca storica o per finalità scientifiche o statistiche.
10) Quando è lecito il trattamento dei dati personali?
Solo se ricorre almeno una delle seguenti condizioni:
a) l'interessato ha espresso il consenso al trattamento dei prori dati;
b) il trattamento è necessario all'esecuzione di un contratto o di misure precontrattuali;
c) il trattamento è necessario per adempiere ad un obbligo di Legge;
d) il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica;
e) il trattamento è necessaro per la salvaguardia di un compito di interesse pubblico;
f) il trattamento è necessario per il perseguimento del legittimo interesse dell'interessato.
11) Quali sono le condizioni per il consenso al trattamento dei propri dati personali?
Se il trattamento è basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali. La richiesta di consenso deve essere presentata in forma facilmente comprensibile ed accessibile, utilizzando un linguaggio semplice e chiaro. L'interessato ha il diritto di revocare il consenso in qualsiasi momento.
12) Possono essere trattati i dati che rivelino l'origine razziale od etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, i dati genetici o biometrici, i dati relativi alla salute od alla vita sessuale della persona?
E' vietato. Il trattamento è ammesso solo se l'interessato ha prestato il proprio consenso esplicto al trattamento di tali dati personali per una o più finalità specifiche. E' ammesso anche nei seguenti casi: necessità di assolvere agli obblighi ed esercitare diritti in materia di diritto del lavoro e della sicurezza sociale; per tutelare un interesse vitale dell'interessato o di un'altra persona fisica; quando il trattamento è effettuato da una fondazione, da un'associazione od altro organismo senza scopo di lucro che persegue finalità politiche, religiose o sindacali; i dati trattati sono resi manifestamente pubblici dall'interessato.
13) Quali sono le informazioni da fornire?
1) L' identità e i dati di contatto del titolare del trattamento e del suo rappresentante;
2) I dati di contatto del responsabile della protezione dei dati;
3) Le finalità del trattamento cui sono destinati i dati personali nonchè la base giuridica del trattamento;
4) Gli eventuali destinatari dei dati personali.
Inoltre, per garantire un trattamento corretto e trasparente, è necessario fornire all' interessato anche le seguenti informazioni:
1) il periodo di conservazione dei dati personali;
2) l'esistenza del diritto di chiedere al titolare l' accesso ai dati personali e la rettifica o cancellazione degli stessi, oltre al diritto alla portabilità dei dati;
3) il diritto di proporre reclamo a un' autorità di controllo;
4) se la comunicazione di dati personali è un obbligo legale o contrattuale o un requisito necessario per la conclusione di un contratto e se l' interessato ha l' obbligo di fornire i dati personali;
5) l'esistenza di un processo decisionale autorizzato.
14) L'informativa deve essere effettuata “una tantum” o va rinnovata periodicamente?
L'informativa deve essere fornita all'inizio del rapporto e vale a tempo indeterminato. Se i dati sono utilizzati per finalità di marketing, di profilazione,ecc., è necessario integrare l'informativa ed acquisire un consenso specifico.
L’informativa può essere fornita per iscritto, oralmente su richiesta della persona quando la sua identità è dimostrata con altri mezzi o per via elettronica. L’impresa deve farlo in modo conciso, trasparente, comprensibile e facilmente accessibile, in un linguaggio chiaro e semplice e gratuitamente. Quando i dati sono ottenuti da un’altra azienda/organizzazione, è necessario fornire alla persona tali informazioni al più tardi entro un mese dal momento in cui si sono ottenuti i dati personali; oppure, nel caso in cui si comunichi con la persona, quando i dati vengono utilizzati per comunicare con lei; oppure, se è prevista la divulgazione a un’altra società, quando i dati personali vengono divulgati per la prima volta.
L’impresa è inoltre tenuta a comunicare alla persona le categorie di dati e la fonte da cui ha ottenuto i dati; e, nel caso li ha ottenuti da fonti accessibili al pubblico, deve fornire anche questa informazione. In circostanze specifiche elencate all'articolo 13, paragrafo 4, e all'articolo 14, paragrafo 5, del GDPR, può essere esonerato dall’obbligo di informare la persona
L’impresa deve, inoltre, verificare che l’informativa sia: concisa, trasparente, intelligibile per l’interessato e facilmente accessibile, con un linguaggio chiaro e semplice.
17) Chi è il Titolare del Trattamento?
E' colui che "da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali. Può essere "la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento dei dati personali ed agli strumenti utilizzati, ivi compreso il profilo della sicurezza". In sostanza il titolare è colui che tratta i dati senza ricevere istruzioni da altri, colui che decide "perché" e "come" devono essere trattati i dati.
Il titolare del trattamento non è chi gestisce i dati, ma chi decide il motivo e le modalità del trattamento, ed è responsabile giuridicamente dell'ottemperanza degli obblighi previsti dalla normativa, sia nazionale che internazionale, in materia di protezione dei dati personali, compreso l'obbligo di notifica al Garante nei casi previsti.
Il titolare del trattamento deve quindi porre in atto misure tecniche ed organizzative adeguate per garantire, sin dalla fase della progettazione, la tutela dei diritti dell'interessato.
Il titolare nomina con contratto o atto giuridicamente valido, il responsabile del trattamento, insieme al quale pone in atto le misure tecniche ed organizzative congrue per garantire un livello di sicurezza adeguato al rischio. Il responsabile deve garantire una conoscenza specialistica della materia, e l'attuazione delle misure tecniche e organizzative in grado di soddisfare i requisiti stabilitl dal regolamento europeo, oltre una particolare affidabilità, un requisito fondato su aspetti etici e deontologici (ad esempio, l'assenza di condanne penali).
Inoltre, il titolare del trattamento, ed il responsabile, sono tenuti alla redazione del registro dei trattamenti.
18) Quando è obbligatoria la valutazione di impatto sulla protezione dei dati (DPIA)? (Fonte Autorità Belga per la Protezione dei Dati)
Trattamenti che utilizzano dati biometrici per l’identificazione univoca di persone in un luogo pubblico o in un luogo privato accessibile al pubblico; quando i dati personali sono raccolti da terzi per essere successivamente utilizzati ai fini della decisione di rifiutare o di risolvere un determinato contratto di servizi con una persona fisica; quando il trattamento riguarda categorie particolari di dati personali, ai sensi dell’art. 9 GDPR, che sono (ri)utilizzati per uno scopo diverso da quello per il quale sono stati raccolti, tranne nel caso in cui il trattamento sia basato sul consenso dell’interessato o se è necessario per adempiere ad un obbligo legale a cui è sottoposto il titolare; quando il trattamento è eseguito utilizzando un apparato ed una violazione dei dati personali potrebbe compromettere la salute fisica dell’interessato; nel caso di trattamento su larga scala di dati personali di soggetti vulnerabili, compresi i bambini, per uno o più scopi diversi da quelli per i quali i dati sono stati raccolti; quando i dati sono raccolti su larga scala da terze parti per analizzare o prevedere la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, la posizione o il movimento di persone fisiche; quando particolari categorie di dati personali ai sensi dell’articolo 9 GDPR o dati di natura molto personale (come i dati sulla povertà, disoccupazione, partecipazione al lavoro giovanile o lavoro sociale, dati di attività domestiche e private, dati di localizzazione) sono sistematicamente scambiati tra diversi titolari; quando si tratta di elaborazione su larga scala di dati generati da dispositivi dotato di sensori che inviano dati via Internet o altri mezzi (Internet of Things, come smartTV, elettrodomestici intelligenti, giocattoli, smart cities, contatori intelligenti di energia, ecc.) e tale trattamento è utilizzato per analizzare o prevedere la situazione economica, la salute, le preferenze o gli interessi personali, l’affidabilità o il comportamento, la posizione o il movimento delle persone fisiche; quando si tratta di elaborazione su larga scala e/o sistematica di dati di telefonia, Internet o altri dati di comunicazione, metadati o dati di localizzazione di persone fisiche o che consentano di condurre a persone fisiche (ad es. tracciamento wifi o elaborazione dei dati sulla posizione dei viaggiatori nel trasporto pubblico); quando il trattamento non è strettamente necessario per l’esecuzione di un servizio richiesto dall’interessato; in caso di elaborazione automatizzata e sistematica di dati personali su larga scala in cui il comportamento delle persone fisiche è monitorato, raccolto, stabilito o influenzato, inclusi i trattamenti per scopi pubblicitari.
19) Quando non è obbligatoria la valutazione di impatto sulla protezione dei dati (DPIA)? (Fonte Autorità Belga per la Protezione dei Dati)
I trattamenti effettuati da privati necessari ad adempiere ad un obbligo normativo, e per i quali la legge abbia indicato gli scopi dell’elaborazione, le categorie di dati personali e le garanzie per prevenire abusi o accessi o trasferimenti illegittimi; il trattamento relativo esclusivamente ai dati necessari per l’amministrazione degli stipendi dei dipendenti del Titolare, quando i dati sono utilizzati unicamente per tale finalità, sono comunicati solo ai destinatari autorizzati a tale scopo e non sono conservati più a lungo del tempo necessario per conseguire la finalità del trattamento; il trattamento relativo esclusivamente all’amministrazione dei dipendenti del Titolare, nella misura in cui tale trattamento non coinvolge i dati relativi alla salute degli interessati o altre particolari categorie di dati di cui all’art. 9 GDPR o dati di cui all’art. 10 GDPR, ed i dati personali non sono conservati più a lungo del tempo richiesto per la finalità di amministrazione del personale e sono comunicati a terzi solo se previsto da una disposizione di legge o regolamentare o per la realizzazione delle finalità del trattamento; trattamenti di dati personali che riguardano esclusivamente la contabilità del Titolare, quando i dati vengono utilizzati esclusivamente per tale finalità, e purché i dati personali non sono conservati più a lungo del tempo necessario al conseguimento delle finalità del trattamento ed i dati personali trattati sono comunicati a terzi in base ad una previsione di legge o la comunicazione è necessaria per la contabilità; il trattamento di dati personali relativi all’amministrazione di azionisti e soci quando il trattamento riguarda solo i dati necessari per tale amministrazione, e sono comunicati a terzi esclusivamente in base ad una previsione di legge o regolamentare e non vengono conservati oltre il tempo necessario per raggiungere gli scopi del trattamento; il trattamento di dati personali da parte di una fondazione, associazione o qualsiasi altra istituzione senza scopo di lucro in occasione delle sue attività abituali, a condizione che il trattamento riguardi esclusivamente i dati personali relativi ai propri membri, alle persone con cui il Titolare mantiene contatti regolari quali beneficiari, purché non vi siano dati ottenuti da terzi, e che i dati non vengano conservati più a lungo del tempo richiesto per l’amministrazione e siano comunicati a terzi solo in presenza di una disposizione di legge o regolamentare; il trattamento di dati personali relativo alla registrazione dei visitatori per il controllo accessi, quando i dati elaborati sono limitati al nome ed indirizzo professionale del visitatore, all’identificazione del suo datore di lavoro, all’identificazione del veicolo, al nome, la sezione e la funzione della persona visitata ed al momento della visita, ed i dati non sono conservati oltre il tempo necessario alla finalità di controllo accessi; il trattamento di dati personali da parte di istituti di formazione per la gestione dei loro rapporti con gli alunni e studenti, purché il trattamento si riferisca solo a studenti attuali e potenziali o ad ex studenti e non vengano trattati dati ottenuti da terzi, e la comunicazione avvenga unicamente sulla base di una disposizione normativa o regolamentare ed il dato non sia conservato per un periodo superiore a quello necessario a mantenere la comunicazione tra lo studente e l’istituto; il trattamento di dati personali relativi esclusivamente alla gestione dei clienti e fornitori del Titolare, purché il trattamento riguardi solo clienti e fornitori attuali o precedenti e non siano ricomprese particolari categorie di dati, ex art. 9 GDPR o dati di cui all’art. 10 GDPR, e per quanto riguarda l’amministrazione della clientela, non vengano registrati dati forniti da terzi, ed i dati siano conservati per il periodo necessario alla normale gestione della clientela del Titolare e siano comunicati a terzi solamente in base ad una norma di legge o di regolamento o nel quadro della normale gestione aziendale.
20) Cosa devo fare se ricevo un curriculum vitae?
Il Regolamento non prevede specifiche disposizioni in caso di ricezione di un curriculum ai fini dell'eventuale instaurazione di un rapporto di lavoro. Lo schema di decreto legislativo di adeguamento dell’ordinamento interno alla nuova disciplina, invece, conferma quanto già previsto dall’attuale Codice. Si prevede, infatti, che l’impresa non debba rendere l’informativa e acquisire il consenso dell'interessato nel momento in cui si riceve un curriculum spontaneamente trasmesso. L’impresa dovrà fornire l’informativa al momento del primo contatto successivo all'invio del curriculum. Eventuali ulteriori indicazioni sul tema saranno date dopo l’approvazione definitiva, da parte del Governo, del provvedimento che è attualmente all’esame del Parlamento.
21) Come deve essere provata l’acquisizione del consenso?
L’impresa deve essere in grado di dimostrare che l’interessato ha prestato inequivocabilmente il consenso a uno specifico trattamento. La forma scritta non è obbligatoria, tuttavia è consigliabile per l’impresa acquisire, ove possibile, il consenso per iscritto oppure, nel caso di servizi on-line, attraverso azioni positive (ad es. “flaggare” una casella o cliccare su un banner). In ogni caso il silenzio o l’inattività non equivale al consenso.
22) Il consenso ottenuto sulla base del vecchio Codice della privacy è ancora valido?
L’impresa deve revisionare il proprio modulo di acquisizione del consenso e adeguarlo alla novità. Per i trattamenti basati sul consenso a norma della precedente disciplina (ovvero tutti i trattamenti sino ad oggi avvenuti) non è necessario che l’impresa acquisisca nuovamente il consenso dell’interessato, se questo è stato espresso secondo modalità conformi al Regolamento. In caso contrario l’impresa deve acquisire nuovamente il consenso.
23) Come deve essere acquisito il consenso dei minori?
Il consenso dei minori in relazione ai servizi della società dell’informazione è valido a partire dai 16 anni; prima di tale età occorre il consenso dei genitori o di chi ne fa le veci.
24) Quali sono le categorie particolari di dati?
Per particolari categorie di dati (“dati sensibili”) si intendono:
a) i dati che rivelino: l'origine razziale o etnica; le opinioni politiche; le convinzioni religiose o filosofiche; l'appartenenza sindacale;
b) dati genetici (dato che risulta in particolare dall’analisi di un campione biologico della persona fisica);
c) dati biometrici (intesi a identificare in modo univoco una persona fisica, ad esempio le impronte digitali, la conformazione della retina o dell’iride, il timbro e tonalità di voce);
d) dati relativi alla salute (cartelle cliniche, risultati di esami di laboratorio, intolleranze, allergie ecc.);
e) dati relativi alla vita sessuale o all'orientamento sessuale;
f) dati giudiziari.
25) In quali condizioni l’impresa può trattare categorie particolari di dati?
Per il trattamento di particolari categorie di dati (dati sensibili) l’impresa deve acquisire il consenso dell’interessato, salvo alcuni casi particolari: ad esempio quando i dati personali sono resi manifestamente pubblici dall'interessato o quando il trattamento sia necessario per: assolvere gli obblighi ed esercitare i diritti in materia di diritto del lavoro e della sicurezza sociale e protezione sociale; esercitare o difendere un diritto in sede giudiziaria; valutare la capacità lavorativa del dipendente.
Ulteriori condizioni possono essere imposte dalla legislazione nazionale per il trattamento di dati genetici, dati biometrici o relativi alla salute.
26) Cosa si intende per "trattamento di dati su larga scala"?
Non è possibile precisare la quantità di dati oggetto di un trattamento od il numero di interessati che può rientrare in tale definizione ma il documento "Linee guida sui responsabili della protezion dei dati" redatto dal Gruppo di Lavoro ex Articolo 29 della Direttiva 95/46/UE raccomanda di tenere conto dei fattori seguenti per stabilire se un trattamento sia effettuato su larga scala:
- il numero di soggetti interessati dal trattamento, in termini assoluti ovvero espressi in percentuale della popolazione di riferimento;
- la durata, ovvero la persistenza, dell’attività di trattamento;
- la portata geografica dell’attività di trattamento.
Alcuni esempi di trattamento su larga scala sono i seguenti: trattamento di dati relativi a pazienti svolto da un ospedale nell’ambito delle ordinarie attività; trattamento di dati relativi agli spostamenti di utenti di un servizio di trasporto pubblico cittadino (per esempio, il loro tracciamento attraverso titoli di viaggio); trattamento di dati di geolocalizzazione raccolti in tempo reale per finalità statistiche da un responsabile del trattamento specializzato nella prestazione di servizi di questo tipo rispetto ai clienti di una catena internazionale di fast food; trattamento di dati relativi alla clientela da parte di una compagnia assicurativa o di una banca nell’ambito delle ordinarie attività; trattamento di dati personali da parte di un motore di ricerca per finalità di pubblicità comportamentale; trattamento di dati (metadati, contenuti, ubicazione) da parte di fornitori di servizi telefonici o telematici.
Alcuni esempi di trattamento non su larga scala sono invece i seguenti: trattamento di dati relativi a pazienti svolto da un singolo professionista sanitario; trattamento di dati personali relativi a condanne penali e reati svolto da un singolo avvocato.
27) Cosa si intende per "monitoraggio regolare e sistematico" di dati?
Il concetto di monitoraggio regolare e sistematico dei dati degli interessati non trova definizione all’interno del Regolamento (UE) 2016/679; tuttavia sono ricomprese nella definizione tutte le forme di tracciamento e di profilazione su internet, anche per finalità di pubblicità comportamentale.
L’aggettivo “regolare” ha almeno uno dei seguenti significati:
- che avviene in modo continuo ovvero a intervalli definiti per un arco di tempo definito;
- ricorrente o ripetuto a intervalli costanti;
- che avviene in modo costante o a intervalli periodici.
L’aggettivo “sistematico” ha almeno uno dei seguenti significati:
- che avviene per sistema;
- predeterminato, organizzato o metodico;
- che ha luogo nell’ambito di un progetto complessivo di raccolta di dati;
- svolto nell’ambito di una strategia.
Alcune esemplificazioni di attività che possono configurare un monitoraggio regolare e sistematico di interessati sono: curare il funzionamento di una rete di telecomunicazioni; la prestazione di servizi di telecomunicazioni; il reindirizzamento di messaggi di posta elettronica; attività di marketing basate sull’analisi dei dati raccolti; profilazione e scoring per finalità di valutazione del rischio (ad esempio, a fini di valutazione del rischio creditizio, definizione dei premi assicurativi, prevenzione delle frodi, accertamento di forme di riciclaggio); tracciamento dell’ubicazione, per esempio da parte di app su dispositivi mobili; programmi di fidelizzazione; pubblicità comportamentale; monitoraggio di dati relativi allo stato di benessere psicofisico, alla forma fisica e alla salute attraverso dispositivi indossabili; utilizzo di telecamere a circuito chiuso; dispositivi connessi quali contatori intelligenti, automobili intelligenti, dispositivi per la domotica, ecc..
28) Come comportarsi nel caso di traferimento di dati extra UE?
E' vietato il trasferimento di dati personali verso Paesi situati al di fuori dell’Unione europea od organizzazioni internazionali che non rispondono agli standard di adeguatezza in materia di tutela dei dati, rispetto ai quali il Regolamento introduce criteri di valutazione più stringenti. In mancanza di un riconoscimento di adeguatezza da parte della Commissione europea, i titolari potranno utilizzare per il trasferimento specifiche garanzie contrattuali, per le quali il Regolamento prevede norme dettagliate e vincolanti.
In assenza di garanzie contrattuali o riconoscimenti di adeguatezza, i dati possono essere trasferiti solo con il consenso esplicito dell’interessato, oppure se ricorrono particolari condizioni (ad esempio, quando il trasferimento è indispensabile per rispettare specifici obblighi contrattuali, per importanti motivi di interesse pubblico, per esercitare o difendere un diritto in sede giudiziaria, ecc.). Il trasferimento o la comunicazione di dati personali di un cittadino dell’Ue ad autorità giudiziarie od amministrative di Paesi terzi può avvenire solo sulla base di accordi internazionali di mutua assistenza giudiziaria od attraverso strumenti analoghi.
29) Quali sono gli obblighi nel caso di "data breach"?
Il titolare del trattamento deve comunicare eventuali violazioni dei dati personali (data breach) all’Autorità nazionale di protezione dei dati: se la violazione dei dati rappresenta una minaccia per i diritti e le libertà delle persone, il titolare deve informare in modo chiaro, semplice ed immediato anche tutti gli interessati ed offrire indicazioni su come intende limitare le possibili conseguenze negative.
Il titolare del trattamento può decidere di non informare gli interessati se riterrà che la violazione non comporti un rischio elevato per i loro diritti (quando non si tratti, ad esempio, di frode, furto di identità, danno di immagine, ecc.), oppure se dimostra di avere adottato misure di sicurezza (come la cifratura) a tutela dei dati violati, oppure, infine, nell’eventualità in cui informare gli interessati potrebbe comportare uno sforzo sproporzionato (ad esempio, se il numero delle persone coinvolte è elevato). In questo ultimo caso, è comunque richiesta una comunicazione pubblica o adatta a raggiungere quanti più interessati possibile (ad esempio, tramite un’inserzione su un quotidiano o una comunicazione sul sito web del titolare).
L’Autorità di protezione dei dati può comunque imporre al titolare del trattamento di informare gli interessati sulla base di una propria autonoma valutazione del rischio associato alla violazione.