Confabitare

Scritto da admin on 17 Gennaio 2019. Postato in Aggiornamenti

Una lettura guidata alla recente normativa in materia di privacy

Regolamento UE n. 2016/679 e D.lgs. n. 196/2003 così come modificato dal D.lgs. n. 101/2018

“Le risposte sono contenute nelle norme”

mi sentii consigliare agli inizi della professione forense.

Perché è stato emanato il regolamento europeo sulla protezione dei dati?

La privacy è un diritto fondamentale dell’uomo

La Carta dei diritti fondamentali dell’Unione Europea sancisce che ogni persona ha il diritto alla protezione dei dati di carattere personale che la riguardano (art. 8).

Il regolamento UE 2016/679, pienamente applicabile dal 25 maggio 2018, tende a contribuire alla realizzazione di uno spazio di libertà, giustizia e di unione economica, al progresso economico e sociale, al rafforzamento e alla convergenza delle economie nel mercato nonché garantire un’applicazione coerente ed omogenea delle norme a protezione dei dati personali e delle libertà fondamentali delle persone fisiche in tutta l’Unione Europea, sfidando la rapidità dell’evoluzione tecnologica e della globalizzazione.

Il titolare del trattamento come deve trattare i dati personali di persone fisiche individuate o individuabili?

I dati personali devono essere:

– raccolti per finalità determinate, esplicite e legittime;

– adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (minimizzazione dei dati);

– esatti ed aggiornati;

– trattati in modo lecito, corretto e trasparente nei confronti dell’interessato;

– trattati in maniera da garantire un’adeguata sicurezza dei dati (integrità e riservatezza);

– conservati in una forma che consenta l’identificazione degli interessati per un arco temporale non superiore al conseguimento delle finalità perseguite (limitazione alla conservazione).

Quali sono, dunque, gli adempimenti che il titolare del trattamento deve adottare per adeguarsi?

1) Compiere un’analisi preliminare della situazione concreta e dei rischi per la protezione dei dati personali, ivi compresa la valutazione della necessità o meno di nominare un soggetto Responsabile della protezione dei dati personali (DPO) nonché della redazione di una valutazione di impatto del trattamento.

Il titolare del trattamento deve adottare misure tecniche e organizzative adeguate al fine di garantire, ed essere in grado di dimostrare, la conformità del trattamento alla normativa vigente, tenendo conto della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche. Le dette misure debbono essere periodicamente riesaminate e aggiornate.

2)Valutare la necessità l’acquisizione preventiva del consenso al trattamento da parte dell’interessato nonché redigere un documento che informi gli interessati delle circostanze più importanti inerenti il trattamento

Agli interessati al trattamento dei dati personali deve essere indicato in modo chiaro e preciso:

1. a) chi è il titolare del trattamento ed i dati di contatto nonché il responsabile;
2. b) perché vengono trattati i dati personali ed in quale modo;
3. c) sulla base di quale norma giuridica si può effettuare il trattamento;
4. d) a chi vengono trasferiti i dati personali;
5. e) l’eventuale intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale;
6. f) il periodo di conservazione dei dati personali;
7. g) i diritti che vanta;
8. h) se ha l’obbligo di comunicare i dati personali nonché le possibili conseguenze della mancata comunicazione;
9. i) l’esistenza di un processo decisionale automatizzato, compresa la profilazione.

3) Individuare i soggetti autorizzati al trattamento dei dati personali

Il titolare del trattamento è tenuto ad indicare formalmente, mediante appositi contratti o atti di nomina, i soggetti interni alla propria compagine ed esterni autorizzati al trattamento dei dati personali, così che limitando l’accesso ai dati personali se ne limita anche il rischio di dispersione e/o perdita e/o errore.

4) Redigere il registro dei trattamenti

Il titolare del trattamento deve tenere un registro delle attività di trattamento nel caso in cui abbia più di 250 dipendenti, oppure laddove il trattamento possa presentare un rischio per i diritti e le libertà dell’interessato, il trattamento non sia occasionale o includa categorie particolari di dati, ivi compresi quelli giudiziari. Il registro dei trattamenti deve indicare:

1. a) chi è il titolare del trattamento, il contitolare del trattamento, il rappresentante del titolare del trattamento ed il DPO;
2. b) le finalità del trattamento;
3. c) una descrizione delle categorie di interessati e delle categorie di dati personali;
4. d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati;
5. e) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti, la documentazione delle garanzie adeguate;
6. f) il termine per la cancellazione delle categorie di dati;
7. g) una descrizione delle misure di sicurezza tecniche e organizzative.

Avv. Elisa Cocchi

Consulente Confabitare Bologna