Faq

D. Un locale commerciale con un sistema di sorveglianza all’esterno del suo locale,  gestito da un Istituto di Vigilanza cosa deve fare per il GDPR?

R. Il trattamento viene effettuato dalla società di vigilanza, in nome e per conto del committente (il bar, il negozio, ecc) e in relazione a tale trattamento si qualifica come responsabile del trattamento dei dati. Inoltre trattandosi di videosorveglianza deve essere sottoposto a DPIA e nel registro delle attività di trattamento deve essere censito come trattamento dei dati di clienti, partner commerciali, collaboratori, ecc. a seconda del perimetro di visione. A seconda dei casi inoltre bisogna valutare se necessario porre in essere un accordo con le sigle sindacali e richiedere autorizzazione all’ispettorato del lavoro.

FAQ sul registro delle attività di trattamento del Titolare e del Responsabile (sono quelli esterni)

VIDEOSORVEGLIANZA SUL POSTO DI LAVORO

Sentenza Civile Ord. Sez. Lavoro n.17685/2018

L’installazione di telecamere e la videosorveglianza da parte di un’azienda, qualora interessi i lavoratori presenti, deve essere attuata nel rispetto delle norme dello Statuto dei lavoratori (Legge 300/1970) e del Codice in materia dei protezione dei dati personali , non deve figurarsi come un controllo a distanza dell’attività dei lavoratori ma può essere predisposta solo (art.4 legge 300/1970):

- ai fini organizzativi;

- per la sicurezza del lavoro;

- per la tutela del patrimonio aziendale;

e possono essere installati previo accordo collettivo stipulato dalle rappresentanze aziendali (ove presenti) o in mancanza di accordo (o non presenti) previa autorizzazione INL (Ispettorato Nazionale del Lavoro).

Pertanto non è sufficiente il consenso nei dipendenti, anche con il consenso la videoregistrazione è illegittima.

Una volta ottenuta autorizzazione non serve consenso per 4 motivi:
1) la legittimazione è su base contrattuale
2) a tutela di interessi del titolare
3) il consenso non si chiede (quasi) mai nel rapporto datore/lavoratore per l’evidente squilibrio
4) non è ammesso la revoca del consenso e quindi non è ipotizzabile la richiesta di consenso.

Domanda: Quali sono le conseguenze della violazione delle norme sul trattamento dei dati introdotte dal cosiddetto GDPR? Occorre procedere alla distruzione dei dati o a procedure analoghe o è possibile continuare i trattamenti salve eventuali sanzioni?

LINK: https://www.garanteprivacy.it/home/faq/registro-delle-attivita-di-trattamento

Il Garante per la protezione dei dati personali ha messo a disposizione sul proprio sito le istruzioni sul Registro delle attività di trattamento, previsto dal Regolamento (EU) n. 679/2016 (di seguito “RGPD”).

Il Registro, che deve essere predisposto dal titolare e del responsabile del trattamento, è un documento contenente le principali informazioni (specificatamente individuate dall’art. 30 del Regolamento) relative alle operazioni di trattamento svolte da una impresa, un’associazione, un esercizio commerciale, un libero professionista.

L’obbligo di redigere il Registro costituisce uno dei principali elementi di accountability del titolare, poiché rappresenta uno strumento idoneo a fornire un quadro aggiornato dei trattamenti in essere all’interno della propria organizzazione, indispensabile ai fini della valutazione o analisi del rischio e dunque preliminare rispetto a tale attività.

Il Registro deve avere forma scritta, anche elettronica, e deve essere esibito su richiesta al Garante.

Come specificato nelle FAQ del Garante, sono tenuti a redigere il Registro le imprese o le organizzazioni con almeno 250 dipendenti e – al di sotto dei 250 dipendenti – qualunque titolare o responsabile che effettui trattamenti che possano presentare rischi, anche non elevati, per i diritti e le libertà delle persone o che effettui trattamenti non occasionali di dati oppure trattamenti di particolari categorie di dati (come i dati biometrici, dati genetici, quelli sulla salute, sulle convinzioni religiose, sull’origine etnica etc.), o anche di dati relativi a condanne penali e a reati.

Nelle FAQ vengono indicate, tra l’altro, quali informazioni deve contenere il Registro e le modalità per la sua conservazione e il suo aggiornamento.

Roma, 8 ottobre 2018

LINK: https://www.garanteprivacy.it/home/faq/registro-delle-attivita-di-trattamento

FONTE: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9047529

GDPR, tutte le scadenze del Garante Privacy

Entro il 2 dicembre 2018, chi ha presentato reclami, segnalazioni e richieste di verifica preliminare può presentare al Garante richiesta di trattazione di quel contenzioso. In caso contrario, quei procedimenti diventano improcedibili.

Entro il 18 dicembre il Garante verifica la compatibilità con il GDPR delle autorizzazioni generali

Entro il 18 marzo 2019 le associazioni e gli altri organismi rappresentativi sottopongono al Garante il codice deontologico

Dal 19 settembre 2018 si applicano le nuove disposizioni introdotte dal DECRETO LEGISLATIVO 10 agosto 2018, n. 101 “Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonche’ alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)”.

Qui il link al testo in Gazzetta Ufficiale

Art.22 c 13. “Per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante per la protezione dei dati personali tiene conto, ai fini dell’applicazione delle sanzioni amministrative e nei limiti in cui risulti compatibile con le disposizioni del Regolamento (UE) 2016/679, della fase di prima applicazione delle disposizioni sanzionatorie”.

Convocazione del Consiglio dei Ministri n.14

08 Agosto 2018

http://www.governo.it/…/convocazione-del-consiglio-dei…/9808

DECRETO LEGISLATIVO: Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) – ESAME DEFINITIVO (PRESIDENZA – AFFARI EUROPEI – GIUSTIZIA);

Dati “personali” e dati “identificativi”: Cassazione precisa come distinguerli Premesso che la definizione di “dato personale” è molto ampia (contemplando qualsiasi informazione che consenta di identificare una persona fisica) e comprende senz’altro il nome, il cognome e l’indirizzo di posta elettronica, a ben vedere il concetto di “dato identificativo” non va tenuto distinto da quello di “dato personale”, rappresentando una species all’Interno del genus principale. Invero, mentre il “dato personale” è quel dato che consente di identificare, anche indirettamente una determinata persona fisica, i “dati identificativi” sono dati personali che permettono tale identificazione direttamente. Cassazione civile, Sez. II, ordinanza 5 luglio 2018, n. 17665 Usciti i pareri delle Commissioni di Camera e Senato Si valuti la possibilità di stabilire, tramite provvedimenti del Garante, una fase transitoria, in ogni caso non inferiore a 8 mesi, successiva all’entrata in vigore del decreto legislativo, nel corso della quale il Garante non procederà ad irrogare sanzioni alle imprese, disponendo, invece, ammonimenti o prescrizioni di adeguamento alla nuova disciplina. Ciò anche in base al principio di proporzionalità e di gradualità della sanzione, anche osservando i principi dello small business act.

D. Quanto può costare un adeguamento al GDPR?

R. Prima di chiedersi quanto può costare adeguarsi al GDPR non è forse il caso prima di chiedersi quanto potrebbe costare una perdita di dati alla tua azienda?

Una violazione della sicurezza che comportasse una perdita di dati importante può essere devastante. Le sanzioni previste dal Regolamento Europeo 2016/679 non sono di poco conto fino al 4% del fatturato dell’anno precedente. A queste si devono poi aggiungere le possibili implicazioni penali previste dalla legislazione del paese in caso di violazione grave, a cui sarebbero soggetti sia il Titolare (legale rappresentante) che il Responsabile del Trattamento se separati.

D. Quanto potrebbe costare ad un’azienda una VIOLAZIONE DATI?

R. Facciamo un esempio pratico di Data Breach e mettiamo il caso di un’azienda che fattura 5 Milioni di €uro, che non si adegua al GDPR e non dispone di un adeguato piano di Disaster Recovery. Ipotizziamo lo scenario peggiore e mettiamo il caso che l’azienda in questione subisca un ATTACCO HACKER tipo Cryptolocker o Petya, in seguito al quale tutti i dati residenti nei server aziendali siano irrecuperabili compresi i backup di rete.

• Sanzione prevista dal GDPR ammontante al 4% sul fatturato: 200.000 €uro
• Perdita di 2 anni di dati gestionali: ipotizzando circa 6 mesi per ricostruire i dati con un costo medio mensile di un impiegato di 3.000 €uro avremmo un costo secco di circa 18.000 €uro.
• Perdita in produttività aziendale e fatturato nei mesi che seguono al Data Breach: diciamo ottimisticamente l’1% del fatturato? 50.000 €uro

Possiamo ipotizzare che il DANNO causato da una VIOLAZIONE DATI per un’azienda che fattura 5 Milioni di €uro sarebbe di quasi 300.000 €uro.

• Senza considerare la perdita d’immagine sul mercato e il clima di stress creato in azienda, i cui danni sono difficilmente calcolabili, nonché le possibili implicazioni penali dovute alla totale inosservanza delle normative sulla Privacy.

D. Un’azienda o un professionista senza dipendenti, senza sito web, con solo 15 fatture al mese, si deve adeguare?

R. Basta anche un database clienti sul proprio pc o nello smartphone per ricadere negli obblighi del GDPR ed eliminare il rischio di sanzioni e gestire al meglio la sicurezza.

Chiariamo un CONCETTO FONDAMENTALE: Nome azienda p.iva indirizzo telefono aziendale etc. NON SONO DATI PERSONALI e quindi NON soggetti a trattamento Privacy. Dati personali sono Nome,Cognome, mail, telefono etc. che riconducano inequivocabilmente ad una persona fisica….giusto per chiarire.

D. Un’azienda o un professionista con dipendenti e un sito web si deve adeguare?

R. Anche solo i dati dei dipendenti sono comunque dati personali da trattare, così come le mail e i dati dei fornitori che si immagina abbia come tutti. Inoltre per chi ha un sito web, ci sono anche lì degli accorgimenti da prendere.

D. Qual è l’ente che vigila sull’adeguamento al GDPR? 

R.  L’Autorità di Controllo è il Garante Privacy e, ovviamente, non ha strumenti per verificare un Data Breach se non quello della notifica da parte dell’azienda che lo subisce. In definitiva non può venirlo a sapere se non nel caso in cui la violazione sia resa pubblica da un interessato che ne sia venuto a conoscenza. In tal caso, se l’interessato sporge denuncia all’Authority possono scattare le sanzioni maggiori in quanto si è omesso di notificare la violazione.

D. Il consenso per l’informativa può essere effettuato senza adeguamento al GDPR e quali elementi deve riportare?

R. Il consenso viene elaborato solo dopo essersi adeguati al GDPR con la redazione di tutta la documentazione con i dati specifici per il tipo di attività e di trattamento specifico dell’azienda e/o del profesionista (Privacy by design) come il riferimento al Titolare del trattamento, tipologia di atti, il tempo di conservazione dei dati, a chi verranno trasferiti i dati eventuali responsabili esterni etc. L’informativa per essere conforme al GDPR, deve fare riferimento all’Art.13 del Regolamento Europeo.

D. Qual’è il il modello da compilare e inoltrare al Garante per la segnalazione?

R. https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4535524

D. Un generico consenso a ricevere newsletter promozionali è considerato insufficiente ?

R.Si e comporta una violazione della privacy, poiché il consumatore non riesce a conoscere preventivamente l’oggetto. Il consenso è validamente prestato solo se è espresso liberamente e specificamente in riferimento ad un trattamento chiaramente individuato, se è documentato per iscritto, e se è stata resa all’interessato apposita informativa privacy.

D. CHE COS’È il GDPR: il Regolamento UE 2016/679?

R. Il nuovo Regolamento (UE) 2016/679 GDPR (General Data Protection Regulation) determina le “linee guida” da adottare in materia di Protezione delle Persone Fisiche con riguardo al Trattamento dei Dati nonché alla libera circolazione di tali dati.

D. Che fine farà l’attuale “Legge Privacy” Dlgs 196/2003?

R. L’attuale Legge Italiana D.lgs 196 del 2003, meglio conosciuta come “Legge Privacy”, è stata abrogata definitivamente nel Marzo scorso.

D. Le principali DIFFERENZE del GDPR rispetto all’attuale “Legge Privacy” D.lgs 196/2003.

R.  La novità principale del nuovo regolamento è che sparisce il concetto di “MISURE MINIME” , alla base dell’attuale normativa D.Lgs 196,  per lasciare il posto a quello di  “MISURE ADEGUATE”. Ma, la vera rivoluzione, è l’introduzione del nuovo principio di “ACCOUNTABILITY” (Responsabilizzazione). Tale principio di fatto attribuisce più discrezionalità ma, al tempo stesso, maggiore responsabilità al “Titolare del Trattamento” su tutto quello che concerne la protezione dati con un inasprimento consistente delle sanzioni previste in caso di inadempienza.

D. Quali sono i SOGGETTI del trattamento nel nuovo GDPR?

• INTERESSATO al Trattamento: la persona fisica oggetto del trattamento dati
• TITOLARE del Trattamento: la persona fisica o giuridica (azienda/ente) titolare del trattamento
• RESPONSABILE del Trattamento: la persona fisica o giuridica  responsabile di un determinato trattamento. Può essere anche esterno mediante nomina (es. dati in Hosting, provider di posta, servizio paghe..) o interno (es. resp. reparto/processo interno o lo stesso Titolare del Trattamento)
• DPO (Data Protection Officer) o RPD (Responsabile Protezione Dati) o Privacy Officer: è la nuova figuraintrodotta nel 2016 dal GDPR. La sua responsabilità principale è quella di osservare, valutare e organizzare la gestione del trattamento di dati personali (e dunque la loro protezione) all’interno di un’azienda (sia essa pubblica che privata), affinché questi siano trattati nel rispetto delle normative privacy europee e nazionali.

• Entrambi, Titolare e Responsabile, rispondono legalmente.
• Possono essere nominati anche più responsabili del trattamento.

D. Cosa è il Principio di “ACCOUNTABILITY” nel GDPR?

R. Come già detto in apertura, il GDPR pone l’accento sui concetti di “Responsabilizzazione” (Accountability) e di “Misure Adeguate” in quanto, il Titolare del Trattamento deve garantire ed essere sempre in grado di dimostrare di rispettare i princìpi del Regolamento nonché, di aver messo in atto le misure ritenute idonee dal Titolare stesso. Anche se nel GDPR sparisce il concetto di “Misure Minime”, presente nel D.lgs 196/2003, si può comunque prevedere un insieme minimo di azioni per soddisfare le esigenze di Accountability.

D. Come procedere per essere adeguati al GDPR?

R. Rivolgersi a un consulente specializzato che deve procedere con:

• Assessment: valutazione iniziale legale e informatica
• Registro dei Trattamenti: obbligatorioper P.A. e per le aziende con più di 250 dipendenti 
• Funzionigramma privacy: definizione Ruoli e Compiti
• Risk Assessment: valutazione del rischio sul dati da trattare
• Privacy Impact Assessment: obbligatorio per P.A. e per le aziende che trattano dati che presentano un rischio elevato per i diritti e le libertà delle persone (Trattamento dati personali su larga scala)
• Documentazione: Informative, consensi e nomine
• Data breach (notifica della violazione dei dati).

D. Tutti professionisti e tutte le aziende (comprese le ditte individuali) con sede nella UE ma anche quelle extra UE che vendono beni e servizi a cittadini che si trovano nella UE devono redigere obbligatoriamente la mappatura del rischio indicando il programma di intervento e le misure di sicurezza da adottare per essere a norma con il GDPR?

R. - L’analisi dei rischi va sempre fatta, perchè è la CONDIZIONE per comprendere se sia necessario (rischio alto) una valutazione d’impatto, sia obbligatorio il registro, sia necessario il DPO. Insomma una “mappatura” o “analisi”, anche sommaria, anche non complessa (se i trattamenti sono elementari e noti ed i rischi evidenti) va fatta, ovviamente per i RISCHI ALTI occorre maggiore precisione e scientificità tramite strumenti (PIA) specifici. Es: se sono un commercialista che tratta dati anagrafici sul proprio pc senza profilazioni, diffusioni ed altri trattamenti nè attività su larga scala allora l’analisi dei rischi potrà essere 5 righe di relazione in cui descrivo il contesto, i trattamenti e la non necessità di interventi nè nel breve nè nel medio/lungo periodo. Queste valutazioni, anche sommarie, vanno riviste comunque ANNUALMENTE, anche al solo scopo di confermarle.

D.Un professionista o un’azienda può far firmare il consenso ai suoi condomini senza aver redatto prima tutta la documentazione per essere in regola con il GDPR?

R. Il consenso per il GDPR deve essere “informato” quindi frutto della consapevolezza di ciò che si sta sottoscrivendo. Le informazioni possono essere anche sommarie se i trattamenti sono elementari o noti, ma una traccia deve esserci e quindi la firma “ad occhi chiusi” rappresenta una violazione del GDPR.  Tutte le Aziende e tutti i professionisti per non incorrere in sanzioni devono applicarne la prescrizione e redigere tutta la documentazione per essere in regola con il GDPR.

DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 25 maggio 2018

D. Un sito web deve essere aggiornato?

R. Si in riferimento alle nuovi condizioni del GDPR

D. Il Registro dei trattamenti è obbligatorio?

R. Si solo sopra i 250 dipendenti, sotto solo se il trattamento può presentare un rischio per i diritti e le libertà dell’interessato

D. Le associazioni Onlus devono adeguarsi al GDPR?

R. Si a maggior ragione perchè trattano i dati particolari

D. Cosa dovrebbe fare il CED che gestisce il software in cloud per gli enti locali?

R. Attestazione di conformità al GDPR

D. L’amministratore unico di società in house 100% comunale in quanto rappresentante legale è titolare del trattamento, può designare se stesso quale rdp/pdo?

R. il DPO non può essere il legale rappresentante in quanto chiaramente in conflitto di interessi

D. Nuovo decreto su “GDPR PENALE” relativo ai trattamenti dei dati nei procedimenti penali … adempimenti per gli enti entro l’8 giugno 2018 (DECRETO LEGISLATIVO 18 maggio 2018, n. 51)

R. clicca qui

D.  Procedura telematica per la comunicazione dei dati del RPD

R. clicca qui

D.  Istruzioni per la compilazione on line del modello di comunicazione dei dati di contatto del RPD

R. clicca qui

D. Chi sono i titolari e i responsabili del trattamento dei dati nelle imprese e nelle amministrazioni pubbliche?

R. RISPOSTA SEMPLICE: vale quanto detto dal Garante nel 1997: Nel caso di grandi enti o amministrazioni, articolati in direzioni generali o in sedi centrali e periferiche dotate di poteri decisionali del tutto autonomi sui trattamenti effettuati nel loro ambito, le stesse articolazioni possono a loro volta essere considerate come “titolari” o “contitolari” del trattamento. POI CONFLUITO nell’art. 28 del Dlgs 196/2003 (ancora vigente): Art. 28. (Titolare del trattamento) Quando il trattamento è effettuato da una persona giuridica, da una pubblica amministrazione o da un qualsiasi altro ente, associazione od organismo, titolare del trattamento è l’entità nel suo complesso o l’unità od organismo periferico che esercita un potere decisionale del tutto autonomo sulle finalità e sulle modalità del trattamento, ivi compreso il profilo della sicurezza

D. Il dirigente del settore affari legali del Comune può fare il DPO?

R. NO

D. Privacy ed email – Vietata la conservazione senza limiti

R. SI

D. E’ possibile avere DPO unico fra più enti, soprattutto nelle gestioni associate?

R. Si

D. E’ possibile che due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento?

R. Si

D. E’ obbligatorio per i Comuni nominare un DPO?

R. Si

D. Il DPO può essere interno o esterno?

R. Si

D. Il Titolare del trattamento non è più l’Ente nella persona del sindaco, ma l’ENTE stesso nel suo complesso?

R. Si

D. E’ obbligatorio il consenso informato sanitario?

R. Si

D. Dal 25 maggio quali sanzioni scattano agli Enti Pubblici?

R. Corte dei Conti-Sardegna, Sez. giurisdiz., sentenza 8 marzo-12 aprile 2018, n. 73 La violazione della legislazione in materia di dati personali da parte degli Enti pubblici costituisce condotta gravemente colposa fonte di responsabilità personale che comporta l’obbligo del risarcimento del danno erariale quantificato in misura pari alla sanzione amministrativa pecuniaria irrogata dal Garante, ai sensi degli artt. 161-166 del citato Codice.

D. Quali sono i vantaggi e gli svantaggi per la selezione interna del DPO?

D. Il mondo pubblico deve chiedere il consenso per le proprie finalità?

R. No

D. Quando è obbligatorio il DPO?

R. Quando vengono trattati su larga scala i dati sensibili e giudiziari

D. Le P.A. devono nominare il DPO?

R. Si in base al principio di accountability

D. Le scuole si devono adeguare al GDPR?

R. Si e devono anche fare formazione

D. Come si compila il registro dei trattamenti?

R. Indicando le finalità e scopi

D. E’ obbligatorio per uno studio legale e uno studio commercialista nominare un DPO?

R .No

D. E’ obbligatorio la nomina del DPO per la geolocalizzazione e videosorveglianza?

R. No

D. Da quest’anno è possibile iscrivere anche i cellulari al REGISTRO DELLE OPPOSIZIONI?

R. Sì