Privacy: le maggiori novità introdotte con il nuovo ...

1 Privacy: le maggiori novit introdotte con il nuovo Regolamento Europeo sulla protezione dei dati personali di prossima applicazione. Sommario: Introduzione. Le disposizioni generali del Regolamento.. Oggetto e finalit (art. 1). Ambito di applicazione materiale e territoriale (artt. 2 e 3). Nuove tipologie di obblighi e responsabilit .. Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita (art. 25). Principio di rendicontazione o di accountability . Violazione dei dati personali (artt. 33 e 34). Registro delle attivit di trattamento (art. 30). Valutazione d'impatto sulla protezione dei dati (art. 35). Registro delle attivit di trattamento (art. 30). Valutazione d'impatto sulla protezione dei dati (art.)

2 35). Nuove figure: il Data Protection Officer (artt. 37 e ss.). Diritti dell'interessato: il diritto all'oblio (art. 17). Il meccanismo dello sportello unico. Sanzioni (artt. 83 e 84). Le linee guida. Considerazioni finali. Introduzione. Dopo un iter durato circa quattro anni, il 14 aprile 2016 l'Assemblea plenaria del Parlamento Europeo ha adottato in seconda lettura il Regolamento Europeo in materia di protezione dei dati personali1 e la Direttiva relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali2 ( pacchetto protezione dati ). Il Regolamento (UE) 2016/679 mira ad introdurre una legislazione in materia di protezione dati uniforme e valida in tutta Europa, affrontando 1.

3 Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonch alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati). 2. Direttiva (UE) 2016/680 del Parlamento Europeo e del Consiglio del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorit competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonch alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio.

4 Temi innovativi come il diritto all'oblio e alla portabilit dei dati e stabilendo anche criteri che, da una parte, responsabilizzano maggiormente imprese ed enti rispetto alla protezione dei dati personali e, dall'altra, introducono notevoli semplificazioni e sgravi degli adempimenti per chi si conforma alle regole. La Direttiva (UE) 2016/680 stabilisce, per la prima volta, norme comuni per il trattamento dei dati a fini giudiziari e di polizia all'interno di tutti gli Stati membri. Obiettivo della Direttiva, infatti, quello di innalzare le garanzie per la privacy dei cittadini quando interviene un trattamento dei dati per motivi giudiziari e di polizia, ma anche di facilitare notevolmente lo scambio e l'uso delle informazioni utili per il contrasto a fenomeni come la criminalit e il terrorismo3.

5 Il Regolamento e la Direttiva sono stati pubblicati il 4 maggio 2016 sulla Gazzetta Ufficiale dell'Unione Europea /GUUE). Il primo, vigente dal ventesimo giorno successivo alla pubblicazione in GUUE, sar . definitivamente e direttamente applicabile in tutti i Paesi UE a partire dal 25 maggio 2018, data per la quale dovr essere garantito l'allineamento della normativa nazionale con le disposizioni del Regolamento. La Direttiva, invece, vigente dal 5 maggio , impegner gli Stati membri a recepire le sue disposizioni nel diritto nazionale entro due anni4. Le disposizioni generali del Regolamento 2. Oggetto e finalit (art. 1). Fine ultimo del Regolamento quello di stabilire un complesso normativo volto alla protezione del trattamento dei dati personali delle persone fisiche, nonch a disciplinare le regole sulla libera circolazione dei dati personali.

6 Viene definita dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile ( interessato ), mentre il trattamento del dato consiste in qualsiasi operazione o insieme di operazioni compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o ad insieme di dati personali5. Ambito di applicazione materiale e territoriale (artt. 2 e 3). Il Regolamento si applicher sia al trattamento interamente o parzialmente automatizzato di dati personali, sia al trattamento non automatizzato di dati personali contenuti in un archivio6 o destinati a figurarvi (art. 2). Lo stesso 3. Garante per la protezione dei dati personali, Il Parlamento UE approva in via definitiva il nuovo pacchetto protezione dati Soro: si apre un percorso verso una pi ampia tutela delle persone, estratto da display/docweb/4889922 in data 30 dicembre 2016.

7 4. Garante per la protezione dei dati personali, Pubblicato sulla Gazzetta Ufficiale UE il nuovo pacchetto protezione dati, estratto da , in data 30 dicembre 2016. 5. Vedansi definizioni all'art. 4, n. 1 e 2, del Regolamento (UE) 2016/679. 6. qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico (art. 4, n. 6, del Regolamento (UE) 2016/679). articolo stabilisce espressamente i casi sottratti alla portata di questa disposizione, tra cui i trattamenti effettuati dalle autorit di pubblica sicurezza. Dal punto di vista geografico , la nuova disposizione europea rovescia il tradizionale principio di stabilimento, sancendo l'applicabilit della disciplina dettata indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione e stabilendo l'applicazione delle sue regole anche nei confronti dei Titolari e Responsabili7 non stabiliti nell'UE8, quando le attivit di trattamento riguardano: a) l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatoriet di un pagamento dell'interessato; oppure b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione.

8 Nuove tipologie di obblighi e responsabilit . Il Capo II del Regolamento individua e disciplina i principi posti alla base della nuova normativa, ribadendo che i dati personali devono essere trattati nel rispetto degli obblighi di liceit , correttezza e trasparenza (artt. 5 e 12). Inoltre, introduce una serie di nuove tipologie di obblighi e responsabilit a livello europeo. Protezione dei dati fin dalla progettazione e protezione per impostazione 3. predefinita (art. 25). L'art. 25 del Regolamento introduce due differenti principi: della privacy by design , secondo cui il titolare del trattamento9. deve adottare ed attuare misure tecniche ed organizzative, adeguate sin dal momento della progettazione oltre che nell'esecuzione del trattamento, che tutelino i principi di protezione dei dati10; e della privacy by default , il quale presuppone, invece, che il titolare del trattamento metta in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalit del trattamento.

9 L'utente diventa quindi il punto di partenza per sviluppare il progetto in base alla legge sulla privacy, tramite un approccio user-centric. Pertanto, ogni volta che un progetto inizia deve prendere in considerazione, prima di 7. Vedansi definizioni all'art. 4, n. 7 e 8, del Regolamento (UE) 2016/679. 8. Privacy: cosa cambia con il nuovo Regolamento Europeo, di Andrea Fedi, Legance Avvocati Associati, maggio 2016. 9. la persona fisica o giuridica, l'autorit pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalit e i mezzi del trattamento dei dati personali [ ] (art. 4, n. 7 del Regolamento UE 2016/679). 10. Vedasi sub nota 8. tutto, il ruolo dell'utente, progettando tutto attorno alla persona fisica11.

10 Principio di rendicontazione o di accountability . In virt di tale principio il Regolamento dispone che il responsabile del trattamento12 debba adottare politiche ed attuare misure adeguate per garantire ed essere in grado di dimostrare che il trattamento dei dati personali effettuato risulta conforme allo stesso disposto normativo. Ebbene, l'accountability investe tutte le operazioni dell'azienda, anche se lo stesso principio nato con specifico riferimento alle informazioni economico-finanziarie e patrimoniali consuntive13. Violazione dei dati personali (artt. 33 e 34). I dati personali che vengono conservati, trasmessi o trattati da aziende e pubbliche amministrazioni possono essere soggetti al rischio di perdita, distruzione o diffusione indebita, ovvero di situazioni che possono comportare pericoli significativi per la privacy degli interessati cui si riferiscono i dati.