Protezione dati personali e videosorveglianza 3/ed. (Garlisi - Egaf)

PRESENTAZIONE

(GDPR - Regolamento (UE) n. 2016/679: cos’è cambiato dal 25 maggio 2018 in materia di trattamento di dati personali).

L’unificazione sostanziale del quadro normativo dell’Unione europea, in materia di protezione e circolazione dei dati personali, avviata il 25 maggio 2018, con l’applicazione del Regolamento (UE) n. 2016/679, del Parlamento e del Consiglio, del 27 aprile 2016 (cd. GDPR), nei primi tre anni di applicazione, ha dimostrato di rispondere in maniera adeguata allo sviluppo delle tecnologie e all’evoluzione delle esigenze economiche e sociali.

Il presente lavoro affronta i principi che hanno ispirato la disciplina europea e le novità riguardanti argomenti di carattere generale e approfondimenti per alcuni specifici settori quali in particolari:

• le autorizzazione rilasciate dal Garante prima del 25 maggio 2018;
• i procedimenti sanzionatori non definiti entro la data del 25 maggio 2018;
• il principio di “responsabilizzazione” (cd. Accountability, art. 5, GDPR) che attribuisce direttamente ai titolari e ai responsabili del trattamento il compito di garantire e dimostrare il rispetto dei principi del regolamento UE sul corretto trattamento dei dati personali;
• l’introduzione della figura di Responsabile della protezione dei dati – Data Protection Officer (RPD-DPO), la cui designazione è obbligatoria per i soggetti pubblici e per le imprese la cui attività principale consista nel trattamento di dati richiedenti il monitoraggio non occasionale su larga scala degli interessati o di dati sensibili (categorie particolari, art.9 reg.) o di dati relativi a condanne penali e a reati (art. 10 reg.);
• l’istituzione del Registro delle attività di trattamento da tenere in forma cartacea o in formato elettronico per la registrazione di tutte le attività dei trattamenti (art. 30 e considerando 171 del reg.). Istituzione di cui sono esentate le imprese e le organizzazioni con meno di 250 dipendenti, salvo che effettuino trattamenti che possano presentare rischi per i diritti e le libertà degli interessati, o trattamenti non occasionali di categorie particolari di dati (art.9, par.1) o di dati relativi a condanne penali e a reati (art.10);
• la semplificazione delle registrazioni dei trattamenti per le piccole e medie imprese (che operano nel settore delle tecnologie e dell’informatica, cd. PMI) esentate dalla registrazione delle attività di trattamento occasionale di dati, salvo i casi in cui il trattamento possa comportare rischi per i diritti e le libertà degli interessati;
• l’obbligo di notifica delle violazioni dei dati personali (cd. data breach), previsto per i soli casi in cui appaia probabile che dalla violazione derivino rischi per i diritti e le libertà degli interessati (considerando 85), posto a carico dei titolari del trattamento e dei fornitori di servizi di comunicazione elettronica accessibili al pubblico. Detti soggetti sono tenuti a notificare all’Autorità di controllo le violazioni dei dati personali di cui siano venuti a conoscenza, “senza ingiustificato ritardo” e comunque entro il termine di 72 ore (art. 33 e 34 reg.);
• la portabilità dei dati che riconosce agli interessati il diritto di trasmettere i propri dati personali da un titolare del trattamento a un altro “senza impedimenti”, facilitandogli, in tal modo, la circolazione, la copia o il trasferimento dei “propri” dati personali da un ambiente informatico ad un altro, nonché il loro riutilizzo per scopi o servizi diversi (ad esempio per cambiare gestore telefonico o altro fornitore di servizi);
• il nuovo obbligo per i titolari del trattamento di informare gli interessati dell’esistenza del diritto alla portabilità dei propri dati personali attraverso un’informativa redatta “...in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro”. Va comunque ricordato che la portabilità dei dati personali è subordinata a specifiche condizioni:

- deve riguardare dati personali trattati con strumenti automatizzati (sono esclusi quindi gli archivi cartacei) per i quali sia stato prestato il consenso preventivo dell’interessato salvo che si tratti di dati necessari per l’esecuzione di un contratto di cui l’interessato sia parte contraente;

- deve trattarsi di dati personali dell’interessato e dallo stesso forniti, fatta eccezione per i dati di soggetti terzi che siano collegati o nel contesto dei dati dell’interessato (come ad esempio i tabulati telefonici, che contengano le chiamate in entrata e in uscita, oppure gli estratti dei conti correnti bancari o postali che riportano anche gli accrediti e gli addebiti di soggetti terzi);

- l’esercizio del diritto alla portabilità dei dati è esercitabile purché non leda i diritti e le libertà altrui (non deve quindi coinvolgere i dati personali di altri soggetti estranei, salvo i casi di cui agli esempi sopra riportati);

- l’istituzione dell’Autorità di controllo capofila che rappresenta una specie di “sportello unico” in materia di trattamento di dati personali.

Si tratta dell’Autorità di controllo costituita in ogni Stato dell’Unione (Autorità Garante per l’Italia) di cui all’art. 56 per la nozione e agli artt. 57 e 58 reg. per le competenze.

Detta Autorità capofila viene individuata con riferimento alla sede dello stabilimento principale del titolare o del responsabile del trattamento (che operi in più Stati dell’Unione) ed alla stessa Autorità vengono trasferite le competenze delle altre Autorità di controllo (cd. “autorità interessate”), riguardo ai “trattamenti transfrontalieri” effettuati dai predetti soggetti. In pratica, l’Autorità di controllo capofila coordina le operazioni che coinvolgono le Autorità di controllo interessate dai predetti trattamenti;

• la riformulazione del diritto di accesso al trattamento dei propri dati con l’introduzione dell’obbligo, per il titolare del trattamento, di rispondere alle richieste di informazioni dell’interessato “senza ingiustificato ritardo” e, comunque, entro il termine di un mese prorogabile fino a tre mesi, se necessario, tenuto conto della complessità e del numero delle richieste (art.12 par.3 reg.). A differenza del passato, dal 25 maggio 2018, è lo stesso titolare del trattamento a valutare la complessità e la ripetitività delle richieste o la loro infondatezza ed a stabilire l’ammontare dell’eventuale contributo da richiedere all’interessato. Il titolare del trattamento è tenuto inoltre a rispondere per iscritto o attraverso strumenti elettronici di facile accessibilità, alle richieste dell’interessato, salvo che quest’ultimo richieda espressamente la risposta orale; in ogni caso, la risposta deve essere concisa, trasparente, facilmente accessibile ed espressa utilizzando un linguaggio semplice e chiaro. L’interessato ha diritto di sapere se sia in corso il trattamento dei propri dati personali e in tal caso, di ottenerne l’accesso per prenderne visione o estrarre copia dei documenti a lui riferibili, in base al principio della trasparenza (art.15 reg.). In particolare l’interessato ha il diritto di ottenere informazioni riguardo a: finalità del trattamento, categorie di dati personali trattati (ad es. dati sensibili o relativi a condanne e a reati), destinatari dei dati trattati, specie se di paesi terzi o organizzazioni internazionali, periodo di conservazione, esistenza del diritto di rettifica, cancellazione, limitazione od opposizione al trattamento, possibilità di presentare reclamo all’Autorità di controllo. Non è più previsto invece, rispetto alla previgente normativa il diritto alle informazioni sulle modalità di trattamento dei dati personali in ragione delle maggiori responsabilità in capo al titolare del trattamento che, come detto, ha il compito di assicurare e comprovare il rispetto dei principi sul trattamento previsti dal GDPR. Per converso, il titolare del trattamento ha il diritto di chiedere le informazioni necessarie per identificare l’interessato e quest’ultimo è tenuto a fornirgliele, secondo modalità idonee (art. 11, par. 2 e art. 12, par. 6, reg.);
• l’applicazione delle norme del Regolamento anche ai trattamenti di dati personali effettuate da imprese con sedi al di fuori del territorio dei paesi dell’Unione europea che operino all’interno degli Stati membri;
• l’abolizione della notifica preventiva del trattamento al Garante;
• la valutazione, da parte delle imprese, dell’impatto delle nuove norme sui trattamenti effettuati per verificare la presenza di eventuali rischi elevati per i diritti e le libertà degli interessati;
• la conferma che ogni trattamento di dati personali deve trovare fondamento in un’idonea base giuridica (art.6);
• le nuove formalità relative al consenso che, in particolare, riguardo al trattamento dei dati sensibili (art. 9 reg.) e ai trattamenti automatizzati (compresa la profilazione, art.22) richiedono che l’interessato lo esprima in maniera esplicita, libera, specifica, informata e inequivocabile (non tacita o presunta), attraverso una dichiarazione o azione positiva inequivocabile anche se non necessariamente per iscritto, sebbene la forma scritta assicuri maggiore certezza per il titolare del trattamento tenuto a dimostrare di averlo acquisito (art. 7 par.1 reg.).

Il consenso per il trattamento dei dati personali dei minori, che per il Regolamento UE è considerato valido a partire dagli anni 16 (con possibilità per la normativa nazionale di abbassarne il limite fino a 13 anni), è stato disciplinato dall’art. 2-quinques del Codice privacy, introdotto dal DLG n, 101 del 2018 (norme di adeguamento della disciplina nazionale al regolamento (UE) n. 2016/679, in vigore dal 19.09.2018), che ha fissato l’età minima in 14 anni, sicché prima di tale età il consenso deve essere prestato da chi esercita la potestà genitoriale.

Il consenso acquisito prima del 25 maggio 2018 rimane valido se presenta le predette caratteristiche altrimenti deve essere raccolto nuovamente in forma comprensibile, semplice e chiara (art. 7 par. 2, reg.).

I soggetti pubblici generalmente sono esentati dal chiedere il consenso dell’interessato per il trattamento dei dati personali nell’esercizio di un compito di pubblico interesse (considerando 43 e art. 9 reg.);

• il bilanciamento fra il legittimo interesse del titolare o del terzo e i diritti e le libertà dell’interessato prima effettuato dall’Autorità Garante, dal 25 maggio 2018 è stato attribuito allo stesso titolare del trattamento in base al principio di “responsabilizzazione” su cui si è ispirato il GDPR. Per la liceità del trattamento l’interesse legittimo del titolare o del terzo deve prevalere sui diritti e le libertà fondamentali dell’interessato. Per i trattamenti svolti da autorità pubbliche in esecuzione di compiti istituzionali l’interesse legittimo del titolare non costituisce idonea base giuridica essendo necessaria una legge o un regolamento che li preveda;
• le novità sull’informativa da rendere agli interessati (art. 13, par. 1, e 14, par. 1, reg.) che, rispetto a quanto già previsto dal Codice privacy, dal 25 maggio 2018 deve essere integrata dalle seguenti informazioni: l’indicazione dei dati di contatto del RPD-DPO (Responsabile della protezione dei dati - Data Protection Officer), se previsto e designato; la base giuridica del trattamento; l’interesse legittimo del titolare se considerato come base giuridica del trattamento; l’indicazione se i dati personali vengono trasferiti in Paesi terzi (rispetto all’Unione europea) ed eventualmente attraverso quali strumenti; il periodo di conservazione dei dati; il diritto di presentare un reclamo all’Autorità di controllo; la specificazione se il trattamento comporta processi decisionali automatizzati (anche la profilazione) indicando la logica di tali processi decisionali e le conseguenze previste per l’interessato. Inoltre, qualora i dati personali non siano raccolti direttamente presso l’interessato (art. 14 reg.), l’informativa deve essere fornita a quest’ultimo entro il termine massimo di un mese dalla raccolta, oppure al momento della comunicazione dei dati a soggetti terzi o allo stesso interessato (diversamente da quanto prevedeva l’art. 13, comma 4, del Codice privacy, prima dell’intervento del DLG n.101 del 2018).

L’informativa deve avere forma concisa, trasparente, intelligibile e facilmente accessibile anche attraverso l’utilizza di un linguaggio chiaro e semplice, e per i minori deve attenersi a quanto previsto dal considerando 58. Normalmente l’informativa è resa per iscritto o in formato elettronico (art. 12, paragrafo 1, e considerando 58, reg.), ma può essere data anche oralmente, nonché “...in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto. Se presentate elettronicamente, le icone sono leggibili da dispositivo automatico.” (art.12 par. 7). Le icone che devono essere identiche in tutta l’Unione e definite dalla Commissione europea.

L’informativa deve inoltre riportare l’identità del titolare, del responsabile del trattamento e dell’eventuale rappresentante nel territorio nazionale, le finalità del trattamento, i diritti degli interessati ivi compreso il diritto alla portabilità dei dati e i destinatari dei dati trattati:

• il diritto alla cancellazione dei dati («diritto all’oblio») che riconosce all’’interessato il diritto di ottenere dal titolare del trattamento la cancellazione dei propri dati personali senza ingiustificato ritardo, cui fa riscontro l’obbligo per il titolare della loro cancellazione in presenza di almeno uno dei motivi indicati nell’art.17 GDPR. Si tratta di dati personali dell’interessato che il titolare del trattamento ha reso pubblici (ad esempio, pubblicandoli su un sito web) e che quindi, su richiesta dell’interessato, ha l’obbligo di cancellarli (tenendo conto degli strumenti tecnologici disponibile e dei costi di attuazione) e di informare gli eventuali altri titolari che li stiano trattando, di cancellare qualsiasi link, copia o riproduzione di essi (art.7 par.2 GDPR). Rispetto a quanto prevedeva l’art.7 comma 3, Codice privacy, il GDPR riconosce all’interessato il diritto di chiedere la cancellazione dei propri dati, ad esempio, anche dopo la revoca del consenso su cui si basa il trattamento (art.17, par.1, lett. b) reg.;
• il diritto di limitazione del trattamento dei dati (art. 18 reg.) che si differenzia dal diritto al “blocco” di cui trattava l’art. art. 7 comma 3, lett. a), Codice privacy, riconosce all’interessato “l’aggiornamento, la rettificazione ovvero, quando vi ha interesse, l’integrazione dei dati;”. Il diritto alla limitazione del trattamento può essere fatto valere, infatti, oltre che nei casi di violazione dei presupposti di liceità del trattamento (in alternativa alla cancellazione), anche nella fase di attesa che il titolare adempia alla richiesta dell’interessato per la rettifica dei dati o nel caso di opposizione al loro trattamento; opposizione che impone al titolare di astenersi dall’ulteriore trattamento dei dati (esclusa la conservazione), salvo i casi particolari indicati dalla norma (art.21 reg.);
• l’adesione ai codici deontologici (codici di condotta) o agli schemi di certificazione (di cui agli artt. 40, 41 e 42 GDPR), che consentono ai responsabili del trattamento, ove nominati, di dimostrare le “garanzie sufficienti” per mettere in atto misure tecniche e organizzative adeguate per il rispetto dei requisiti del GDPR e per garantire la tutela dei diritti dell’interessato (nonché art. 28, par. 4 qualora il responsabile nomini un sub-responsabile del trattamento);
• gli importi delle sanzioni amministrative, previste dall’art. 83 del GDPR, in combinato disposto con l’art. 166 del Codice privacy (come sostituito dal DLG n. 101 del 2018), applicabili alle violazioni commesse a decorrere dal 25 maggio 2018 e modulate in due categorie, a seconda della gravità del fatto, che comportano: 

- per le violazioni ritenute più lievi, la sanzione amministrativa pecuniaria fino a 10 000 000 euro, o per le imprese fino al 2 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore al predetto importo;

- per le violazioni più gravi la sanzione amministrativa pecuniaria fino a 20 000 000 euro, o per le imprese fino al 4 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore al predetto importo.

Una parte del testo, come accennato sopra, è dedicata al trattamento e alla diffusione dei dati personali nell’ambito di specifici settori ed in particolare: 

• al trattamento di dati per finalità di polizia, con riferimento anche alla gestione delle banche dati (CED, DNA, SARI ed Enterprise), nonché ai trattamenti automatizzati con l’utilizzo di algoritmi per il riconoscimento facciale per la selezione delle immagini dei soggetti fotosegnalati e registrati nella banche dati del Sistema “SARI Enterprise”;
• al trattamento di dati raccolti con l’utilizzo di microcamere indossabili (cd. bodycam), alla luce del provvedimento del Garante n. 290 del 2021, in dotazione alla Polizia di Stato e all’Arma dei Carabinieri, per la ripresa di situazioni di criticità per l’ordine pubblico, nel corso di pubbliche manifestazioni, e per l’accertamento o la repressione dei reati;
• al trattamento di dati del Codice PNR per il contrasto dei reati gravi e del terrorismo;
• al trattamenti di dati in materia di autotrasporto e di trasporto pubblico locale, anche in relazione ai dati della geolocalizzazione dei lavoratori;
• al trattamento di dati personali da parte di soggetti pubblici e imprese private, con l’utilizzo di tecnologie innovative per il monitoraggio delle persone e degli oggetti (quali i mezzi di trasporto su strada);
• alla diffusione di dati personali riguardanti la salute delle persone fisiche mediante pubblicazione online di documenti scolastici e graduatorie concorsuali (artt. 9 GDPR);
• alla diffusione da parte degli Enti locali di particolari categorie di dati personali o di dati giudiziari (artt. 9 e 10 GDPR) ancorché contenuti in atti o documenti amministrativi, mediante pubblicazione sui propri siti web istituzionali in aderenza ai principi di trasparenza e pubblicità degli atti della pubblica amministrazione;
• al trattamento di dati sanitari e del fascicolo sanitario e di dati sanitari connessi con gli obblighi normativi introdotti nel periodo dell’emergenza sanitaria (dovuta alla pandemia da COVID-19), ivi compresi i dati relativi all’obbligo del green pass e all’obbligo vaccinale per alcune categorie di lavoratori (personale sanitario, delle forze di polizia statali, della polizia locale, delle istituzioni scolastiche) e per i cittadini e gli stranieri ultracinquantenni; 
• al trattamento dei dati personali dei minori;
• al trattamento dei dati personali raccolti con i sistemi di videosorveglianza negli asili, scuole dell’infanzia e strutture per anziani e disabili (di cui alla legge n. 55 del 2019).

Altre tematiche di settore, con richiamo dei principali provvedimenti del Garante e della giurisprudenza, sono trattati in appositi paragrafi del testo, cui si rinvia per maggiori approfondimenti.