Tra le tante e complesse innovazioni portate dal nuovo regolamento in materia dei dati personali, in arrivo il cambiamento su “informativa” e “consenso”.

 

 Il "Nuovo Regolamento Europeo" n. 2016/679 in materia di protezione dei dati personali, pubblicato in GU dell'Unione Europea lo scorso 4 maggio 2016, sarà direttamente applicabile in tutti i Paesi UE a decorrere dal 25 maggio 2018.

Esso innova gli elementi caratteristici della normativa privacy, delineando un perimetro di applicazione più ampio e più dettagliato.

E’ importante sottolineare, come prima analisi, come Il Regolamento Europeo, analogamente all'attuale normativa ancora vigente in Italia, assegni un ruolo centrale al "consenso" e alla "informativa", che trovano nella loro disciplina un nuovo vigore, con maggiori tutele per gli interessati.

 

L'Informativa (artt. 12, 13, 14 del Reg. Europeo n. 2016/679).

La nuova normativa comunitaria affida all'informativa un ruolo centrale e dinamico, da aggiornare nel corso del tempo, in funzione di mutate condizioni. Occorrerà, pertanto, predisporre delle informative più complete e maggiormente adatte a ciascun singolo caso.

 

L'art. 12 del Regolamento definisce "informativa", quel nucleo di informazioni che il titolare del trattamento è tenuto a fornire ai soggetti di cui si appresta a trattare i dati. Tale definizione va interpretata secondo il principio di trasparenza, che il Regolamento, meglio illustra rispetto alla normativa previgente.

Secondo la normativa comunitaria, infatti, l'informativa deve esser concisa, trasparente, intellegibile e facilmente accessibile. Questa deve esser data per iscritto - preferibilmente in formato elettronico – e, al fine di renderla più sintetica e maggiormente fruibile, è autorizzato l'utilizzo di "icone".

Sono ipotizzate e definite due diversi format di informativa, a seconda che i dati siano o meno raccolti presso l'interessato.

In particolare l'art. 13 del nuovo Regolamento Privacy, enumera le informazioni che il titolare deve fornire all'interessato, qualora i dati personali siano raccolti presso la propria azienda; mentre, l'art. 14, elenca quelle da rendersi ove i dati invece siano raccolti presso un soggetto diverso dall'interessato.

A) ipotesi in cui i dati vengono raccolti presso il titolare del trattamento; in tal caso l’informativa dovrà contenere i seguenti elementi:

a)l'identità e i dati di contatto del titolare e, ove applicabile del suo rappresentante;

b)i dati di contatto del Responsabile del Protezione dei Dati (c.d. DPO);

c)le finalità del trattamento;

d)i legittimi interessi del titolare di terzi;

e)i destinatari dei dati;

f)l'intenzione del titolare di trasferimento dei dati ad un paese terzo;

g)il periodo di conservazione dei dati o, se non è possibile, i criteri utilizzati per determinare tale periodo;

h)il diritto di accesso ai dati da parte dell'interessato, il diritto di rettifica e di cancellazione, la limitazione del trattamento o l'opposizione allo stesso e il diritto alla portabilità;

i)il diritto di revoca del consenso;

j)il diritto di reclamo all'autorità di controllo;

k)l'obbligatorietà o la non obbligatorietà di comunicare dati e nonchè le possibili conseguenze di un eventuale rifiuto;

l)l'esistenza di un processo automatizzato come la profilazione e l'indicazione delle logiche utilizzate, dell'importanza e delle conseguenze del trattamento.

Inoltre, nel caso in cui i dati raccolti vengano utilizzati per una finalità diversa da quella per cui gli stessi sono stati ottenuti, prima di un ulteriore trattamento, il titolare ha l'obbligo di fornire all'interessato tutte le informazioni in merito alla finalità diversa per cui i dati verranno utilizzati, nonchè tutte le necessarie ed ulteriori informazioni pertinenti.

B) ipotesi in cui i dati vengono raccolti presso soggetti diversi dall'interessato; in tal caso l’informativa dovrà contenere i seguenti elementi:

a) entro un termine ragionevole dall'ottenimento dei dati, al più tardi entro un mese in considerazione delle specifiche circostanze la cui i dati vengano trattati;

b) in caso di prevista comunicazione con altro destinatario al più tardi al momento della prima divulgazione dei dati;

c) nel caso in cui i dati siano destinati alla comunicazione con l'interessato al più tardi al momento della prima comunicazione all'interessato.

In tutti questi casi, ad ogni modo, l'informativa deve contenere:

a) tutto quanto sopra indicato per l'ipotesi in cui i dati siano raccolti presso l'interessato (art. 13 Reg. n. 2016/679);

b) le categorie dei dati in questione;

c) i legittimi interessi perseguiti dal titolare del trattamento o da terzi qualora il trattamento sia basato su un legittimo interesse;

d) la fonte di provenienza dei dati e se questa ha carattere pubblico.

Anche in questo caso il titolare del trattamento, prima di procedere con qualsivoglia ulteriore trattamento non previsto inizialmente, deve fornire all'interessato le informazioni in merito alla diversa finalità dell'utilizzo dei suoi dati personali.

Gli unici casi in cui può essere omessa l'informativa sono i seguenti:

1) se si dispone già delle informazioni o sono informazioni note;

2) se comunicare tali informazioni comporta uno sforzo sproporzionato o è impossibile (valutazione che spetta al titolare del trattamento);

3) se l'ottenimento dei dati o, la loro comunicazione, sono previsti dal diritto dell'Unione;

4) se i dati devono restare riservati per un obbligo di segreto professionale.

 

Il Consenso (art. 7 del Reg. Europeo n. 2016/679)

La nuova normativa comunitaria affida al consenso, insieme all’informativa un ruolo fondamentale.

L'art. 7 del Regolamento prevede, infatti, che il titolare del trattamento deve essere sempre in grado di poter dimostrare che l'interessato abbia espresso liberalmente il consenso al trattamento dei propri dati personali, avendo preventivamente ed inequivocabilmente espresso il suo consenso al trattamento "in modo chiaramente distinguibile dalle altre materie, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro". E, nel caso in cui il richiesto consenso riguardi minori di 16 anni, il consenso deve esser fornito da chi esercita la potestà genitoriale sul minore; un'attenzione particolare, pertanto, meritano le iscrizioni ai social e l'utilizzo di alcune App.

Infine il Regolamento pone in capo all'interessato il diritto di revocare il proprio consenso in qualunque momento e senza alcuna giustificazione.

 

Vedi anche:

http://www.garanteprivacy.it/guida-all-applicazione-del-regolamento-europeo-in-materia-di-protezione-dei-dati-personali

 

Lunedì 22/01 al Teatro Moderno di Grosseto ci sarà un grande evento di sensibilizzazione sulla sicurezza sul lavoro.

Preparandosi alla nuova UNI EN ISO 9001, nella revisione del proprio sistema di gestione, può essere utile l'elenco dei documenti obbligatori previsti dalla norma.