La tutela della privacy
Con l'entrata in vigore (il 25 maggio 2018) del nuovo Regolamento europeo sul diritto di
riservatezza (il GDPR 2016/679) è stato adottato dal nostro legislatore un decreto di coordinamento
(il D.Lgs. 101/2018) necessario per adeguare la normativa nazionale alle disposizioni del Reg. UE
2016/679 del Parlamento europeo e del Consiglio.
Quindi adesso in materia di privacy si trovano a convivere 3 fonti normative: il regolamento
europeo, la legge 196/2003 (c.d. Codice della privacy) che aveva ridefinito la materia raccogliendo
la produzione normativa a partire dall'entrata in vigore della L. 675/96 e il d.lgs. 101/2018. Il T.U
sulla privacy si compone fondamentalmente di 3 sezioni:
la 1° parte fornisce le definizioni di base e le disposizioni generali valide per qualsiasi trattamento
dei dati;
la 2° parte disciplina i diversi ambiti: ad es. la p.a. la sanità, l'ambito giudiziario ecc;
la 3° parte disciplina le funzioni dell'Ufficio del Garante per la protezione dei dati personali, nonchè
la tutela amministrativa e giurisdizionale accordata al soggetto leso nel proprio diritto alla
riservatezza.
Uno dei primi adempimenti richiesti dal regolamento europeo, e ora in seguito all'entrata in vigore
del d. lgs.101/2018 anche dal codice della privacy (L. 196/2003) è quello della nomina del
responsabile della protezione dei dati RDP o in inglese DPO.
La nomina è obbligatoria ove vengano trattati su larga scala dati sensibili e giudiziari, quindi
certamente è necessaria per le pp.aa. E l'avvenuta nomina va comunicata al Garante per la privacy.
Altro adempimento richiesto è la valutazione d'impatto privacy (a cura del responsabile) attraverso
la redazione di un registro delle attività del trattamento; si tratta in sostanza di una ricognizione sul
trattamento dei dati ai fini dell'individuazione della finalità perseguita, della normativa di
riferimento, delle categorie di dati trattati, delle misure di sicurezza e dei tempi di conservazione dei
dati. Occorre poi individuare i soggetti che effettuano il trattamento, ridefinendone responsabilità ed
incarichi. E inoltre occorre definire la procedura di “data breach” ovvero la procedura di notifica al
Garante della privacy di violazioni delle quali il titolare del trattamento venga a conoscenza; tale
adempimento va ottemperato entro il termine di 72 ore e cmq senza ingiustificato ritardo qualora si
ritenga probabile che dalla violazione possano derivare rischi per i diritti e le libertà degli
interessati.
Per quanto concerne le regole generali nel trattamento dei dati, ai sensi di quanto disposto dal
regolamento UE il trattamento è lecito:
a) se l'interessato ha espresso il consenso per una specifica finalità;
b) se il trattamento è necessario all'esecuzione di un contratto di cui l'interessato è parte;
c) se il trattamento è necessario per l'adempimento di un obbligo legale al quale è soggetto il titolare
del trattamento;
d) se il trattamento è necessario per la salvaguardia degli interessi vitali dell'interessato o di altra
persona fisica;
e) se il trattamento è necessario per l'esecuzione di un compito di interesse pubblico di cui è
investito il titolare del trattamento;
f) se il trattamento è necessario per il perseguimento del legittimo interesse del titolare del
trattamento o di terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà
fondamentali dell'interessato che richiedono la protezione dei dati personali, in particolare se
l'interessato è un minore.
Ricordiamo un'importante novità introdotta dal Regolamento UE è il principio diritto all'oblio. Il
diritto all'oblio che consiste nel diritto di ogni persona di rettificare i dati personali che la
riguardano e il “diritto alla cancellazione e all'oblio”, se la conservazione di tali dati non è conforme
al Regolamento.
Il concetto di accountability
Nel Regolamento europeo emerge il concetto di accountability che implica la responsabilizzazione
