Garante privacy: chi è e cosa fa

Annamaria Villafrate | 18 mag 2020

Il garante privacy è un'autorità amministrativa indipendente ex l. n. 675/1996 per assicurare il rispetto dei diritti nel trattamento dei dati personali

Chi è il Garante per la protezione dei dati personali
Composizione e requisiti
Compiti e poteri
Reclamo al Garante Privacy
Garante privacy: videosorveglianza
Garante privacy: fatturazione elettronica

Chi è il Garante per la protezione dei dati personali

Il Garante per la protezione dei dati personali o Garante Privacy è un'autorità amministrativa indipendente, che è stata istituita con la legge n. 675/1996 con il fine di tutelare i diritti e le libertà fondamentali e il corretto trattamento dei dati personali nel rispetto della dignità della persona.

L'art. 30 di questa legge, abrogata poi ai sensi dall'articolo 183, comma 1, lettera a) del Codice in materia di protezione dei dati personali, prevedeva infatti al comma 1 l'istituzione di questa autorità.

Oggi la disciplina dell'Autorità Garante è contenuta negli artt. 153-154 ter, che stabiliscono compiti e poteri, compreso quello di rappresentanza in giudizio.

Composizione e requisiti

L'Autorità Garante Privacy è un organo collegiale composto da 4 membri, due dei quali eletti dalla Camera e agli altri due dal Senato. Al suo interno si provvede alla nomina di un presidente e di un vicepresidente, che sostituisce il primo in caso di impedimento o assenza. Il mandato ha una durata di 7 anni e non è rinnovabile. I soggetti nominati a comporre questo organo devono garantire indipendenza ed essere in possesso di una comprovata esperienza nella protezione dei dati personali in ambito informatico e giuridico.

Compiti e poteri

Al Garante per la protezione dei dati personale spettano, ai sensi dell'art. 154 del dlgs n. 196/2003, alcuni importanti compiti:

controllo di conformità del trattamento dei dati rispetto alla disciplina vigente;
trattamento dei reclami;
promozione di regole deontologiche;
denuncia dei fatti configurabili come reati;
tutela dei diritti e delle libertà fondamentali in attuazione del Regolamento UE n. 2016/679;
trasmissione entro il 31 maggio dell'anno successivo a quello a cui si riferisce, della relazione annuale al Governo
e al Parlamento;
controllo e assistenza in materia di trattamento dei dati personali prevista da leggi di ratifica di accordi o convenzioni internazionali o da atti comunitari o dell'UE.

Compiti del Garante: cosa prevede il Gdpr

I compiti sopra elencati sono attribuiti al Garante anche dal Regolamento UE n. 679/2016, meglio noto come GDPR, che all'art. 57 chiarisce che, fatti salvi gli altri compiti specifici attribuiti da altre disposizioni dello stesso testo, sul proprio territorio ogni autorità deve promuovere la consapevolezza e la comprensione delle regole europee in materia di privacy nei confronti dei cittadini, dei titolari e dei responsabili del trattamento, fornire informazioni su richiesta, svolgere indagini e trattare i reclami.

Reclamo al Garante Privacy

Uno dei compiti del Garante è quindi quello che riguarda i reclami. Grazie al reclamo un soggetto può lamentare la violazione di un proprio diritto in materia di protezione dei dati personali direttamente all'Autorità.

Chi intende presentare un reclamo al Garante privacy può farlo inviandolo dalla propria casella di posta elettronica certificata all'indirizzo protocollo@pec.gpdp.it, oppure a mezzo raccomandata A/R al seguente indirizzo: Garante per la protezione dei dati personali, Piazza Venezia, 11 - 00187 Roma. Il reclamo (il cui modello in formato docx o pdf è scaricabile dal sito ufficiale del Garante) può essere presentato personalmente o avvalendosi dell'assistenza di un avvocato o di una associazione, a cui deve conferirsi apposita procura. Nell'esporre il reclamo è sempre opportuno allegare idonea documentazione in grado di dimostrare la violazione e, se sottoscritto con firma autografa, deve contenere in allegato un documento identificativo del reclamante in corso di validità.

Garante privacy: videosorveglianza

Uno dei settori in cui negli ultimi anni l'Autorità Garante è stata chiamata più di frequente ad esprimere il proprio parere o ad adottare provvedimenti è quello che riguarda la videosorveglianza, soprattutto negli ambienti di lavoro. Tema su cui si sono espresse anche le più importanti autorità giurisdizionali interne ed europee, che hanno ritenuto legittima questa forma di sorveglianza solo in presenza di determinati presupposti e purché le modalità di attuazione non risultino lesive del diritto alla privacy dei dipendenti.

Garante privacy: fatturazione elettronica

Più di recente il Garante è stato chiamato ad esprimere il proprio parere anche sulla fatturazione elettronica, in quanto realizza un trattamento sistematico e dettagliato di dati personali, in violazione dei principi sanciti in materia di riservatezza. Gli obiettivi di contrasto all'evasione fiscale e la riduzione del cartaceo sono sicuramente lodevoli, ma il Garante ha rilevato criticità che non possono essere trascurate. La fattura elettronica infatti riporta tutta una serie di dati (es. fattura prestazioni legali o mediche) da cui è possibile individuare tutta una serie di informazioni che non rispettano certo il principio di riservatezza. A tali criticità si affiancano quelle di tipo informatico, come la mancata cifratura del file XML della fattura, la memorizzazione di dati anche di natura non fiscale sul portale dell'Agenzia e la scarsa sicurezza dei canali di trasmissione impiegati. Osservazioni a cui l'Agenzia delle Entrate ha risposto nel dicembre del 2018 e a cui il Garante ha replicato con il provvedimento del 20 dicembre 2019 in cui chiarisce che: "La valutazione di impatto effettuata dall'Agenzia risulta (...) focalizzata su aspetti meramente tecnici del trattamento, risultando prevalentemente, se non esclusivamente, un documento di valutazione del rischio informatico incombente sui dati. Pertanto, tale valutazione appare carente nella parte analitica riferita agli impatti sui diritti e sulle libertà degli interessati derivanti dai diversi scenari di rischio considerati, anche laddove non siano riferibili alla fattispecie degli incidenti informatici."