|
Data: 20/06/2022 08:00:00 - Autore: Stefano Raffaele Collazzo![]()
Norme privacy: il GDPR[Torna su]
L'acquisizione, l'indicazione e l'utilizzo di informazioni strettamente personali rappresenta, soprattutto oggi, un campo delicato e particolareggiato nel quale ognuno � chiamato a muoversi con cautela: dall'utente o cliente che presta il proprio consenso generico, al titolare che ne prevede e disciplina la finalit�. Ogni singolo rapporto professionale e ciascun canale telematico di accesso per la fruibilit� di un qualsiasi servizio presuppone lo scambio di dati. Uno scambio che impone una richiesta di autorizzazione con contestuale previsione a tutela del dato fornito mediante la sottoscrizione e/o il rilascio di un consenso al trattamento. La normativa di riferimento � rappresentata, in primis, dal d.lgs n. 196/2003 (Codice in materia di protezione dei dati personali) e, pi� di recente, dal Regolamento Europeo n. 679/2016 - GDPR (General Data Protection Regulation).
Dato personale e dato sensibile[Torna su]
Prima di un esame specifico di quelle che risultano essere le figure principali a tutela del diritto alla privacy e delle eventuali conseguenze in caso di violazione, occorre imprescindibilmente fornire una distinzione tra il concetto di dato personale e quello di dato sensibile. Il GDPR n. 679/16 definisce il dato personale come quella informazione riconducibile ad un soggetto inteso quale persona fisica identificata o identificabile, che si inserisce e manifesta in un contesto sociale ben definito mediante il proprio nome, la propria ubicazione geografica, un identificativo online o attraverso elementi caratteristici della propria identit� fisica, economica, culturale o sociale (e, quindi, tratti distintivi come la professione, il livello di studi/formazione, ecc). Di contro, la suddetta normativa non fornisce una specifica definizione di dato sensibile. Tuttavia, con un richiamo espresso agli artt. 9 e 10 del citato regolamento europeo (GDPR n. 679/16), viene prospettata una indicazione generale del 'dato sensibile' attraverso la previsione e il contestuale riferimento ai dati relativi alla salute. In ragione di ci�, pertanto, de relato si definisce il dato sensibile come quella informazione relativa ad un soggetto specifico, risultando assimilabile alla sfera strettamente riservata, non identificabile, non conoscibile e non accessibile arbitrariamente dall'esterno e, dunque, riferibile alla propria condizione personale, clinico-sanitaria e/o giudiziaria. Ossia, coperta da un alto grado di riservatezza e di inaccessibilit� poich� non necessaria alla identificazione di un soggetto nelle relazioni con l'intorno sociale e connessa ad un livello privato e profondo di riferibilit�.
Le figure principali in materia di privacy[Torna su]
Vi sono diverse figure preposte alla tutela del dato personale e sensibile al fine di evitare una errata e ingiustificata divulgazione e una contestuale illegittima violazione della riservatezza (si pensi ad es. al caso del 'data breach'). Ci� premesso, le figure principali vengono individuate secondo il seguente schema:
Comunicazione informativa privacy[Torna su]
Il soggetto incaricato e/o obbligato a rendere la corretta informazione sull'utilizzo dei dati e sul livello di protezione garantito, deve premurarsi di informare correttamente il destinatario e eseguire tale fase secondo dei tempi ben definiti. Tale passaggio incarna una preliminare e imprescindibile forma di garanzia in quanto necessariamente esperibile al fine di evitare una contestazione ex post, in caso di violazione, con la conseguenza diretta all'instaurazione di una procedura di riconoscimento del danno da violazione della privacy e contestuale richiesta di risarcimento. Nello specifico, dunque, l'informativa sulla privacy andr� esposta prima dell'acquisizione dei dati e potr� essere fornita per iscritto (con il consueto documento pre-stampato), previa spiegazione dettagliata da parte dell'eventuale professionista di riferimento cos� da rendere edotto l'interessato e consapevolmente cosciente del trattamento. Inoltre, l'informativa, al fine di assolvere correttamente all'obbligo, potr� essere resa anche mediante il formato elettronico e, quindi, attraverso un invio telematico con l'utilizzo dei canali oramai diffusi (e-mail, pec). Tuttavia, appare doveroso evidenziarlo, in entrambi i casi l'informativa sulla privacy dovr� prevedere il ricorso ad un linguaggio chiaro e semplice con una forma trasparente, immediatamente accessibile e concisa.
Principi applicabili al trattamento dei dati[Torna su]
La individuazione dei principi posti alla base del trattamento dei dati poggia preliminarmente le sue fondamenta su un principio cardine, l'accountability (o principio di responsabilizzazione), ossia il compito, posto in capo al titolare del trattamento, di assicurare e comprovare il rispetto dei principi applicabili al trattamento dei dati personali. Da qui la previsione di quelli che secondo il Regolamento UE (n. 679/16) risultano i principi fondamentali applicabili al trattamento:
Conseguenze in caso di violazione del dato personale e sensibile[Torna su]
Laddove non si dovessero rispettare i succitati principi, posti a fondamento della riservatezza dell'individuo e della politica tesa a garantire un obbligatorio e comprovato controllo della privacy, inevitabili sarebbero le conseguenze in grado di configurarsi in capo al titolare del trattamento dei dati personali (ad es. un medico, un avvocato, un consulente finanziario, ecc.). In particolare le richiamate conseguenze verrebbero definite in forza di un danno valutabile tanto nella misura patrimoniale quanto in quella non patrimoniale, evidentemente inserite in una ben definita azione di risarcimento in sede civile. Il passaggio appena reso, tuttavia, impone una precisazione imperativa. Nel caso in cui la titolarit� del trattamento dei dati sia inserita in un contesto tanto pubblico quanto privato ma con un coinvolgimento di dati su larga scala, le sanzioni previste in materia di violazione della privacy (concretizzantesi in casi come il data breach, l'illegittima divulgazione, l'assenza di sistemi di protezione, l'inosservanza dell'analisi di rischio e della valutazione di impatto, la mancata applicazione dei codici crittografici, ecc.) potrebbero essere emesse direttamente dal Garante della privacy tenuto conto del grado di responsabilit� a seguito di specifica segnalazione e connessa istruttoria. E, dunque, comportare l'applicazione alternativa della misura diretta alla repressione della violazione sotto una duplice forma a seconda della gravit� rilevata:
Il diritto alla privacy e il riferimento specifico al trattamento del dato personale e sensibile rappresenta, in particolar modo con l'avanzare della tecnologia e dei sistemi informatici, un quadro giuridico e legislativo al quale dover prestare un necessario richiamo e una imprescindibile valutazione di garanzia. La circostanza secondo la quale poter definire o meno la violazione del dato e la contestuale acquisizione e divulgazione dello stesso in maniera accidentale, fortuita e non imputabile dipender� dal grado di efficienza, tutela e predisposizione del preliminare programma informativo e strutturale a garanzia della privacy.
Stefano Raffaele Collazzo DPO � Data Protection Officer Studio Legale Vitulo 0510827368 |
|