DECRETO LEGISLATIVO N. 101 DEL 10 AGOSTO 2018
Disposizioni per l’adeguamento della normativa nazionale alle disposizioni del regolamento UE 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).
Il 25 maggio 2016 è entrato in vigore il Regolamento UE 2016/679 in materia di Protezione dei dati personali che in seguito al Decreto legislativo n. 101 del 10 Agosto 2018 ha modificato e integrato il Codice in materia di protezione dei dati personali (Decreto legislativo 30 giugno 2003 n. 196) alle disposizioni europee in tema di privacy.
Con il Decreto legislativo 101/2018 si è proceduto all’abrogazione di alcune disposizioni del vecchio codice italiano della privacy (D. lgs 196/2003) quali:
- Principi;
- diritti degli interessati;
- obblighi generali di titolari e responsabilità;
- misure di sicurezza;
- adempimenti;
- notifiche nei confronti dell’Autorità.
Oltre all’abrogazione delle disposizioni di cui sopra il D. lgs. 101/2018 inserisce e modifica nuove disposizioni perseguendo l’ambizione di completare il quadro normativo in tema di protezione dei dati adeguando le vecchie disposizione del Codice privacy ancora in vigore alla disciplina del GDPR.
L’adeguamento al nuovo Regolamento non ha introdotto novità rilevanti in merito all’informativa e al consenso ad eccezione di alcune disposizioni su:
- i minori: da la possibilità al minore che ha compiuto i 14 anni di poter esprimere il consenso al trattamento dei dati personali in relazione all’offerta diretta di servizi della società dell’informazione. Il Titolare del trattamento deve redigere l’offerta diretta al minore con un linguaggio chiaro semplice conciso ed esaustivo;
- gli studenti: al fine di agevolare l’orientamento la formazione e l’inserimento professionale anche all’estero le istituzioni del sistema nazionale di istruzione i centri di formazione e i centri di formazione ad esse equiparati su richiesta degli interessati possono comunicare o diffondere i dati relativi agli esiti formativi intermedi e finali degli studenti e altri dati personali (diversi da quelli di cui agli art.. 9 e 10 del GDPR) pertinenti in relazione alle predette finalità;
- il trattamento di dati genetici biometrici e sanitari: non accorre più il consenso per il trattamento di dati sanitari genetici e biometrici se tali dati vengono trattati al fine di effettuare una diagnosi una cura una ricerca scientifica biomedica o epidemiologica. Vista la natura particolare di tali dati sarà il Garante a dare indicazioni sulle misure di garanzia da adottare nel trattamento di tali dati;
- il trattamento di dati per fini di rilevante interesse pubblico: è consentito il trattamento di dati personali di cui all’art. 9 del GDPR (dati particolari) per motivi di interesse pubblico rilevante o connesso all’esercizio di pubblici poteri (accesso a documenti amministrativi e accesso civico tenuta degli atti e dei registri dello stato civile ecc.)
- l’informativa e l’invio di curriculum: l’informativa sulla privacy viene fornita al momento del primo contatto utile successivo all’invio del curriculum. Nei limiti delle finalità indicate dal Regolamento UE il consenso al trattamento dei dati personali presenti nei curricula non è dovuto;
- le figure intermedie operanti sotto l’autorità del titolare o responsabile: il titolare e il responsabile del trattamento potranno delegare compiti e funzioni specifiche che il soggetto nominato dovrà svolgere sotto la loro diretta autorità e responsabilità.
Per quanto riguarda le novità e le modifiche rilevanti introdotte dal D. lgs 101/2018 queste riguardano:
- le sanzioni amministrative pecuniarie: vengono definiti i criteri di applicabilità delle sanzioni amministrative che possono variare da un minimo di 10 milioni di euro per i singoli e per le aziende fino al 2% del fatturato globale annuo in caso di violazione degli obblighi previsti per i titolari ed i responsabili a un massimo di 20 milioni di euro per i singoli o fino al 4% del fatturato mondiale annuo per le aziende a prescindere da dove sia la sede principale che può essere anche fuori dall’Europa;
- le sanzioni penali: si applicano qualora si verifichino reati in relazione al trattamento dei dati. Le sanzioni prevedono misure che vanno da 6 mesi fino ad arrivare ai casi più gravi a 6 anni di reclusione (trattamento illecito di dati; comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala; acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala; falsità nelle dichiarazioni al Garante e interruzione dell’esecuzione dei compiti o dell’esercizio dei poteri del Garante inosservanza dei provvedimenti del Garante);
- l’esercizio dei diritti dell’interessato – limitazione: i diritti riconosciuti all’interessato dal GDPR non possono essere esercitati con richiesta al titolare del trattamento qualora dall’esercizio di tali diritti possa derivare un pregiudizio concreto ed effettivo su interessi normativamente tutelati (antiriciclaggio sostegno alle vittime di atti estorsivi ecc.);
- il diritto all’eredità del dato in caso di decesso: i diritti riferiti a persone decedute possono essere esercitati da chi ha un interesse proprio o agisce a tutela dell’interessato in qualità di suo mandatario o per ragioni familiari meritevoli di protezione;
- una forma di tutela alternativa per l’interessato: l’interessato qualora ritenga che i suoi dati siano stati violati può proporre reclamo al Garante o presentare ricorso dinanzi all’Autorità giudiziaria competente (una esclude l’altra);
- il rafforzamento dell’indipendenza dei poteri e dei compiti del Garante: il Garante potrà emanare provvedimenti specifici in merito al trattamento di dati particolari o che diano indicazioni sulle misure di sicurezza anche tecniche necessarie a garantire i diritti degli interessati e potrà adottare i provvedimenti riguardanti codici di condotta e regole deontologiche;
- le modalità semplificate per le PMI (micro piccole e medie imprese): il Garante dovrà adottare linee guida di indirizzo riguardanti le misure organizzative e tecniche di attuazione dei principi del GDPR predisponendo modalità semplificate di adempimento degli obblighi del titolare del trattamento delle micro piccole e medie imprese;
- la segnalazione all’Autorità del Garante: non solo l’interessato ma chiunque può rivolgere una segnalazione che il Garante può valutare ai fini dell’emanazione di provvedimenti.
In conclusione possiamo affermare che in questo nuovo scenario normativo è stata data grande importanza all’Autorità Garante per la protezione dei dati la quale dovrà armonizzare le nuove disposizioni cercando di colmare quel vuoto normativo al quale i soggetti interessati (aziende professionisti e Pubblica Amministrazione) stanno facendo fronte prendendo in considerazione la norma di fonte superiore che è rappresentata dal Regolamento europeo 2016/679.
Lo staff della ICP S.r.l è a completa disposizione per ogni chiarimento in merito.
Non esiti a contattare le nostre sedi di:
Valenzano (BA)Telefono: +39.080.9697060 –Fax: +39.080.9692092
Taranto (TA) Telefono +39.099.4593984– Fax: +39.080.9692092
“
