Consulente per l'adeguamento Privacy e Protezione dei Dati Personali GDPR a Merano

(Art. 5)

I dati devono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato. Devono essere raccolti per finalità determinate, esplicite e legittime, e i dati devono essere adeguati, pertinenti, esatti ed aggiornati, oltre che limitati a quanto necessario rispetto alle finalità, e comunque da trattare in modo da garantirne un’adeguata sicurezza.

(Artt. 6, 7)

Il Titolare del trattamento deve distinguere i casi in cui per eseguire un trattamento è richiesto il consenso dell’interessato prima di iniziare il trattamento, da quelli in cui non è necessario. La richiesta del consenso deve essere presentata in modo distinto da altre richieste, in forma comprensibile e facilmente accessibile, utilizzando un linguaggio semplice e chiaro. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l'interessato ha prestato il proprio consenso al trattamento dei propri dati personali.

(Art. 8)

Ove sia richiesto il consenso, per il trattamento di dati relativo all’offerta diretta di servizi della società dell’informazione ai minori, questo è lecito solo se il minore che ha prestato il consenso ha compiuto i 16 anni, diversamente deve essere acquisito il consenso di colui/coloro che ha/hanno la responsabilità genitoriale del minore. In quest'ultimo caso il Titolare deve adoperarsi in ogni modo ragionevole, per verificare che il consenso sia prestato o autorizzato effettivamente dal/i titolare/i della responsabilità genitoriale sul minore

(Art. 9)

È vietato, per impostazione di base, trattare dati personali corrispondenti a quelli definiti come ‘sensibili’, nonchè dati genetici e biometrici. Sono però previste specifiche eccezioni, come ad esempio in cui: l’interessato ha prestato il consenso; i dati sono trattati per eseguire un contratto di lavoro e per la sicurezza/protezione sociale sul lavoro; i dati sono trattati a fini di tutela di un interesse vitale dell’interessato; i dati personali sono stati resi pubblici dall’interessato, ecc...

(Art. 10)

Il trattamento dei dati personali relativi alle condanne penali e ai reati o a connesse misure di sicurezza, deve avvenire soltanto sotto il controllo dell'autorità pubblica o se il trattamento è autorizzato dal diritto dell'Unione o degli Stati membri che preveda garanzie appropriate per i diritti e le libertà degli interessati.

(Art. 12)

Il Titolare del trattamento adotta misure appropriate per fornire all'interessato tutte le informazioni e le comunicazioni, relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro. Il titolare è tenuto ad assicurare l’esercizio dei diritti da parte dell’interessato e, in particolare, a fornire una risposta alla richiesta del medesimo senza ingiustificato ritardo e comunque entro un mese dal ricevimento della medesima (prorogabile di due mesi ove necessario, tenuto conto della complessità e del numero delle richieste).

(Artt. 13,14)

Adempimento di base per tutti i titolari, per la sua redazione necessita di una buona analisi dei processi aziendali ai fini del/i trattamento/i. L’informativa richiesta dal Regolamento UE è più cospicua in termini di informazioni di quella prevista dalle norme precedenti. Deve contenere tra l'altro la base giuridica che stabilisce il periodo di conservazione dei dati personali raccolti, i leggittimi interessi perseguiti del titolare, i diritti degli interessati, l'esistenza di un processo decisionale automatizzato, ecc... Il linguaggio delle informative deve essere semplice e chiaro.

(Artt. 15,16, 17, 18, 20, 21)

Il Regolamento prevede diversi diritti che spettano all’interessato. I titolari devono rispettare questi diritti, che sono, il diritto di: accesso, rettifica, cancellazione o oblio, limitazione del trattamento, portabilità dei dati, opposizione al trattamento, e gli eventuali obblighi di notifica e/o comunicazione spettanti ai titolari.

(Art. 22)

Un altro diritto di cui gode l'interessato consiste nel non essere sottoposto a decisioni basate unicamente su un trattamento automatizzato dei dati, che possa produrre effetti giuridici che lo riguardano o che comunque incida significativamente sulla sua persona (es. profilazione). Il divieto che ne deriva non si applica ove la decisione sia autorizzata dal diritto dell’Unione o del singolo Stato membro.

(Art. 24, 32)

Tenuto conto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento. Dette misure sono riesaminate e aggiornate qualora necessario.

(Art. 25)

• Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche costituiti dal trattamento, sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate;
• Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento. Tale obbligo vale per la quantità dei dati personali raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilità.

(Art. 26)

Allorché due o più titolari del trattamento determinano congiuntamente le finalità e i mezzi del trattamento, essi sono contitolari del trattamento. Essi determinano in modo trasparente, mediante un accordo interno, le rispettive responsabilità in merito all'osservanza degli obblighi derivanti dal Regolamento, con particolare riguardo all'esercizio dei diritti dell'interessato, e le rispettive funzioni di comunicazione delle informazioni. Il contenuto essenziale dell'accordo deve essere messo a disposizione dell'interessato.

(Art. 27)

Nel caso in cui il trattamento di dati personali relativi ad interessati che si trovano nell’Unione, venga operato  da parte di titolare/responsabile non stabilito nell’UE, il titolare/responsabile designa per iscritto un proprio rappresentante nell’Unione. Il rappresentante fungerà quindi da interlocutore per la competente autorità di controllo e degli interessati, per tutte le questioni riguardanti il trattamento.

(Art. 28)

Qualora un trattamento debba essere effettuato per conto del titolare del trattamento o qualora quest'ultimo decida di delegare tale funzione, il titolare ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del Regolamento e garantisca la tutela dei diritti dell'interessato.

(Art. 29)

Il responsabile del trattamento, o chiunque agisca sotto la sua autorità o sotto quella del titolare del trattamento, che abbia accesso a dati personali non può trattare tali dati se non è istruito in tal senso dal titolare del trattamento.

(Art. 30)

È un adempimento obbligatorio per i titolari del trattamento con un numero di dipendenti pari o superiore a 250 unità o che, se anche al di sotto di tale soglia, effettui almeno un trattamento (non occasionale) che possa presentare rischi per i diritti e le libertà degli interessati, e che includa informazioni sensibili, genetiche, biometriche, giudiziarie.

(Art. 31)

Il titolare del trattamento, il responsabile del trattamento e, ove applicabile, il loro rappresentante cooperano, su richiesta, con l'autorità di controllo nell'esecuzione dei suoi compiti.

(Art. 33)

In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all'autorità di controllo competente (il Garante) senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Qualora la notifica all'autorità di controllo non sia effettuata entro 72 ore, è corredata dei motivi del ritardo.

(Art. 34)

Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all'interessato senza ingiustificato ritardo. La comunicazione all'interessato deve descrivere con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le misure addottate a seguito della violazione. L'articolo individua anche i casi in cui la comunicazione non è richiesta.

(Artt. 35, 36)

È un altro adempimento che grava sul titolare nel caso in cui debba iniziare e gestire un trattamento molto rischioso per i diritti e le libertà delle persone fisiche. Questo si verifica soprattutto, quando si adoperano nuove tecnologie, in considerazione anche della natura, dell'oggetto, del contesto, e delle finalità del trattamento. La norma fissa i contenuti da redigere, e qualora la valutazione di impatto verifica che il trattamento presenta un rischio elevato, il titolare è tenuto a consultare l’autorità di controllo prima di procedere al trattamento.

(Artt. 37, 38, 39)

La nomina del DPO è un obbligo in capo al titolare del trattamento, quando:

1. è autorità/organismo pubblico (eccettuate le autorità giurisdizionali quando esercitano le loro funzioni giurisdizionali);
2. effettua trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala;
3. effettua come attività principali trattamenti su larga scala di dati sensibili, genetici, biometrici, giudiziari.

Il DPO ha compiti di consulenza e sorveglianza degli adempimenti previsti dal Regolamento, e si occupa anche della informazione e formazione degli addetti al trattamento; inoltre funge da interlocutore con l’autorità di controllo.

(Artt. 40, 41, 42)

Gli Stati membri, le Autorità di controllo, il Comitato e la Commissione incoraggiano l'elaborazione di codici di condotta destinati a contribuire alla corretta applicazione del Regolamento, in funzione delle specificità dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese.Si tratta di un adempimento volontario del titolare.

(Artt. 44, 45, 46, 47, 48, 49)

Il trasferimento di dati personali verso un Paese terzo o un’organizzazione internazionale è consentito solo se viene effettuato nel rispetto di particolari condizioni, che garantiscano un livello adeguato di protezione delle informazioni delle persone fisiche, previsto dal Regolamento.

(Art. 82)

Chiunque subisca un danno materiale o immateriale causato da una violazione del regolamento ha il diritto di ottenere il risarcimento del danno dal titolare o dal responsabile del trattamento. Il titolare o il responsabile del trattamento sono esonerati dalla responsabilità, se dimostrano che l'evento dannoso non gli è in alcun modo imputabile.