L'osservatorio sulle novità legali in materia di protezione dei dati personali

Il Comitato Europeo per la protezione dei dati personali (l’”EDPB”) ha recentemente pubblicato le Linee Guida 3/2019 sul trattamento dei dati personali attraverso dispositivi di videosorveglianza (le “Linee guida”).

Le Linee Guida hanno lo scopo di fornire orientamenti su come applicare il Regolamento UE 2016/679 (“GDPR”) in tutti i potenziali settori di utilizzo di dispositivi di videosorveglianza.

Lo scorso 31 dicembre 2020, la sezione lavoro del Tribunale di Bologna ha condannato la società Deliveroo Italia S.r.l. (“Deliveroo” o la “Società”), convenuta in giudizio dalle associazioni sindacali FILMCAS CGIL, NIDIL CGIL, FILT CGIL (i “Sindacati”) per la natura discriminatoria delle condizioni di accesso alle sezioni di lavoro tramite la piattaforma digitale della Società.

La violazione dei dati personali  espressamente disciplinata dal Regolamento UE 2016/679 (“GDPR” o il “Regolamento”), consiste in una violazione di sicurezza subìta dal titolare o dal responsabile del trattamento, che comporta, in modo illecito o accidentalmente, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati, compromettendo la riservatezza, l’integrità o la disponibilità dei dati personali[1].

Introduzione

Il 10 dicembre 2020, l’Autorità garante per la protezione dei dati personali (“Garante Privacy” o l’”Autorità”) ha avviato una consultazione pubblica sulle “Linee Guida sull’utilizzo dei cookie e di altri strumenti di tracciamento” (“Linee Guida”), destinata a concludersi il prossimo 11 gennaio 2021.

La stessa Autorità era già intervenuta sul tema “cookie” con il Provvedimento n.

Videosorveglianza e trattamento di dati personali

Ai sensi dell’art. 4, comma 1, n. 1 e 2 del Regolamento UE 2016/679 (“GDPR”), è considerato “dato personale” qualsiasi informazione riguardante una persona fisica identificata o identificabile ed è considerato un “trattamento” la raccolta, la registrazione e la conservazione di un dato personale e dunque, l’utilizzo delle immagini configura come un trattamento di dati personali.

Il 15 ottobre 2020, l’Autorità garante per la protezione dei dati personali (“Garante” o l’ “Autorità”) ha ribadito, con due distinti provvedimenti, il principio per il quale una persona ha diritto a vedere deindicizzati dai motori di ricerca gli articoli che riportano vicende giudiziarie risalenti nel tempo alle quali è poi risultata estranea.

Il diritto all’oblio

Giova premettere che per “diritto all’oblio” si intende il diritto ad essere dimenticati e a non vedere il proprio nome associato a fatti o vicende ormai lontane nel tempo.

Il 30 ottobre 2020, l’Information Commissioner’s Office (“ICO”), ossia l’Autorità inglese per la protezione dei dati personali, ha sanzionato la catena alberghiera Marriott International (“Marriott”) per 18.4 milioni di sterline (pari circa a 20.4 milioni di euro) per non aver protetto i dati personali di milioni di clienti.

La sanzione si riferisce all’attacco informatico ai sistemi IT di Starwood Hotels (“Starwood”) – società poi acquisita da Marriott – subìto nel 2014 e che, provenendo da una fonte sconosciuta, non era stato scoperto sino a settembre 2018.

Con la sentenza n. 17383 del 20 agosto 2020, la Cassazione si è pronunciata sul risarcimento del danno non patrimoniale per violazione dei dati personali ai sensi degli ormai abrogati articoli 11 e 15 del D. Lgs. 196/2003 (“Codice Privacy”), i quali prevedevano la risarcibilità del danno, anche di natura non patrimoniale, cagionato per effetto del trattamento illegittimo dei dati personali.

Introduzione

L’utilizzo della posta elettronica e di internet sul posto di lavoro è disciplinato dalle “Linee guida del Garante per posta elettronica e internet” (“Linee Guida”) pubblicate nel 2007 dall’Autorità Garante per la protezione dei dati personali (il “Garante Privacy” o l’”Autorità”).

Le Linee Guida forniscono indicazioni pratiche ai datori di lavoro sulla gestione della posta elettronica e della rete Internet messe a disposizione ai dipendenti per lo svolgimento delle mansioni loro affidate e hanno lo scopo di contemperare le legittime aspettative di un ordinato svolgimento dell’attività lavorativa con la prevenzione di possibili intrusioni nella sfera personale dei lavoratori, nonché di violazioni della disciplina sull’eventuale segretezza della corrispondenza.

La Corte di Giustizia dell’Unione europea (“CGUE”), con la sentenza del 16 luglio 2020, ha invalidato la decisione 2016/1250 della Commissione UE, la quale considerava “adeguato” il livello di protezione assicurato dal Privacy Shield, meccanismo utilizzato dalle aziende statunitensi e volto a certificare il rispetto di specifici standard nel trattamento dei dati ricevuti dall’Unione europea (“UE”).

Nell’ambito della predisposizione da parte dell’Agenzia per l’Italia digitale (di seguito “AgID”) della bozza di “Linee guida per la stesura del piano di cessazione del servizio di conservazione” (“Linee Guida”), le quali si inseriscono nel processo di attuazione del Codice per l’Amministrazione Digitale (“CAD”), il documento è stato sottoposto al parere dell’Autorità Garante per la protezione dei dati personali (il “Garante Privacy”).

L’Autorità Garante per la protezione dei dati personali (il “Garante Privacy” o l’”Autorità”), nell’ambito dello svolgimento della sua attività di controllo e a seguito di numerose segnalazioni e reclami da parte degli interessati, con il provvedimento n. 143 del 9 luglio 2020 (il “Provvedimento”), ha irrogato nei confronti della società Wind Tre S.p.A. (la “Società” o “Wind Tre”) una sanzione pari a circa 17 milioni di Euro per trattamenti illeciti di dati personali posti in essere dalla stessa, legati prevalentemente, ma non esclusivamente, ad attività promozionali.

On June 26, 2020, the European Commission (the “Commission” or the “EC“) published an evaluation report (“Report”) regarding the two years of application of the General Data Protection Regulation 679/2016 (“GDPR”).

The Report, entitled “Data protection as a pillar of citizens’ empowerment and the EU’s approach to the digital transition”, shows that the GDPR has achieved most of its objectives, in particular by guaranteeing EU citizens a solid set of rights and a better control over their personal data, which are processed for a legitimate purpose, in a lawful, fair and transparent way; by creating a new European system of governance based on stronger and harmonised enforcement powers provided to the independent data protection authorities (“DPAs”) and by strengthening the companies operating within the internal market in a context of an economy increasingly based on the processing of data, including personal data.

Con ordinanza ingiunzione del 10 giugno 2020, a conclusione di una complessa attività istruttoria avviata a seguito di un data breach subìto e notificato da UniCredit S.p.A. (la “Banca” o “UniCredit”), l’Autorità Garante per la protezione dei dati personali (il “Garante Privacy” o l’”Autorità”) ha inflitto nei confronti della Banca una sanzione pari a 600 mila Euro in ragione degli accertati accessi abusivi ai dati personali superiore a 760 mila clienti.

Il Decreto Legge 30 aprile 2020, n. 28, recante “Misure urgenti per la funzionalità dei sistemi di intercettazioni di conversazioni e comunicazioni, ulteriori misure urgenti in materia di ordinamento penitenziario, nonché disposizioni integrative e di coordinamento in materia di giustizia civile, amministrativa e contabile e misure urgenti per l’introduzione del sistema di allerta Covid-19” (c.d. “Decreto Giustizia”), convertito, con modificazioni, dalla legge 25 giugno 2020, n.

Il D.Lgs. 231/2001 (il “Decreto”) disciplina la responsabilità amministrativa delle persone giuridiche, delle società e delle associazioni anche prive di personalità giuridica, prevedendo la responsabilità in capo all’ente per i reati commessi nel suo interesse o a suo vantaggio (i) da persone che rivestono funzioni di rappresentanza, di amministrazione o di direzione dell’ente o di una sua unità organizzativa dotata di autonomia finanziaria e funzionale nonché da persone che esercitano, anche di fatto, la gestione e il controllo dello stesso; (ii) da persone sottoposte alla direzione o alla vigilanza di uno dei soggetti di cui al punto (i).

La Corte europea dei diritti dell’uomo (“Corte EDU” o “Corte”) è un organo giurisdizionale internazionale, istituito nel 1959 dalla Convenzione europea per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali (“CEDU” o “Convenzione”). La Corte EDU svolge principalmente due diverse funzioni:

1. funzione contenziosa, nell’ambito delle controversie presentate sia con ricorsi individuali sia con ricorsi da parte degli Stati contraenti nei quali si lamenti la violazione di una delle disposizioni della CEDU o dei suoi protocolli addizionali.

L’Autorità irlandese per la protezione dei dati personali (di seguito, l’”Autorità”) ha comminato la sua prima sanzione dall’entrata in vigore del Regolamento UE 679/2016 (il “GDPR”), pari a 75 mila Euro, nei confronti di Tusla, l’agenzia di stato per l’infanzia e la famiglia (di seguito, l’”Agenzia”) a seguito di un’indagine condotta dall’Autorità, che ha visto coinvolti tre diversi casi di divulgazione di dati personali di minori a soggetti non autorizzati.

In data 29 aprile 2020, il Garante per la protezione dei dati personali (il “Garante Privacy”) ha espresso parere favorevole in merito alla proposta normativa per l’introduzione di una applicazione volta al tracciamento dei contagi da COVID-19, ritenendola conforme ai criteri indicati dalle Linee guida del Comitato europeo per la protezione a proposito dei sistemi di contact tracing.

Il presidente dell’Autorità Garante per la protezione dei dati personali (“Garante Privacy”), Antonello Soro, a seguito di alcuni quesiti presentati da parte dell’Unione delle Camere Penali in merito alle procedure adottate dal Ministero della Giustizia (“Ministero”) per lo svolgimento delle udienze penali da remoto nel rispetto di quanto previsto dai D.L. n. 11 e n.18 del 2020, ha pubblicato una lettera rivolta al Ministro della Giustizia, On.

La Commissione europea (la “Commissione UE“) ha pubblicato la guida “Guidance on Apps supporting the fight against COVID-19 pandemic in relation to data protection” (la “Guida”) che segue alla recente pubblicazione della raccomandazione su un approccio comune dell’Unione europea per l’uso di applicazioni mobili e di dati da dispositivi mobili e accompagna il c.d. “toolbox UE” sulle applicazioni di contact tracing.

A seguito di una richiesta di consultazione da parte della Commissione europea, il Comitato europeo per la protezione dei dati (“EDPB”) ha pubblicato una lettera – di cui è stato relatore anche l’Autorità Garante per la protezione dei dati personali – nella quale sostiene con favore il progetto della Commissione europea di sviluppare un approccio comune europeo nella lotta contro il COVID-19 tramite app di contact tracing.

In data 8 aprile 2020, la Commissione europea (“Commissione UE“) ha pubblicato una raccomandazione “on a common Union toolbox for the use of technology and data to combat and exit from the COVID-19 crisis, in particular concerning mobile applications and the use of anonymised mobility data” al fine di sviluppare un approccio comune europeo rispetto all’utilizzo di applicazioni mobili e di dati di localizzazione da dispositivi mobili nell’ambito dell’emergenza da COVID-19 (“Raccomandazione”).

In data 8 aprile 2020 si è tenuta l’audizione informale del presidente dell’Autorità Garante per la protezione dei dati personali (“Garante Privacy”), Antonello Soro, alla Camera dei Deputati sull’uso delle nuove tecnologie e della rete per contrastare la diffusione del COVID-19.

In particolare, l’intervento del Garante Privacy si è concentrato sui seguenti aspetti:

• deroghe e misure limitative della protezione dei dati personali;
• misure relative alla raccolta dei dati sull’ubicazione o sull’interazione dei dispositivi mobili dei soggetti risultati positivi, con altri dispositivi, al fine di analizzare l’andamento epidemiologico o per ricostruire la catena dei contagi, tramite gps, bluetooth e droni;
• contact tracing.

Nell’ambito dell’emergenza epidemiologica da COVID-19, il Garante Privacy ha espresso parere favorevole sullo schema di decreto trasmesso dal Ministero dell’Economia e delle Finanze (“MEF”) da adottare di concerto con il Ministero della salute, relativo alle modalità di consegna al paziente del promemoria dematerializzato della ricetta medica da parte del medico.

Quadro normativo

In particolare:

• con nota del 26 febbraio 2020, il MEF ha trasmesso, ai sensi dell’art.

L’Autorità di controllo svedese (“Autorità di controllo”) ha irrogato una sanzione amministrativa di 75 milioni di corone svedesi (circa 7 milioni di Euro) a Google, in qualità di operatore di motore di ricerca, per non aver adempiuto agli obblighi previsti dal Regolamento generale UE sulla protezione dei dati personali 679/2016 (“GDPR”) in materia di diritto alla cancellazione, e più specificamente, alla deindicizzazione (c.d.

L’autorità croata per la protezione dei dati personali (“AZOP”) ha irrogato una sanzione amministrativa di 20 milioni di Euro ad un istituto di credito per aver negato il diritto di accesso dei soggetti interessati, riconosciuto loro dall’art. 15 del Regolamento UE 679/2016 (“GDPR”).

A partire da ottobre 2018, l’AZOP ha ricevuto numerosi reclami da parte di soggetti interessati riguardanti uno degli istituti di credito croati con sede a Zagabria.

E’ stato sottoscritto il “Protocollo condiviso di regolamentazione delle misure per il contrasto e il contenimento della diffusione del virus Covid-19 negli ambienti di lavoro” su invito del Presidente del Consiglio dei ministri, del Ministro dell’economia, del Ministro del lavoro e delle politiche sociali, del Ministro dello sviluppo economico e del Ministro della salute a seguito dell’intesa con i sindacati e Confindustria.

L’Autorità Garante per la protezione dei dati personali (“Garante Privacy”), con il Provvedimento n. 18 del 23 gennaio 2020, ha irrogato una sanzione pari a 30 mila Euro nei confronti dell’Azienda Ospedaliera Universitaria Integrata di Verona (l’”Azienda”) a seguito di tre episodi di violazione di dati personali avvenuti all’interno dell’Azienda e comunicati dalla stessa al Garante Privacy.

Il caso sottoposto all’esame dell’Autorità Garante per la protezione dei dati personali:

Nel dicembre 2018 l’Università degli Studi di Roma La Sapienza (“Ateneo”) notificava all’Autorità Garante per la protezione dei dati personali (“Garante Privacy”) l’avvenuta diffusione di dati personali trattati per il tramite della piattaforma che l’Ateneo utilizzava per l’acquisizione e la gestione delle segnalazioni di illeciti da parte dei propri dipendenti e di soggetti terzi nell’ambito della disciplina del c.d.

L’Autorità Garante per la protezione dei dati personali (il “Garante Privacy“) ha irrogato due sanzioni, per complessivi 11,5 milioni di Euro, nei confronti di Eni Gas e Luce S.p.A (“Eni”) a seguito di violazioni commesse nell’ambito di attività promozionali e della conclusione di contratti non richiesti nel mercato libero della fornitura di energia e gas.

Nella determinazione delle sanzioni, sono stati considerati i criteri indicati nel Regolamento UE 679/2016 (il “GDPR”), quali l’elevato numero dei soggetti coinvolti, la pervasività delle condotte, la durata della violazione e le condizioni economiche di Eni.

Recentemente i membri delle Rappresentanze permanenti degli Stati membri dell’UE presso il Consiglio dell’Unione europea (il “Consiglio”) hanno pubblicato una bozza di posizione sull’applicazione del Regolamento UE 679/2016 (il “GDPR”). Dopo che tale progetto sarà stato formalmente adottato dal Consiglio, sarà trasmesso alla Commissione Europea (la “Commissione”). Ciò fa parte del processo di valutazione del GDPR ai sensi dell’articolo 97 dello stesso, che prevede che la Commissione pubblichi una relazione sulla valutazione e la revisione del GDPR entro il 25 maggio 2020.

La recente sentenza del Tar, n. 261/2020, pubblicata il 10 gennaio 2020, ha stabilito che il valore economico dei dati dell’utente impone al professionista di comunicare al consumatore che le informazioni ricavabili dai suoi dati potranno essere usate per fini commerciali e, in quanto tali, dovranno considerarsi la “contro-prestazione” dei servizi offerti su internet.

Nel caso di specie, l’AGCM aveva avviato un procedimento istruttorio nei confronti di Facebook Inc e Facebook Ireland Ltd.

L’Autorità Garante per la protezione dei dati personali (il “Garante Privacy”) ha reso pubblico il piano ispettivo per il secondo semestre del 2019, ossia il periodo da luglio a dicembre 2019.

L’attività ispettiva di iniziativa curata dall’Ufficio del Garante Privacy, anche tramite la Guardia di Finanza riguarderà:

1. accertamenti in riferimento a profili di interesse generale per categorie di interessati nell’ambito di trattamenti di dati personali effettuati:
   • mediante applicativi per la gestione delle segnalazioni di condotte illecite (c.d.

Il Garante per la protezione dei dati personali ha pubblicato un modello da utilizzare per la notifica di violazione dei dati personali (c.d. data breach) prevista dall’art. 33 del GDPR, disponibile qui.

I titolari di trattamento dei dati personali sono tenuti a notificare al Garante le violazioni dei dati personali che comportano accidentalmente o in modo illecito la distruzione, la perdita, la modificazione, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi,
conservati o comunque trattati, anche nell’ambito delle comunicazioni elettroniche, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà degli interessati.

L’Autorità per la protezione dei dati personali spagnola (l'”Autorità“) ha comminato la sanzione di Euro 250.000 alla Liga de Futbòl (“LaLiga“), società che gestisce il campionato di calcio spagnolo, per aver spiato il telefono cellulare di mezzo milione di utenti spagnoli attraverso la propria applicazione ufficiale utilizzando i microfoni remoti e il GPS per individuare i locali che trasmettono partite di calcio senza pagare le licenze corrispondenti.

L’Agenzia dell’Unione Europea per i Diritti Fondamentali ha pubblicato la seconda edizione del “Manuale sul diritto europeo in materia di protezione dei dati”. Il Garante Privacy ha collaborato alla realizzazione della versione italiana (disponibile qui).

Il Manuale fornisce una panoramica dell’attuale quadro giuridico applicabile a livello europeo in materia di protezione dei dati personali, tenendo conto degli ultimi rilevanti sviluppi normativi (GDPR e la Convenzione 108/81 rivista) nonché della giurisprudenza, ivi incluse le principali sentenze sia della Corte di giustizia dell’Unione europea che della Corte europea dei diritti dell’uomo.

1.     Il contesto fattuale: la richiesta di accesso ai dati del paziente defunto

In un parere reso ad una Azienda sanitaria in materia di accesso civico Il Garante per la protezione dei dati personali (il “Garante”) ha affermato il principio secondo il quale le tutele previste dalla normativa in materia di protezione dei dati personali si applicano anche ai dati personali dei soggetti defunti.

Il Garante Privacy ha richiesto ad una società che si occupa della raccolta dei rifiuti per conto della municipalizzata di un comune toscano di individuare dispositivi elettronici alternativi che non ledano la dignità della persona e di conformare i trattamenti di dati relativi ai dipendenti ai principi applicabili in materia di protezione dei dati personali.

La società aveva consegnato a più di 70 dipendenti addetti alla pulizia delle strade dei dispositivi indossabili dotati anche di un localizzatore gps, con i quali effettuare la lettura delle etichette elettroniche collocate sui cestini getta rifiuti e segnalare l’eventuale spostamento di quelli non ancorati al suolo.

In data 21.03.19, è stato firmato il protocollo d’intesa tra Garante Privacy e Co.Re.Com. del Piemonte per la prevenzione e contrasto del fenomeno del cyberbullismo. Il Co.Re.Com agirà quale sportello italiano territoriale per la tutela dei dati personali e il cyberbullismo. Per i primi tre anni, sarà il punto di riferimento a cui i minori potranno rivolgersi per la tutela dei propri diritti.

Sottoscritta da parte del Presidente del Garante per la protezione dei dati personali (il “Garante” o l’”Autorità”), Antonello Soro, e dal Presidente di ACCREDIA[1], Giuseppe Rossi, la convenzione volta a definire i rapporti di collaborazione tra il Garante e ACCREDIA ai fini dello scambio di informazioni e aggiornamenti volti a favorire le attività di accreditamento e certificazione di cui agli artt.

Nella memoria predisposta per la Commissione Permanente del Senato della Repubblica, il Garante Privacy ha evidenziato come alcune disposizioni del decreto-legge sul Reddito di cittadinanza (“Rdc”) e il relativo sito violino la normativa vigente sulla protezione dei dati personali.

In particolare:

1. il Rdc implica un trattamento su larga scala di dati personali, incluse categorie particolari di dati personali, riguardanti i richiedenti e i componenti del nucleo familiare, senza aver tenuto in debita considerazione i principi del GDPR quali il principio di trasparenza, minimizzazione dei dati, privacy by design e by default;
2. le disposizioni del decreto-legge, volte alla verifica dei requisiti dei richiedenti il Rdc, prevedono degli accessi a vari archivi tra cui quello dell’INPS e dell’Anagrafe tributaria che implicano un ingente flusso di dati tra varie banche dati, senza però, individuare i soggetti pubblici coinvolti né le misure tecniche e organizzative volte a prevenire accessi indebiti e/o utilizzi fraudolenti dei dati raccolti;
3. il monitoraggio centralizzato e sistematico sull’utilizzo della carta del Rdc e i relativi controlli sulle scelte di consumo sono condotti in assenza di una previa valutazione dei rischi e di criteri definiti;
4. il sito web non soddisfa tutti i requisiti richiesti per l’informativa sul trattamento dei dati e presenta alcune carenze nelle modalità tecniche della sua implementazione, permettendo un’indebita e non trasparente comunicazione a terzi dei dati di navigazione dei visitatori del sito;
5. la disciplina sul rilascio delle attestazioni ISEE non garantisce la sicurezza dei dati contenuti nell’Anagrafe Tributaria e nell’archivio dei rapporti finanziari dell’Agenzia delle entrate, stante la mancata previsione di idonee misure tecniche e organizzative.

Antonello Soro – presidente del Garante per la protezione dei dati personali – e Gennaro Vecchione – Direttore Generale del Dipartimento delle informazioni per la sicurezza (“DIS”) –, hanno sottoscritto in data 6 marzo 2018 un protocollo d’intenti che conferma e aggiorna le linee dell’intesa istituzionale sottoscritte per la prima volta nel 2013 e rinnovate nel 2017.

Il documento è stato rivisto al fine di garantirne la conformità al GDPR e al Decreto Legislativo 18 maggio 2018 n.

1. Il Provvedimento Del Garante In Breve

Il Garante per la Protezione dei Dati Personali (o il “Garante”) è intervenuto con il provvedimento n. 499 del 13 dicembre 2018 (o il “Provvedimento”) in merito alla violazione di dati personali (il “Data Breach”) conseguente ad un attacco informatico al sistema di online banking di Unicredit S.p.A.

Durante la “Giornata della Protezione dei dati 2019“, il Comitato consultivo della Convenzione sulla protezione delle persone rispetto al trattamento automatizzato di dati personali (Convenzione 108/1981), ha fornito dei chiarimenti e suggerimenti sulle linee guida presentate sull’intelligenza artificiale e la protezione dei dati personali. Il Garante Privacy ha ampiamente contribuito alle linee guida e ai lavori del Comitato che presiede dal 2016.

Con provvedimento del 15 novembre 2018 n. 9059949, l’Autorità Garante per la protezione dei dati personali (il “Garante“) ha avvisato l’Agenzia delle entrate (l'”Agenzia“) che i trattamenti di dati personali effettuati nell’ambito della fatturazione elettronica presentano numerose criticità rispetto alla conformità alla normativa vigente. Alla luce di ciò, il Garante ha chiesto all’Agenzia di essere informato con urgenza sulle modalità con cui quest’ultima intenda rendere la fatturazione elettronica compliant alla normativa applicabile in materia di protezione dei dati personali.

In data 3 ottobre 2018 il Comitato europeo per la protezione dei dati personali (“EDPB” o il “Comitato”) ha pubblicato l’“Opinion 12/2018 on the draft list of the competent supervisory authority of Italy regarding the processing operations subject to the requirement of a data protection impact assessment” in riferimento all’elenco sottoposto dal Garante per la protezione dei dati personali con riguardo alle tipologie di trattamento soggette all’esecuzione di una Valutazione d’impatto sulla protezione dei dati personali (“DPIA”) ai sensi dell’art.

DPIA: il parere dell’EDPB sulla bozza dell’elenco del Garante Privacy

A poco più di un anno dall’avvio dell’indagine conoscitiva sui Big Data, l’Autorità Garante della Concorrenza e del Mercato, l’Autorità per le Garanzie nelle Comunicazioni e il Garante per la Protezione dei Dati Personali (le “Autorità”) hanno fornito un’informativa preliminare sulle attività di approfondimento condotte e sulle evidenze emerse.

Scopo dell’analisi è quello di comprendere l’impatto economico dell’utilizzo dei Big Data sul mercato, approfondendo il rapporto tra le imprese che forniscono i propri servizi su determinati mercati anche attraverso l’analisi e lo sfruttamento di questi enormi insiemi di dati e gli utenti/consumatori che forniscono i propri dati personali.

Con la sentenza n. 287 del 13/09/2018 il Tribunale Amministrativo Regionale per il Friuli Venezia Giulia si è espresso sui requisiti che il Responsabile della Protezione dei dati personali (ormai noto anche come Data Protection Officer o “DPO”) – ovvero la nuova figura prevista dall’art. 37 del Regolamento UE 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (comunemente denominato anche “GDPR”) – deve possedere per poter partecipare ai processi d selezione indetti dalle pubbliche amministrazioni.

Anche WhatsApp si è adeguato alla nuova normativa europea in materia di protezione dei dati personali: è stata introdotta l’opportunità di avere accesso alle informazioni raccolte dalla app, cancellando dati e contestando l’analisi di alcune informazioni. Inoltre è stata alzata da 13 a 16 anni l’età minima per l’utilizzo del suo servizio di messaggistica istantanea all’interno dell’Unione europea, in ossequio all’art.

Articolo Osservatorio CEDU_20.05.2020 (002)