Privacy
Privacy by design e privacy by default
I principi della c.d. “privacy by design” e “privacy by default”, congiuntamente col principio della c.d. “accountability” (con cui si pongono in stretto contatto), rappresentano un punto focale del Regolamento UE n. 679/2016 (“GDPR” o “Regolamento”), connotando quella che è stata la ratio legis del Legislatore comunitario nell’elaborazione della nuova normativa europea in materia di trattamento dei dati personali. In particolare, alla base del Regolamento, traspare chiaramente la necessità di introdurre un generale principio di responsabilità che richieda ai titolari e ai responsabili del trattamento di mettere in atto misure adeguate ed efficaci per garantire che gli obblighi normativamente prescritti siano effettivamente rispettati. Al tempo stesso, sussiste la parallela esigenza di lasciar spazio ad una certa adattabilità che consenta di…
Continua a leggere...Le misure di garanzia per i dati genetici, biometrici e relativi alla salute
Con riferimento ai dati genetici, biometrici e relativi alla salute, il d.lgs. n. 101/2018 all’art. 2 introduce l’art. 2-septies del codice in materia di protezione dei dati personali che argomentando da quanto sancito dall’art. 9, par. 4 del GDPR il quale prevede una specifica “riserva” della normativa nazionale dispone che il relativo trattamento è subordinato anche al rispetto di misure di garanzia previste dal Garante con provvedimento adottato con cadenza almeno biennale. Lo stesso provvedimento dovrà tener conto: a) delle linee guida, delle raccomandazioni e delle migliori prassi pubblicate dal Comitato europeo per la protezione dei dati e delle migliori prassi in materia di trattamento dei dati personali; b) dell’evoluzione scientifica e tecnologica nel settore oggetto delle misure; c)…
Continua a leggere...I registri delle attività di trattamento
I registri delle attività di trattamento si sostanziano in una tipica traduzione a livello pratico del più ampio principio di accountability che permea il Regolamento Europeo 679/16 per la protezione dei dati personali (GDPR o Regolamento). Il detto principio, altresì noto come principio di rendicontazione o di responsabilità, impone al titolare del trattamento l’obbligo di dimostrare l’adozione di un processo complessivo di misure giuridiche, amministrative, tecniche, per la protezione dei dati personali, anche attraverso l’elaborazione di specifici modelli organizzativi. In altri termini, si richiede al titolare un ampio margine di proattività, diviene fondamentale assumere delle scelte ponderate che si traducano nell’adozione di misure adeguate, efficaci ed in grado di dimostrare la conformità delle attività di trattamento con il GDPR. È…
Continua a leggere...Accreditamento e certificazione nel Regolamento UE 2016/679 – introduzione
Il Regolamento UE 2016/679 (di seguito Regolamento) agli articoli 42 e 43, prevede e incoraggia l’istituzione di meccanismi per la certificazione della protezione dei dati personali ai fini della corretta applicazione del Regolamento e della dimostrazione della conformità allo stesso dei trattamenti effettuati dai titolari e dai responsabili del trattamento (cfr. considerando 77, 81 e 100 e articoli 24 (3), 25(3), 28(5), 32(3), 35(8), 46(2) e 83(2)). La certificazione rappresenta uno strumento utile per il titolare e il responsabile del trattamento per dimostrare il rispetto degli obblighi, le garanzie sufficienti, la conformità a requisiti di protezione dei dati. In soggetti usualmente coinvolti in un sistema di accreditamento e certificazione sono: – l’azienda/ente che richiede la certificazione; – l’organismo di certificazione…
Continua a leggere...Social marketing e social spam fra diritto alla protezione dei dati personali e casistica concreta
Il fenomeno del social marketing e del social spam Al fine di svolgere un discorso consapevole e corretto, tanto sul piano teorico quanto sul piano concreto, occorre anzitutto definire il concetto di “social marketing”. A parte le particolari possibili sfumature semantiche, in sostanza, per “social marketing” potremmo convenzionalmente intendere l’attività promozionale veicolata tramite i social network cioè l’invio di comunicazioni promozionali effettuato nel contesto del social (per esempio, inviando messaggi promozionali in bacheca o nella chat degli utenti social, oppure (o anche in aggiunta) l’invio di siffatte comunicazioni a dati di contatto (indirizzi e-mail; numeri di telefono) reperiti sui social. Tale attività di per sé può considerarsi un’attività economica lecita, persino meritevole in ottica di utilità sociale, e comunque, potremmo…
Continua a leggere...Il “nuovo” Codice privacy – breve rassegna delle novità
Il 19 settembre scorso è entrato in vigore l’ormai attesissimo d.lgs. 101/2018, che ha novellato il Codice privacy (d.lgs. 196/03) per adeguarlo al Regolamento europeo in materia di protezione dei dati personali. L’occasione dunque è utile per tracciare un primo quadro delle principali novità. Necessari limiti di spazio limiteranno questa breve rassegna ad alcuni temi. Reclamo e segnalazione. Prevedibilmente, e opportunamente, è stato eliminato il ricorso al Garante, assorbendolo concettualmente nel rimedio reclamo, del quale è fissata la durata massima in nove-dodici mesi. Il termine non è esente da perplessità circa la sua compatibilità con la disciplina europea. Vero infatti che il Regolamento non prescrive termini di durata, tuttavia all’interprete è autorizzata dall’art. 78.2 GDPR qualche deduzione in merito a…
Continua a leggere...Il principio di accountability: la silente rivoluzione nella protezione dei dati
Uno dei pilastri fondamentali del Regolamento Europeo 679/16 per la protezione dei dati personali (GDPR) è il principio di accountability che sta rivoluzionando l’approccio nei riguardi della data protection. Il Working Party 29 (WP29) con il parere 3/2010 ha rappresentato, già nel luglio del 2010, come i principi e gli obblighi dell’Unione europea in materia di protezione dei dati siano spesso applicati in modo insufficiente cagionando di fatto una lesione dei diritti degli interessati. Ed infatti se la protezione dei dati non fosse diventata parte integrante delle pratiche e dei valori condivisi di un’organizzazione e se le relative responsabilità non fossero state espressamente ripartite, il rispetto effettivo delle norme in materia di protezione dei dati sarebbe stato messo notevolmente a…
Continua a leggere...Privacy in azienda: ripensare il modello organizzativo per minimizzare i costi e creare valore aggiunto
Il Regolamento Generale sulla Protezione dei Dati (GDPR) è pienamente in vigore in tutta Europa da diversi mesi. Per garantire la conformità alla nuova normativa, le organizzazioni hanno dovuto affrontare costi anche molto elevati. Questi costi potrebbero essere ridotti e potrebbero essere massimizzati i benefici derivanti dal trattamento di dati personali, attraverso un’adeguata divisione dei compiti. Partiamo da un presupposto: nominare un DPO e delegargli l’attività di adeguamento alla nuova normativa è un approccio che si pone in contrasto con il dettato del GDPR per due ragioni. La prima è di natura pratica: se il DPO si deve occupare di tutte le attività di adeguamento alla normativa – spesso con scarse risorse – non può riuscire a svolgere le attività…
Continua a leggere...Le limitazioni dei diritti degli interessati
Come noto il regolamento UE n. 2016/679 sulla protezione dei dati personali (GDPR) riconosce dagli artt. 15 a 22 tutta una serie di diritti a favore degli interessati nei confronti del titolare e del responsabile del trattamento che rappresentano una delle principali novità della normativa comunitaria molto attenta a tutelare le ragioni dell’interessato. Lo stesso art. 23 del GDPR, però, sottolinea che il diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento o il responsabile del trattamento può limitare, mediante misure legislative, la portata degli obblighi e dei diritti di cui agli articoli da 12 a 22 e 34, nonché all’articolo 5, qualora tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una…
Continua a leggere...La decisione di adeguatezza nei trasferimenti dei dati extra Ue
In una società tecnologica, dematerializzata e fluida quale quella moderna è sempre più frequente che i dati siano un flusso e che, nel corso del loro trattamento, circolino anche al di fuori dell’unione europea. Si pensi ad esempio ad un dato gestito e conservato in cloud, ove magari non si ha neppure certezza sul luogo in cui lo stesso si trovi. Il criterio principale previsto dal GDPR affinché possa effettuarsi un trasferimento di dati al di fuori dell’Unione è la previa adozione, da parte della Commissione, di una decisione di adeguatezza, come previsto dall’art. 45. La Commissione, quindi, dovrà verificare se, nel contesto extra europeo, il livello di protezione dei dati è “adeguato”, ovverosia equivalente a quello previsto dal GDPR….
Continua a leggere...- PRECEDENTE
- 1
- 2
- 3
- 4
- 5
- SUCCESSIVO
CERCA IN ARCHIVIO
