istituendo per tempo un assetto programmatico e giuridico per l'economia dei dati

Transcript

1

2

3 Il valore dell'economia dei dati nell'ue anno miliardi di euro (l'1,85% del PIL dell UE) anno miliardi di euro (pari l'1,87% del PIL dell UE) (per un incremento annuo del 5,6%). istituendo per tempo un assetto programmatico e giuridico per l'economia dei dati anno miliardi di euro nel 2020 (stimati) - pari al 3,17% del PIL complessivo dell'ue

4 17 gennaio 2017 "I dati dovrebbero poter circolare liberamente da un luogo all altro al di là delle frontiere ed all'interno di uno spazio di dati unico. In Europa, l accesso ai dati e il loro flusso sono spesso ostacolati dalle norme sulla localizzazione o da altre barriere tecniche e giuridiche. I dati devono essere usati se vogliamo che la nostra economia dei dati produca crescita ed occupazione. L uso dei dati richiede tuttavia la loro disponibilità ed analisi. Dobbiamo adottare un approccio coordinato e paneuropeo per sfruttare al massimo le opportunità offerte dai dati sulla base di solide norme UE atte a tutelare i dati personali e la privacy

5 Elżbieta Bieńkowska, Commissario responsabile per il Mercato interno, dell'industria, dell'imprenditorialità e delle PMI, 17 gennaio 2017 "I dati sono il motore della nuova economia. Per garantire che l'europa abbia successo nella nuova era dell'economia industriale, abbiamo bisogno di un flusso di dati solido e prevedibile all'interno del mercato unico. L esistenza di norme chiare sull accesso ai dati, sulla sicurezza e sulla responsabilità è fondamentale per consentire alle imprese europee, le PMI e le start-up di sfruttare appieno il potenziale di crescita di Internet delle cose. Invece di innalzare frontiere digitali dovremmo impegnarci per costruire un economia europea dei dati che sia pienamente integrata e concorrenziale nell economia globale dei dati ".

6 il Regolamento EIDAS (Regolamento Electronic IDentification Authentication and Signature) la Regolamento e-privacy (regolamento sulla privacy nelle comunicazioni elettroniche, ancora in bozza, ma pronto e definitivo entro maggio del prossimo anno). Regolamento 2016/679, Regolamento Generale sulla Protezione dei Dati, ed il Direttiva NIS Direttiva 2016/1148, Direttiva Network and Information Security), Direttiva PNR (Direttiva 2016/681 sull uso del codice di prenotazione PNR) Direttiva sul trattamento dei dati da parte delle autorità per il perseguimento dei reati (Direttiva 2016/680)

7

8

9 Article 29 Working Party

10 LEGGE 25 ottobre 2017, n legge delegazione europea GU 6 novembre 2017 ART. 13 a) abrogare espressamente le disposizioni del codice in materia di trattamento dei dati personali, di cui al decreto legislativo 30 giugno 2003, n. 196, incompatibili con le disposizioni contenute nel regolamento (UE) 2016/679; b) modificare il codice di cui al decreto legislativo 30 giugno 2003, n. 196, limitatamente a quanto necessario per dare attuazione alle disposizioni non direttamente applicabili contenute nel regolamento (UE) 2016/679; c) coordinare le disposizioni vigenti in materia di protezione dei dati personali con le disposizioni recate dal regolamento (UE) 2016/679; d) prevedere, ove opportuno, il ricorso a specifici provvedimenti attuativi e integrativi adottati dal Garante per la protezione dei dati personali nell'ambito e per le finalita' previsti dal regolamento (UE) 2016/679; e) adeguare, nell'ambito delle modifiche al codice di cui al decreto legislativo 30 giugno 2003, n. 196, il sistema sanzionatorio penale e amministrativo vigente alle disposizioni del regolamento (UE) 2016/679 con previsione di sanzioni penali e amministrative efficaci, dissuasive e proporzionate alla gravita' della violazione delle disposizioni stesse.

11 . CONSIDERANDO 171 Il presente regolamento dovrebbe abrogare la direttiva 95/46/CE. Il trattamento già in corso alla data di applicazione del presente regolamento dovrebbe essere reso conforme al presente regolamento entro un periodo di due anni dall'entrata in vigore del presente regolamento. Qualora il trattamento si basi sul consenso a norma della direttiva 95/46/CE, non occorre che l'interessato presti nuovamente il suo consenso, se questo è stato espresso secondo modalità conformi alle condizioni del presente regolamento, affinché il titolare del trattamento possa proseguire il trattamento in questione dopo la data di applicazione del presente regolamento. Le decisioni della Commissione e le autorizzazioni delle autorità di controllo basate sulla direttiva 95/46/CE rimangono in vigore fino a quando non vengono modificate, sostituite o abrogate.

12 Articolo 9 Trattamento di categorie particolari di dati personali dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona. 4. Gli Stati membri possono mantenere o introdurre ulteriori condizioni, comprese limitazioni, con riguardo al trattamento di dati genetici, dati biometrici o dati relativi alla salute.

13

14 DIR 95/46/CEE..l obbligo di rispettare le regole fissate per la liceità dei trattamenti (art. 6) e solo come ulteriore dovere specifico quello di assicurare le misure di sicurezza adeguate REGOLAMENTO UE..nel Regolamento il Controller ha invece un ruolo proattivo, finalizzato non solo al rispetto delle regole ma anche alla necessità di dimostrare che ha adottato tutti gli accorgimenti tecnici e organizzativi necessari a garantire la compliance dei trattamenti

15

16 approccio basato sul rischio accountability regime sanzionatorio modulare

17 A) approccio basato sul rischio WP marzo 2014 Statement on the role of a risk-based approach in data protection legal frameworks

18 A) approccio basato sul rischio WP marzo 2014 Statement on the role of a risk-based approach in data protection legal frameworks La probabilità e la gravità del rischio per i diritti e le libertà dell'interessato dovrebbero essere determinate con riguardo alla natura, all'ambito di applicazione, al contesto e alle finalità del trattamento. Il rischio dovrebbe essere considerato in base a una valutazione oggettiva mediante cui si stabilisce se i trattamenti di dati comportano un rischio o un rischio elevato. Gli orientamenti per la messa in atto di opportune misure e per dimostrare la conformità da parte del titolare del trattamento o dal responsabile del trattamento in particolare per quanto riguarda l'individuazione del rischio connesso al trattamento, la sua valutazione in termini di origine, natura, probabilità e gravità, e l'individuazione di migliori prassi per attenuare il rischio, potrebbero essere forniti in particolare mediante. ANALISI DEL CONTESTO ANALISI DEL RISCHIO LEGALE

19 B) ACCOUNTABILITY

20 B) ACCOUNTABILITY ART. 5 Regolamento I dati personali sono: a) trattati in modo lecito, corretto e trasparente b) raccolti per finalità determinate, esplicite e legittime c) adeguati, pertinenti e limitati d) esatti e) conservati d) trattati in maniera da garantire un'adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate 2. Il titolare del trattamento è competente per il rispetto del paragrafo 1 e in grado di comprovarlo («responsabilizzazione»).

21 B) ACCOUNTABILITY ANALISI DEL RISCHIO IMPLEMENTAZIONE DI UN MODELLO ORGANIZZATIVO DI GESTIONE DEL DATO CHE MI CONSENTA DI RISPETTARE I PRINCIPI DELL ART.5 MANTENERE NEL TEMPO TALE RISPETTO DARE PROVA DI TALE RISPETTO

22 c) regime sanzionatorio modulare che cosa succede se non rispetto il regolamento?

23 c) regime sanzionatorio modulare quando costa NON rispettare il Regolamento? due diligence rischio immagine rischio richiesta danni paziente rischio sanzioni quando costa rispettare il Regolamento? costo di consulenti costo tempo costo uomo

24 c) regime sanzionatorio modulare A. la natura, la gravità e la durata della violazione tenendo in considerazione la natura, l'oggetto o a finalità del trattamento.il livello del danno da essi subito; B. il carattere doloso o colposo della violazione; C. le misure adottate dal titolare del trattamento o dal responsabile per..attenuare il danno D. il grado di responsabilità del titolare del trattamento o del responsabile del trattamento tenendo conto delle misure tecniche e organizzative da essi messe in atto ai sensi degli articoli 25 e 32;

25 c) regime sanzionatorio modulare E. eventuali precedenti violazioni F. il grado di cooperazione con l'autorità di controllo G. categorie di dati personali interessate dalla violazione; H. la maniera in cui l'autorità di controllo ha preso conoscenza della violazione, I. qualora siano stati precedentemente disposti provvedimenti J. l'adesione ai codici di condotta approvati ai sensi dell'articolo 40 o ai meccanismi di certificazione approvati ai sensi dell'articolo 42; e K. eventuali altri fattori aggravanti o attenuanti

26

27 COME E ORGANIZZATO IL REGOLAMENTO i soggetti i diritti degli interessati i principi del trattamento il regime sanzionatorio gli obblighi generali la sicurezza MISURE TECNICHE ED ORGANIZZATIVE

28 COME IMPLEMENTARE IL REGOLAMENTO

29 COME IMPLEMENTARE IL REGOLAMENTO

30 LE LINEE GUIDA ASSOBIOMEDICA riferimenti al reg 679/2016 commento suggerimenti operativi materiale di studio

31 IL SERVIZIO AGLI ASSOCIATI CHECK LIST PER SELF ASSESSMENT

32 GRAZIE PER L ATTENZIONE avv. silvia stefanelli s.stefanelli@studiolegalestefanelli.it