Cybersecurity Summit 2015 The Westin Palace - Milano 16 aprile 2015

Transcript

1 Quadro normativo europeo sulla protezione dei dati personali: il ruolo del Data Protection Officer in Europa e lo stato attuale della proposta di regolamento comunitario Cybersecurity Summit 2015 The Westin Palace - Milano 16 aprile 2015 Avv. Fabio Di Resta LLM LeadAuditor ISO Studio legale Di Resta Presidente del Centro europeo per la Privacy (EPCE) 1

2 Quadro normativo europeo e italiano protezione dei dati personali Convenzione Consiglio d Europa n. 108 del 1981 Direttiva 95/46/Ce(Privacy Directive) Direttiva 2002/58/Ce(e-Privacy Directive) Regolamento 45/2001 Carta dei diritti fondamentali dell UE (art. 8) Codice della Privacy (d.lgs. 196/2003, normativa di recepimento) 2

3 Nuovo regolamento EU: percorso di approvazione e novità Nuovo regolamento sostituisce la Data Protection Directive (46/95/Ce) e si affianca alla Direttiva 2002/58/Ce (e-privacy Directive) Alcune delle principali novità che verranno introdotte European Data Protection Board Gruppo di lavoro Art. 29 Principidi Privacy by Design e by default Applicazione extraterritoriale per prodotti o servizi online cittadini EU One Stop Shop (OSS) Data Protection Officer (DPO) SANZIONI FORTI PER LE AZIENDE: Commissione europea 2012: fino1 Ml di Euro e 2 % di fatturato mondiale annuo Parlamento europeo 21/11/2013: fino100 Ml di Euro e 5 % di fatturato mondiale annuo 3 Consiglio dei Ministri UE 19/12/14 (Dapix woking group): non ancora def. importi e %

4 Nuovo regolamento: tempi ed effetti Tempi ragionevolmente prevedibili di approvazione entro marzo 2016 Tempi di attuazione: è previsto un periodo transitorio di 2 anni, l art. 91 recita: 1. This Regulation shall enter into force on the twentieth day following that of its publication in the Official Journal of the European Union. 2. It shall apply from [two years from the date referred to in paragraph 1] EFFETTI PREVEDIBILI SUL DIRITTO INTERNO DEL REGOLAMENTO Verranno eliminate tutte le disposizioni incompatibili nel diritto interno Rimarranno quindi quelle disposizione normative coerenti e di maggiore dettaglio Questo vale anche per le fonti normative secondarie (p.e. Provv. Generali de Garante Privacy) 4

5 REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati) Elementi caratterizzanti l indipendenza del DPO Requisito negativo Assenza di un conflitto di interessi con altre funzioni Non ingerenza nell esercizio delle sue funzioni da parte del resp. o incaricato: nessuna «istruzione per quanto riguarda il loro esercizio» Requisito positivo (Regolamento Generale sulla protezione dei dati) Deve aver tutti i mezzi, inclusi il personale, i locali, le attrezzature e ogni altra risorsa necessaria per adempiere le proprie funzioni e compiti di Cui all art. 37 e per mantenere la propria conoscenza professionale Requisito positivo (Regolamento 45/2001) Deve avere il personale e le risorse necessarie per l esercizio delle sue funzioni 5

6 Focus sui principali compiti tecnici del DPO Supervisore indipendente Controllare la DPIA (Data Protection Impact Analysis l effettuazione delle Valutazione di impatto sulla protezione dei dati), ma deve anche partecipare alla redazione della procedura di valutazione d impatto (art. 37 e 33) Controllare che le violazioni dei dati personali (c.d. data Breach notification)siano documentate, notificate e comunicate Sorvegliare l attuazione e l applicazione del principio privacy by design (progettazione) Sorvegliare l attuazione e l applicazione del principio privacy by default Sorvegliare l attuazione e l applicazione delle sicurezza dei dati 6

7 REGOLAMENTO DEL PARLAMENTO EUROPEO E DEL CONSIGLIO concernente la tutela delle persone fisiche con riguardo al trattamento dei dati personali e la libera circolazione di tali dati (regolamento generale sulla protezione dei dati) Articolo 35 (Fonte versione Risoluzione Parlamento europeo 12 marzo 2014) Designazione obbligatoria del responsabile della protezione dei dati 1. Il responsabile del trattamento e l incaricato del trattamento designano sistematicamente un responsabile della protezione dei dati quando: a. il trattamento è effettuato da un autorità pubblica o da un organismo pubblico, oppure b. il trattamento è effettuato da una persona giuridica e riguarda più di 5000 interessati in qualsiasi periodo di 12 mesi consecutivi; oppure c. le attività principali del responsabile del trattamento o dell incaricato del trattamento consistono in trattamenti che, per la loro natura, il loro oggetto o le loro finalità, richiedono il controllo regolare e sistematico degli interessati; oppure[ ] Tuttavia, si deve trovare un testo condiviso con il Consiglio dell UE: (Fonte documento DAPIX group del 19 dicembre 2014 ) Designazione facoltativa del responsabile della protezione dei dati 7

8 Riepilogo conclusivo Il nuovo regolamento introdurrà forti novità e certamente rafforzerà il quadro sanzionatorio esistente Porterà maggiore effettività per la protezione dei dati personali e maggiore certezza del diritto per i cittadini e le imprese Nella fase di implementazione del regolamento verranno eliminate tutte le disposizioni normativi incompatibili con il nuovo regolamento UE («It shall apply from [two years from the date referred to in paragraph 1]») Avv. Fabio Di Resta LLM LeadAuditor ISO Studio legale Di Resta Presidente del Centro europeo per la Privacy (EPCE) 8