Introduzione al diritto alla protezione dei dati personali

Transcript

1 Introduzione al diritto alla protezione dei dati personali 1 Diritto alla riservatezza/diritto alla protezione dei dati personali il diritto alla riservatezza diritto alla tutela di quelle situazioni personali o familiari svoltesi anche al di fuori del domicilio domestico che non hanno per i terzi un interesse socialmente apprezzabile, contro le ingerenze non giustificate da interessi pubblici prevalenti, anche se lecite e tali da non offendere l onore e il decoro. Questo diritto non può essere negato ad alcuna categoria di persone, solo in considerazione della loro notorietà, salvo che un reale interesse sociale all informazione o altre esigenze pubbliche lo esigano. (Cass. 27 maggio 1975, n. 2129) il diritto alla protezione dei dati personali Art. 1, Dlgs. 196/2003 (Codice in materia di protezione dei dati personali): «Chiunque ha diritto alla protezione dei dati personali che lo riguardano». 2 1

2 Ambito di applicazione La disciplina del Codice si applica: Il presente testo unico, di seguito denominato "codice", garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti e delle libertà fondamentali, nonché della dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali. (art. 2 comma 1) 3 Ambito di applicazione a qualunque trattamento di dati personali (salvo eccezioni espressamente previste), anche detenuti all estero, effettuato da chiunque è stabilito nel territorio dello Stato o in un luogo comunque soggetto alla sovranità dello Stato (art. 5, comma 1); ai trattamenti svolti da chiunque è stabilito in un paese extra UE e impiega strumenti situati nel territorio italiano, salvo che essi siano utilizzati solo ai fini di transito nel territorio dell UE (art. 5, comma 2). 4 2

3 Ambito di applicazione «Il trattamento di dati personali effettuato da persone fisiche per fini esclusivamente personali è soggetto al Codice solo se i dati sono destinati ad una comunicazione sistematica o alla diffusione» (art. 5, comma 3). «Si applicano in ogni caso le disposizioni in tema di responsabilità e di sicurezza di cui agli articoli 15 e 31» (art. 5, comma 3). 5 Definizioni (Art. 4) Le tipologie di dati: DATO PERSONALE qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. DATI IDENTIFICATIVI i dati che permettono l identificazione diretta dell interessato. DATO ANONIMO il dato che in origine, o a seguito di trattamento, non può più essere associato ad un interessato identificato o identificabile. 6 3

4 Definizioni (Art. 4) TRATTAMENTO qualunque operazione o complesso di operazioni relative a dati, anche se non registrati in una banca dati, effettuate con o senza l ausilio di strumenti elettronici, concernenti: la raccolta, l organizzazione, la consultazione, la modificazione, l estrazione, l utilizzo, il blocco, la diffusione, la registrazione, la conservazione, l elaborazione, la selezione, il raffronto, l interconnessione, la comunicazione, la cancellazione, la distruzione. 7 Definizioni (Art. 4) COMUNICAZIONE il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall interessato, dal rappresentante del titolare nel territorio dello Stato, dal responsabile e dagli incaricati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. DIFFUSIONE il dare conoscenza di dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione. 8 4

5 Definizioni (Art. 4) I soggetti: INTERESSATO del trattamento la persona fisica, la persona giuridica, l ente o l associazione cui si riferiscono i dati personali. TITOLARE del trattamento la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisione in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo della sicurezza. 9 Definizioni (Art. 4) I soggetti: RESPONSABILE del trattamento la persona fisica, la persona giuridica, la Pubblica Amministrazione e qualsiasi altro ente, associazione o organismo preposti dal titolare al trattamento dei dati personali. In particolare (art. 29): la sua nomina dal parte del titolare del trattamento è facoltativa; requisiti: esperienza, capacità e affidabilità; è richiesta per la nomina la forma scritta ad substantiam; deve attenersi alle istruzioni impartite dal titolare; 10 5

6 Definizioni (Art. 4) I soggetti: INCARICATO del trattamento è la persona fisica autorizzata dal titolare o dal responsabile a compiere le operazioni di trattamento. In particolare (art. 30): designazione effettuata dal titolare o dal responsabile per iscritto, ad substantiam; gestisce concretamente i dati; è sempre e soltanto una persona fisica; deve attenersi alle istruzioni impartite dal titolare o dal responsabile. 11 I principi Principio di necessità nel trattamento dei dati Art. 3: «I sistemi informativi e i programmi informatici sono configurati riducendo al minimo l utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di identificare l interessato solo in caso di necessità. 12 6

7 I principi Il trattamento e le condizioni di legittimità. L art. 11 regola i diversi momenti del trattamento: quelli relativi alla raccolta dei dati, ai requisiti dei dati, alle modalità di elaborazione e di conservazione. «I dati personali oggetto di trattamento sono: a) trattati in modo lecito e secondo correttezza (principio di liceità e correttezza); b) raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi (principio di finalità); 13 I principi c) esatti e, se necessario, aggiornati; d) pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati (principio di pertinenza e di non eccedenza); e) conservati in una forma che consenta l identificazione dell interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati. I dati personali trattati in violazione della disciplina rilevante in materia di trattamento dei dati personali non possono essere utilizzati». 14 7

8 Le misure idonee di sicurezza I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi (art. 31). Tali misure: sono ulteriori rispetto a quelle minime; non sono individuate a priori; dipendono dal tipo di dati trattati e dal progresso tecnologico. 15 Le misure minime di sicurezza I titolari del trattamento sono tenuti ad adottare le misure minime di sicurezza, tassativamente individuate dallo stesso Codice e da un apposito disciplinare tecnico, volte ad assicurare un livello minimo di protezione dei dati personali (art. 33). Il trattamento effettuato con strumenti elettronici è consentito solo se sono adottate le seguenti misure minime: autenticazione informatica; adozione di procedure di gestione delle credenziali di autenticazione; utilizzazione di un sistema di autorizzazione; ( ). 16 8

9 Segue: Le misure minime di sicurezza MANCATA ADOZIONE DELLE MISURE MINIME SANZIONI PENALI E AMMINISTRATIVE 17 La notificazione Il titolare deve notificare al Garante che intende procedere al trattamento dei dati solo se tale trattamento riguarda i dati elencati nell art. 37 del Codice. Ovvero: dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, ( ); 18 9

10 La notificazione dati idonei a rivelare la vita sessuale o la sfera psichica trattati da associazioni, enti od organismi senza scopo di lucro; dati trattati con l ausilio di strumenti elettronici volti a definire il profilo o la personalità dell interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti; 19 La notificazione dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie; dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti

11 La notificazione La notificazione non è un istanza di autorizzazione, ma è una semplice comunicazione che il titolare effettua al Garante. Ricevuta la notificazione il Garante è tenuto a registrare le informazioni in essa contenute nel Registro dei Trattamenti che è accessibile al pubblico. 21 La notificazione OMESSA O INCOMPLETA NOTIFICAZIONE SANZIONI AMMINISTRATIVE NOTIFICAZIONE CON NOTIZIE FALSE SANZIONI PENALI 22 11

12 L informativa (art. 13) L interessato o la persona presso la quale sono raccolti i dati personali sono previamente informati, oralmente o per iscritto, circa: le finalità e le modalità del trattamento cui sono destinati i dati; la natura obbligatoria o facoltativa del conferimento dei dati; le conseguenze di un eventuale rifiuto di rispondere; i soggetti o le categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di responsabili o incaricati; l ambito di diffusione dei dati medesimi; i diritti spettanti all interessato; gli estremi identificativi del titolare e, se questo designato, del responsabile 23 L informativa (art. 13) L informativa non è dovuta se: i dati sono trattati in base ad un obbligo previsto dalla legge; i dati sono trattati ai fini dello svolgimento delle investigazioni difensive; l informativa all interessato comporta un impiego di mezzi che il Garante dichiari manifestamente sproporzionati rispetto al diritto tutelato, ovvero si riveli, a giudizio del Garante, impossibile

13 L informativa (art. 13) OMESSA O INCOMPLETA INFORMATIVA SANZIONI AMMINISTRATIVE 25 Presupposti di legittimità del trattamento Per il trattamento di dati personali da parte di SOGGETTI PRIVATI: è necessario che l interessato sia previamente informato (informativa); è indispensabile il consenso dell interessato al trattamento (documentato per iscritto)*; il consenso deve essere espresso (non tacito), libero, specifico, informato. * In taluni casi tassativamente elencati è possibile effettuare il trattamento senza il consenso dell interessato: ad es. per adempiere ad un obbligo previsto dalla legge, se i dati provengono da pubblici registri, per la salvaguardia della vita o dell incolumità fisica di un terzo, (art. 24)

14 Definizioni (Art. 4) Le tipologie di dati: DATO SENSIBILE i dati personali idonei a rivelare l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. DATO GIUDIZIARIO le informazioni idonee a rivelare, tra gli altri, i provvedimenti di carattere penale adottati nei confronti dell interessato o la sua qualità di imputato o di indagato. 27 Presupposti di legittimità del trattamento Se i SOGGETTI PRIVATI trattano: dati sensibili è necessario che il consenso dell interessato sia prestato in forma scritta ad substantiam; è richiesta l autorizzazione preventiva al trattamento da parte dell Autorità garante. dati giudiziari: è necessaria la presenza di una norma di legge che espressamente autorizzi il trattamento e ne disciplini le modalità

15 I diritti dell interessato (art. 7) Diritto di accesso ai dati personali L interessato ha diritto di ottenere: la conferma dell esistenza o meno di dati personali che lo riguardano; la loro comunicazione in forma intellegibile; l indicazione dell origine dei dati, delle finalità e modalità di trattamento, della logica applicata in caso di trattamento effettuato con l ausilio di mezzi elettronici, degli estremi identificativi del titolare, dei responsabili, dei soggetti o categorie di soggetti ai quali i dati possono essere comunicati. 29 I diritti dell interessato (art. 7) L interessato ha, inoltre, diritto di ottenere: l aggiornamento, la rettificazione ovvero, quando vi ha interesse, l integrazione dei dati; la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati, l attestazione che le operazione di cui ai primi due punti sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccetto il caso in cui tale adempimento si rileva impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato

16 I diritti dell interessato (art. 7) L interessato ha, infine, diritto di opporsi, in tutto o in parte: per motivi legittimi, al trattamento dei dati personali che lo riguardano, ancorché pertinenti allo scopo della raccolta; al trattamento di dati personali che lo riguardano a fini di invio di materiale pubblicitario o di vendita diretta per il compimento di ricerche di mercato o di comunicazione commerciale. 31 Esercizio dei diritti I diritti dell interessato sono esercitati con richiesta rivolta, senza formalità, al titolare o al responsabile del trattamento, anche per il tramite di un incaricato (art. 8). La richiesta può essere avanzata mediante: lettera raccomandata; telefax; posta elettronica; oralmente (in tal caso è annotata sinteticamente a cura dell incaricato o del responsabile)

17 Esercizio dei diritti Il titolare (o il responsabile del trattamento) è tenuto a fornire idoneo riscontro senza ritardo alla richiesta dell interessato (art. 8). Il riscontro deve essere fornito entro 15 g. dal ricevimento della richiesta (art. 146). Il titolare è tenuto, inoltre, ad adottare idonee misure volte: ad agevolare l accesso ai dati personali da parte dell interessato; a semplificare le modalità e a ridurre i tempi per il riscontro al richiedente. 33 Presupposti di legittimità del trattamento Il Codice in materia di protezione dei dati personali distingue a seconda che il titolare del trattamento sia una Pubblica Amministrazione o un un soggetto privato (ivi compresi gli enti pubblici economici). TITOLARI DEL TRATTAMENTO SOGGETTI PUBBLICI SOGGETTI PRIVATI 34 17

18 Presupposti di legittimità del trattamento Per il trattamento di dati personali da parte di SOGGETTI PUBBLICI: è necessario che l interessato sia previamente informato (informativa); non è richiesto il consenso dell interessato al trattamento (né preventivo né successivo); sussiste il limite del rispetto dei propri fini istituzionali. 35 Presupposti di legittimità del trattamento Se i SOGGETTI PUBBLICI trattano: dati sensibili o giudiziari: è necessaria la presenza di una norma di legge che espressamente autorizzi il trattamento e ne disciplini le modalità

19 Il Garante per la protezione dei dati personali È un autorità amministrativa indipendente (istituita nel 1996); è organo collegiale costituito da quattro componenti, eletti due dalla Camera dei deputati e due dal Senato della Repubblica; I componenti: sono scelti tra esperti di riconosciuta competenza; durano in carica quattro anni; eleggono nel loro ambito un presidente, il cui voto prevale in caso di parità. 37 Il Garante per la protezione dei dati personali I compiti: controlla se i trattamenti sono effettuati nel rispetto della disciplina applicabile; provvede sui ricorsi presentati dagli interessati o dalle associazioni che li rappresentano; promuove la sottoscrizione di codici deontologici; segnala al Governo e al Parlamento l opportunità di interventi normativi; esprime pareri; ( )

20 Tutela dei diritti Tutela giurisdizionale Tutte le controversie che riguardano l applicazione del Codice privacy sono di competenza dell autorità giudiziaria ordinaria che decide con procedimento camerale ed in composizione monocratica (Tribunale civile in composizione monocratica). Tutela amministrativa In alternativa è possibile ricorrere dinanzi al Garante a condizione che: le controversie siano relative ai diritti di cui all art. 7; siano trascorsi 15 g. dalla richiesta di cui all art. 8 (interpello preventivo). 39 La responsabilità nel trattamento dei dati La responsabilità civile Art 15, Codice privacy: «Chiunque cagiona danno ad altri per effetto del trattamento dei dati personali è tenuto al risarcimento ai sensi dell art del codice civile». Art c.c.: «Chiunque cagiona danno ad altri nello svolgimento di un attività pericolosa, per sua natura o per la natura dei mezzi adoperati, è tenuto al risarcimento, se non prova di avere adottato tutte le misure idonee a evitare il danno»

21 La responsabilità nel trattamento dei dati «Chiunque cagiona danno»: titolare del trattamento; responsabile del trattamento, qualora nominato, in solido con il titolare (in quanto «Il responsabile effettua il trattamento attenendosi alle istruzioni impartite dal titolare», art. 29, con eventuale diritto di rivalsa). 41 La responsabilità nel trattamento dei dati «ai sensi dell art c.c.»: inversione dell onere della prova rispetto a quanto previsto dall art c.c.; ovvero, l interessato dovrà provare: l evento lesivo, il danno subito ed il nesso di causalità, ma non la colpa del titolare o del responsabile (presunzione di colpevolezza); il titolare (o il responsabile), per non essere tenuto al risarcimento, dovrà provare «di aver adottato tutte le misure idonee ad evitare», in astratto, «il danno»

22 La responsabilità nel trattamento dei dati «danno»: patrimoniale; non patrimoniale (morale). Art. 15. comma 2 «Il danno non patrimoniale è risarcibile anche in caso di violazione dell'articolo 11». 43 La responsabilità nel trattamento dei dati La responsabilità penale Il Codice privacy prevede sanzioni penali al fine di garantire il rispetto della normativa sulla tutela dei dati personali. In particolare, in caso di: trattamento illecito dei dati (art. 167), quando vi è: violazione degli artt. 18, 19, 23, ; «nocumento»; dolo specifico «al fine di trarne per sé o per altri profitto o di recare ad altri un danno»

23 La responsabilità nel trattamento dei dati Ed ancora, in caso di: falsità nelle dichiarazioni e notificazioni al Garante (art. 168); mancata adozione delle misure minime di sicurezza (art. 169); inosservanza di provvedimenti del Garante (art. 170). 45 La responsabilità nel trattamento dei dati La responsabilità amministrativa Il Codice privacy prevede sanzioni amministrative in caso di: omessa o inidonea informativa all interessato (art. 161); mancata adozione di misure minime di sicurezza (art. 162); omessa o incompleta notificazione (art. 163); omessa informazione o esibizione di documenti al Garante (art. 164); ( )

24 La cessazione del trattamento (art. 16) In caso di cessazione, per qualsiasi causa, di un trattamento, i dati sono: distrutti; ceduti ad altro titolare, purché destinati ad un trattamento in termini compatibili agli scopi per i quali i dati sono raccolti; conservati per fini esclusivamente personali e non destinati ad una comunicazione sistematica o alla diffusione; conservati o ceduti ad altro titolare per scopi storici, statistici o scientifici, in conformità alla legge, ai regolamenti, alla normativa comunitaria e ai codici deontologici e di buona condotta