Post on 17-Feb-2019
Comandante delle Unità Speciali
della Guardia di Finanza
Gen.D. Gennaro Vecchione
Convegno «Il nuovo Regolamento U.E.
sulla protezione dei dati personali»
Firenze - Auditorium «Cosimo Ridolfi», 16 marzo 2017
CENNI STORICI 1950
art. 8, Convenzione europea
dei Diritti dell’Uomo
1890
1981Convenzione di Strasburgo
protezione persone rispetto al trattamento
automatizzato dati
legge 31 dicembre 1996, n. 675
1973sentenza della
Corte Costituzionale d. riservatezza
1948art. 12, Dichiarazione Universale dei Diritti
dell’Uomo
1956sentenza C. C.
«Tenore Caruso»
“right to be let alone”
2003
1975sentenza C.C.
«Soraya»
1984Progetto
«Mirabelli»
PROTEZIONE DATI PERSONALI - U.E.
1995
Direttiva 95/46/CE Protezione dei Dati
Personali
2016
Pubblicazione Reg. G.U. della U.E.
25 maggio 20182009
T.F.U.E.
REGOLAMENTO PRINCIPALI NOVITÀ - 1
• un regolamento UE assicura uniformità in ambito UE
• principi fondamentali immutati
• più attenzione a nuove tecnologie
• riduzione oneri PMI
• si applica a chi offre servizi/prodotti nell’UE
• diritto all’oblio
• Data Protection Officer (obbligatorio talora)
REGOLAMENTO PRINCIPALI NOVITÀ - 2
• meno oneri (no a notifica dei trattamenti) ma più
responsabilizzazione per i titolari di trattamento (privacy
by design, valutazione di impatto privacy)
• sportello unico (“one stop shop”) per multinazionali
• board europeo (erede dell’attuale gruppo ex art. 29) con
poteri di indirizzo delle Autorità garanti
• sistema europeo di sanzioni (uniformi)
OGGETTO E FINALITÀ - Art. 1
• protezione delle persone fisiche con riguardo al trattamento
dei dati personali e alla libera circolazione di tali dati
• protezione dei diritti e delle libertà fondamentali delle persone
fisiche, in particolare i dati personali
AREE TEMATICHE - Art. 2
• trattamento automatizzato e non di dati personali
NON si applica ai trattamenti effettuati:
• dagli Stati Membri UE in riferimento all’area di Spaziodi Libertà, Sicurezza e Giustizia
• per finalità personale o domestica
• dalle Autorità per prevenzione, indagine ed esecuzionepenale
AREA TERRITORIALE - Art. 3
trattamento dei dati personali effettuato nell’ambitodell’Unione, ovvero che riguardi interessati che sitrovano nell’Unione
DEFINIZIONI ESSENZIALI - Art. 4
• dato personale• trattamento• profilazione• titolare del trattamento• responsabile del trattamento• rappresentante• autorità di controllo
Dato personale
Dati sensibili
Trattamento
Interessato
Comunicazione
Diffusione
Banca dati
Art. 4 Codice della Privacy
Definizioni
PRINCÌPI DEL NUOVO REGOLAMENTO - Artt. 5 e 9
finalità determinate, esplicite e legittime
no razza, opinioni politiche, religione, sindacato, genetici, biometrici, salute, vita sessuale, salvo consenso o casi specifici
dati minimi, esatti , aggiornati e garantiti nella loro integrità e riservatezza
limitazione temporale connessa alla finalità
liceità, correttezza e trasparenza
CONDIZIONI CONSENSO INTERESSATO - Artt. 7 e 8
Se necessario consenso, il titolare deve dimostrare chel’interessato lo ha prestato, con possibilità di revoca
Se minore anni 16 il trattamento della societàdell’informazione è lecito solo con consenso genitori
DIRITTI DELL’INTERESSATO – Capo III
• cancellazione (o oblio) – Art. 17, fatto salvo il diritto alla libertà di espressione e di informazione, ovvero obbligo legale
• limitazione del trattamento
• accesso ed informazione
• portabilità dei dati
• rettifica e integrazione
DIRITTO ALLA PORTABILITA’ DEI DATI - Art. 20
• diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano forniti ad un titolare del trattamento;
• diritto di trasmettere tali dati ad un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento che li ha forniti.
Ciò nei casi in cui il trattamento si basi su un consenso o un contratto, ovvero venga effettuato con mezzi automatizzati
TITOLARE DEL TRATTAMENTO -Artt. 24, 25, 28, 30, 32 e 35
• responsabilità
• misure tecniche e organizzative adeguate
• privacy by design (approccio preventivo - art. 25)
• registro delle attività (art. 30)
• garanzia livello di sicurezza (art. 32)
• privacy impact assessment (PIA - art. 35, in casi specifici)
RESPONSABILE PROTEZIONE DATI (DPO) - Art. 37
• trattamento effettuato da autorità pubblica• trattamenti con il monitoraggio degli interessati su larga
scala
Inosservanza criteri designazione e prescrizioni del WP29 fa venir meno «DPO»
Dipendente o in outsourcing, i cui dettagli devono essere pubblicati e comunicati all’Autorità di controllo
ESEMPI DI TRATTAMENTO SU «LARGA SCALA»
• struttura sanitaria
• utilizzo mezzi di trasporto pubblici (tessere di viaggio)
• compagnie assicurative e banche
• motori di ricerca a fini pubblicitari
• sistemi di geo-localizzazione
di motori di ricerca e cellulari
COMPITI DEL DPO – Art. 39
informare e fornire consulenza al titolare o al responsabile del trattamento in merito agli obblighi derivanti da tale Regolamento
sorvegliare l’osservanza del Regolamento e fornire un parere in merito al Privacy Impact Assessment
cooperare con l’Autorità di controllo e fungere da punto di contatto per questioni connesse al trattamento
AUTORITÀ DI CONTROLLO INDIPENDENTI - Capo VI
Ogni Stato dispone che autorità pubbliche siano incaricate disorvegliare applicazione Regolamento per tutelare diritti e libertàfondamentali delle persone fisiche con riguardo al trattamento eagevolare libera circolazione dei dati personali in UE
Ogni autorità agisce in piena INDIPENDENZA e
TRASPARENZA
COMPITI POTERI
Artt. 57 e 58
richiesta informazioni
rettifica, cancellazione e limitazione trattamento
sospensione trasferimento dati
notifica violazione
avvertimenti, ammonimenti
sanzioni amministrative
consulenza al titolare
accesso a tutti i dati
accesso a tutti i locali
indagine
sorveglianza applicazione regolamento
compliance
consulenza Istituzioni
reclami
sorveglianza sviluppo
tecnologie
indagini
stimola certificazione
collaborazione altre Autorità
di controllo
RECLAMO ALL’AUTORITÀ DI CONTROLLO E RICORSO GIURISDIZIONALE - Artt. 77 e 78
RISARCIMENTO E RESPONSABILITÀ - Art. 82
Chiunque subisca un danno materiale o immaterialecausato da una violazione del Regolamento ha ildiritto di ottenere il risarcimento del danno daltitolare o dal responsabile del trattamento
Sanzioni civili
Art. 15, Codice della Privacy
1° commaChiunque cagiona danno ad altri per
effetto del trattamento di dati personali è tenuto al risarcimento ai sensi
dell'art. 2050 del c.c.
2° comma
Il danno non patrimoniale è risarcibile anche in caso di violazione dell'art. 11
Art. 11
Art. 11
Modalità del trattamento e requisiti dei dati
SANZIONI - Artt. 83 e 84
Adozione altre sanzioni da notificare alla Commissione UE
Criteri per le sanzioni amministrative
• effettive, proporzionate e dissuasive• natura, gravità e durata della violazione• carattere doloso o colposo della violazione• misure adottate dal titolare/responsabile del
trattamento• precedenti violazioni e cooperazione con Autorità• adesione ai codici di condotta• eventuali fattori aggravanti
26
Guardia di Finanza
COMANDO GENERALE
COMANDOREPARTI SPECIALI
COMPONENTE TERRITORIALE
COMPONENTE AERONAVALE
REPARTI D’ISTRUZIONE
Guardia di Finanza
COMANDO
REPARTI SPECIALI
COMANDOUNITA’ SPECIALI
COMANDO
TUTELA ECONOMIA E FINANZA
REPARTO TECNICO
LOGISTICO AMMINISTRATIVO
Reparti Speciali della Guardia di Finanza
N.S. AnticorruzioneN.S. Commissioni Parlamentari d’InchiestaN.S. PrivacyN.S. Frodi TecnologicheN.S. per l’Energia e il Sistema IdricoN.S. Tutela Proprietà IntellettualeN.S. AntitrustN.S. per la Radiodiffusione e l’Editoria
N.S. EntrateN.S. Spesa Pubblica e Repressione Frodi Comunitarie N.S. Polizia ValutariaServizio Centrale Investigazione Criminalità Organizzata - SCICO
Il Garante determina semestralmentela programmazione ispettiva indicando ambiti di intervento e obiettivi numerici del controllo
La programmazione tiene conto anche delle attività che possono essere delegate alla Guardia di finanza
Segnalazioni: richieste informali di controllo a fronte delle quali può essere avviata un’istruttoria preliminare
Reclami: richiesta circostanziata di intervento del Garante in relazione a una violazione della normativa. Comporta l’apertura di un’istruttoria preliminare
Ricorsi: attraverso i quali si fanno valere i diritti di cui all’art. 7; 60 giorni per la decisione
Di iniziativa: diretta conoscenza, notizie stampa, internet, programmi, ecc.
Legge istitutiva
Legge 31 dicembre 1996, n. 675
Controllare se i trattamenti sono effettuati nel rispetto della disciplina applicabile
Esaminare i reclami e le segnalazioni e provvedere sui ricorsi
Prescrivere anche d'ufficio ai titolari del trattamento le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti
Vietare anche d'ufficio, in tutto o in parte, il trattamento illecito o non corretto dei dati o disporne il blocco
Promuovere la sottoscrizione di codici deontologici
Segnalare al Parlamento e al Governo l'opportunità di interventi normativi
Presidente
Vice-presidente
Componente Componente
Il Garante per la protezione dei dati personali è un organo collegiale, composto da quattro membri con un mandato
di sette anni non rinnovabile. Il protocollo prevede che la G. di F. collabori con il Garante attraverso:
il reperimento di dati ed informazioni sui soggetti da controllare
l’assistenza nei rapporti con l’Autorità Giudiziaria
la partecipazione di proprio personale agli accessi alle banche dati, ispezioni e verifiche e alle altre rilevazioni nei luoghi ove si svolge il trattamento
lo sviluppo di attività delegate per l’accertamento delle violazioni di natura penale o amministrativa
la contestazione diretta delle sanzioni amministrative rilevate nell’ambito delle attività delegate
L'Ufficio del Garante, al quale sovrintende il Segretario generale, coadiuvato da due vice-segretari generali, è
attualmente articolato in:
dipartimenti, servizi e unità temporanee.
Autorità garante per la protezione dei dati personali
L’ufficio
Programmazione dell’attività
ispettiva
Collaborazione con la GdiF
Il Garante
compiti
Input dell’attività
ispettiva
violazioni penali
violazioni amministrative
Attività della G di F
D.Lgs. N. 68/2001 Protocollo d’intesa
Ruolo e attività del Nucleo Speciale Privacy
Esecuzione attività ispettive
Analisi info/operativa
Direzione operativa e
supporto delle conoscenze