I Diritti dell’interessato previsti dal GDPRCarta dei diritti fondamentalidell’Unione Europea...

Pisa, 22 Maggio 2018

Rita Rossi

I Diritti dell’interessato previsti dal GDPR


Il diritto alla protezione dei dati personali nel quadro giuridico europeo

Carta dei diritti fondamentali dell’Unione Europea (art. 8)

Trattato sul funzionamento dell’Unione Europea (art. 16)

Direttiva 95/46/CE del Parlamento Europeo e del Consigliodel 24 ottobre 1995 relativa alla tutela delle persone fisiche con riguardo altrattamento dei dati personali, nonché alla libera circolazione di tali dati

Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27aprile 2016 relativo alla protezione dei dati personali, nonché alla liberacircolazione di tali dati e che abroga la direttiva 95/46/CE.


Disposizioni generaliArticolo 1 - Oggetto e finalità

“1. Il presente regolamento stabilisce norme relative alla protezione delle personefisiche con riguardo al trattamento dei dati personali, nonché norme relative allalibera circolazione di tali dati.

2. Il presente regolamento protegge i diritti e le libertà fondamentali delle personefisiche, in particolare il diritto alla protezione dei dati personali.

3. La libera circolazione dei dati personali nell’Unione non può essere limitata névietata per motivi attinenti alla protezione delle persone fisiche con riguardo altrattamento dei dati personali.”


Capitolo IIIDiritti dell’interessato

I diritti dell’interessato sono stati rafforzati e in parte riformulati dal nuovoregolamento europeo in materia di tutela dei dati personali e si estrinsecano neiseguenti diritti:

Diritto alla prestazione e revoca del consenso (art. 7) Diritto alla trasparenza (art. 12) Diritto all’informazione e accesso ai dati personali (art. 13, 14 e 15) Diritto di rettifica (art. 16) Diritto di cancellazione (oblio) (art. 17) Diritto di limitazione del trattamento (art. 18) Diritto alla portabilità dei dati (art. 20) Diritto di opposizione (art. 21) Diritto di non essere sottoposti ad una decisione automatizzata e alla

profilazione (art. 22) Diritto di ricevere informazioni in ordine alla violazione dei propri dati personali

(art. 34)


Condizioni per il consenso, Art. 7

Per essere validamente prestato il consenso al trattamento di dati personali deveessere:

Informato Libero Specifico inequivocabile

Qualora il trattamento sia basato sul consenso, il titolare del trattamento deveessere in grado di dimostrare che l'interessato ha prestato il proprio consenso altrattamento dei propri dati personali.

Interpretazioni e specificazioni sono contenute nelle Linee guida elaborate dalGruppo Articolo 29 in materia di consenso (adottate il 10 aprile 2018). WP 259)


Condizioni per il consenso Revoca e consenso esplicito

L'interessato ha il diritto di revocare il proprio consenso in qualsiasi momentoe con la stessa facilità con cui il consenso è stato accordato.

Per il trattamento di categorie particolari di dati personali il consenso deveessere esplicito per finalità specificamente determinate.

Stessa condizione per la validità della prestazione del consenso a decisionibasate su trattamenti automatizzati e alla profilazione e per il trasferimento aPaese terzo od organizzazione internazionale non adeguati.


Condizioni applicabili al consenso dei minori in relazione ai servizi della società dell’informazione

Qualora il consenso riguardi minori relativamente l'offerta diretta di servizidella società dell'informazione il trattamento di dati personali del minore èlecito ove il minore abbia almeno 16 anni.

Se il minore ha un'età inferiore ai 16 anni, tale trattamento è lecito soltantose e nella misura in cui tale consenso è prestato o autorizzato dal titolaredella responsabilità genitoriale.


Trattamento di categorie particolari di dati personali - Art. 9

“1. È vietato trattare dati personali che rivelino l'origine razziale o etnica, leopinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale,nonché trattare dati genetici, dati biometrici intesi a identificare in modo univocouna persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamentosessuale della persona.”

In tal caso la liceità del trattamento è subordinata al consenso esplicito resodall’interessato al trattamento di tali dati personali per una o più specifiche finalità.

Sono previste eccezioni legate all’esistenza di specifiche e dettagliate condizionidescritte dal Regolamento


Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato (Art. 12)

La norma è volta alla tutela del principio di trasparenza e alle modalitàcon le quali il titolare del trattamento deve rispondere alle esigenzedell’interessato.

E’ sancito che il titolare del trattamento adotti misure appropriate per fornireall’interessato tutte le informazioni relative al trattamento dei propri datipersonali, nonché ai diritti dell’interessato, agevolandone l’esercizio,compreso il diritto di conoscere le violazioni dei propri dati personali.

Il principio di trasparenza impone che le informazioni e le comunicazionirelative al trattamento dei dati personali siano facilmente accessibili ecomprensibili e che sia utilizzato un linguaggio semplice e chiaro, inparticolare nel caso di informazioni destinate specificamente ai minori

Le informazioni sono fornite per iscritto o con altri mezzi, anche se del casocon mezzi elettronici. Se richiesto dall’interessato, le informazioni possonoessere fornite oralmente, purché sia comprovata con altri mezzi l’identitàdell’interessato.


Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato (Art. 12) (segue)

Le informazioni devono essere rese, senza ingiustificato ritardo e,comunque, al più tardi entro un mese dal ricevimento della richiesta. Iltermine può essere prorogato di due mesi tenuto conto della complessitàdella richiesta, ma il titolare deve informare l’interessato di tale proroga e deimotivi del ritardo.

Se l’interessato presenta la richiesta mediante mezzi elettronici, leinformazioni sono fornite, ove possibile, con mezzi elettronici, salvo diversaindicazione dell’interessato.

Se non ottempera alla richiesta dell’interessato, il titolare del trattamentodeve informarlo al massimo entro un mese dalla richiesta, specificando imotivi e informandolo della possibilità di proporre reclamo a un’autorità dicontrollo e di proporre ricorso giurisdizionale.

Interpretazioni e specificazioni sono contenute nelle “Linee guida elaboratedal Gruppo Articolo 29 in materia di trasparenza (adottate l’11 aprile 2018).WP 260”


Informazioni e accesso a dati personaliI dati sono raccolti presso l’interessato (art. 13) Informativa

L’informativa è stata riformulata con significativi e importanti ampliamenti.Nel Regolamento è, infatti, stabilito che:

“1. In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare deltrattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti,le seguenti informazioni:

a) l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suorappresentante;b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;c) le finalità del trattamento cui sono destinati i dati personali nonché la basegiuridica del trattamento;d) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimiinteressi perseguiti dal titolare del trattamento o da terzi;e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;f) ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personalia un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza diuna decisione di adeguatezza della Commissione o, nel caso dei trasferimenti dicui all’articolo 46 o 47, o all’articolo 49, secondo comma, il riferimento alle garanzieappropriate o opportune e i mezzi per ottenere una copia di tali dati o il luogo dovesono stati resi disponibili.


Informazioni e accesso a dati personaliI dati sono raccolti presso l’interessato (art. 13)Informativa (segue)

2. In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i datipersonali sono ottenuti, il titolare del trattamento fornisce all’interessato leseguenti ulteriori informazioni necessarie per garantire un trattamento correttoe trasparente:

a) il periodo di conservazione dei dati personali oppure, se non è possibile, icriteri utilizzati per determinare tale periodo;b) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamentol’accesso ai dati personali e la rettifica o la cancellazione degli stessi o lalimitazione del trattamento che lo riguardano o di opporsi al loro trattamento,oltre al diritto alla portabilità dei dati;c) qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a),oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto direvocare il consenso in qualsiasi momento senza pregiudicare la liceità deltrattamento basata sul consenso prestato prima della revoca;d) il diritto di proporre reclamo a un’autorità competente;

12


e) se la comunicazione di dati personali è un obbligo legale o contrattuale oppureun requisito necessario per la conclusione di un contratto, e se l’interessato hal’obbligo di fornire i dati personali nonché le possibili conseguenze della mancatacomunicazione di tali dati;

f) l’esistenza di un processo decisionale automatizzato, compresa la profilazionedi cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazionisignificative sulla logica utilizzata, nonché l’importanza e le conseguenze previstedi tale trattamento per l’interessato.

3. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personaliper una finalità diversa da quella per cui essi sono stati raccolti, prima di taleulteriore trattamento fornisce all’interessato informazioni in merito a tale diversafinalità e ogni ulteriore informazione pertinente di cui al paragrafo 2.”

Informazioni e accesso a dati personaliI dati sono raccolti presso l’interessato (art. 13)Informativa (segue)


Informazioni e accesso a dati personaliI dati non sono raccolti presso l’interessato (art. 14)

Qualora i dati non siano stati ottenuti presso l’interessato, il titolare deltrattamento fornisce all’interessato, oltre alle informazioni previste in caso diraccolta dei dati presso l’interessato, la fonte da cui hanno origine i datipersonali e, se del caso, l’eventualità che i dati personali provengano da fontiaccessibili al pubblico.

L’informativa deve essere trasmessa:a) entro un termine ragionevole dall’ottenimento dei dati personali, ma alpiù tardi entro un mese, in considerazione delle specifiche circostanze incui i dati personali sono trattati;b) nel caso in cui i dati personali siano destinati alla comunicazione conl’interessato, al più tardi al momento della prima comunicazioneall’interessato; oppurec) nel caso sia prevista la comunicazione ad altro destinatario, non oltre laprima comunicazione dei dati personali.


Informazioni e accesso a dati personaliI dati non sono raccolti presso l’interessato (art. 14)

Anche in tale ipotesi, qualora il titolare del trattamento intenda trattareulteriormente i dati personali per una finalità diversa da quella per cuiessi sono stati ottenuti, prima di tale ulteriore trattamento fornisceall’interessato informazioni in merito a tale diversa finalità e ogniinformazione pertinente.

Non è necessario imporre l’obbligo di fornire l’informazione se l’interessatodispone già dell’informazione, se la registrazione o la comunicazione deidati personali sono previste per legge o se informare l’interessato si rivelaimpossibile o richiederebbe uno sforzo sproporzionato; in particolare neitrattamenti eseguiti a fini di archiviazione nel pubblico interesse, di ricercascientifica o storica o a fini statistici. In tali casi il titolare del trattamentodeve adottare misure appropriate per tutelare i diritti, le libertà e I legittimiinteressi dell’interessato


Diritto di accesso dell’interessatoart. 15

L'interessato ha il diritto di accedere, in maniera semplificata, ai datipersonali che lo riguardano per essere consapevole del trattamento everificarne la liceità e ottenere comunicazioni in relazione:

a) alle finalità del trattamento;

b) alle categorie di dati personali trattati;

c) ai destinatari a cui i dati personali sono stati o saranno comunicati, inparticolare se destinatari di paesi terzi o organizzazioni internazionali edin tal caso ha il diritto di essere informato sull’esistenza di garanzieadeguate relative al trasferimento;

d) al periodo di conservazione dei dati personali previsto oppure, se nonè possibile, i criteri utilizzati per determinare tale periodo;


Diritto di accesso dell’interessatoart. 15 (segue)

e) all'esistenza del diritto dell'interessato di chiedere al titolare del trattamento larettifica o la cancellazione dei dati personali o la limitazione del trattamento deidati personali che lo riguardano o di opporsi al loro trattamento;

f) al diritto di proporre reclamo a un'autorità di controllo;

g) qualora i dati non siano raccolti presso l'interessato, tutte le informazionidisponibili sulla loro origine;

h) sull'esistenza di un processo decisionale automatizzato, compresa laprofilazione e la logica utilizzata, nonché l'importanza e le conseguenzepreviste di tale trattamento per l'interessato


Diritto di rettifica art. 16

L'interessato ha il diritto di ottenere dal titolare del trattamento la rettificadei dati personali inesatti che lo riguardano senza ingiustificato ritardo.

Tenuto conto delle finalità del trattamento, l'interessato ha il diritto diottenere l'integrazione dei dati personali incompleti, anche fornendo unadichiarazione integrativa.


Diritto alla cancellazione («diritto all'oblio») (art. 17)

L'interessato ha il diritto di ottenere dal titolare del trattamento lacancellazione dei propri dati personali e il titolare del trattamento hal'obbligo di procedere alla cancellazione se sussiste uno dei motiviseguenti:

a) i dati personali non sono più necessari rispetto alle finalità per lequali sono stati raccolti o trattati;

b) l'interessato revoca il consenso su cui si basa il trattamento e nonsussiste altro fondamento giuridico per il trattamento;


Diritto alla cancellazione («diritto all'oblio»)(art. 17) (segue)

c) l'interessato si oppone al trattamento per motivi legittimi secondo lenorme del regolamento o qualora i dati personali siano trattati per finalitàdi marketing, compresa la profilazione

d) i dati personali sono stati trattati illecitamente;

e) i dati personali devono essere cancellati per adempiere un obbligolegale previsto dal diritto dell'Unione o dello Stato membro cui è soggettoil titolare del trattamento;

f) i dati personali sono stati raccolti relativamente all'offerta di servizi dellasocietà dell'informazione ai minori



Il diritto all’oblio gode di una tutela allargata poiché il titolare del trattamento,se ha reso pubblici dati personali dell’interessato, è obbligato a cancellarli ead informare della richiesta di cancellazione altri titolari che trattano datipersonali cancellati compreso qualsiasi link, copia o riproduzione dei suoi datipersonali.

Nella prospettiva del nuovo regolamento tale diritto ha un campo diapplicazione più esteso rispetto al diritto alla cancellazione disciplinato nelcodice privacy.

Sentenza Corte di Cassazione 5525/2012

Sentenza Corte di Giustizia dell’Unione Europea , Google Spain SL, GoogleInc. vs Agencia Española de Protección de Datos, Mario Costeja González(causa C−131/12).



La cancellazione dei dati personali non si applica nella misura in cui iltrattamento sia necessario:

a) per l'esercizio del diritto alla libertà di espressione e di informazione;

b) per l'adempimento di un obbligo legale che richieda il trattamentoprevisto dal diritto dell'Unione o dello Stato membro cui è soggetto iltitolare del trattamento o per l'esecuzione di un compito svolto nelpubblico interesse oppure nell'esercizio di pubblici poteri di cui è investitoil titolare del trattamento;

c) per motivi di interesse pubblico nel settore della sanità pubblica inpresenza di determinate condizioni;

d) a fini di archiviazione nel pubblico interesse, di ricerca scientifica ostorica o a fini statistici

e) per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.


Diritto di limitazione di trattamento Art. 18

Tale diritto è esercitabile nei seguenti casi:

a) l’interessato contesta l’esattezza dei dati personali, per il periodonecessario al titolare del trattamento per verificare l’esattezza di talidati personali;

b) il trattamento è illecito e l’interessato si oppone alla cancellazione deidati personali e chiede invece che ne sia limitato l’utilizzo;

c) benché il titolare del trattamento non ne abbia più bisogno ai fini deltrattamento, i dati personali sono necessari all’interessato perl’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;

d) l’interessato si è opposto al trattamento ai sensi dell’articolo 21,paragrafo 1, in attesa della verifica in merito all’eventuale prevalenza deimotivi legittimi del titolare del trattamento rispetto a quelli dell’interessato.

L’unico trattamento consentito è la conservazione


Obblighi di notificazione riguardanti la rettificazioneo la cancellazione di dati personali o la restrizionedel trattamento (art. 19)

La norma sancisce l’obbligo per il titolare di comunicare a ogni titolare acui i dati sono stati resi noti qualsiasi rettifica o cancellazione di datipersonali o limitazioni del trattamento, fatto salvo che tale attività si riveliimpossibile o comporti sforzi sproporzionati.

Il titolare del trattamento comunica all’interessato tali destinatari qualoral’interessato lo richieda.


Diritto alla portabilità dei dati (Art. 20)

Si tratta di un nuovo diritto rispetto all’attuale codice con importanti obiettivi,quali:

Integrare e sviluppare il diritto di accesso ai dati e il relativo controlloda parte dell’interessato consentendogli, altresì, di ottenere eriutilizzare i dati;

tendere ad evitare il c.d. “lock in vendor”;

aumentare la circolazione dei dati;

sviluppare la concorrenza fra i fornitori di servizio;


Diritto alla portabilità dei datiComponenti principali del diritto alla portabilità dei dati

Il regolamento prevede che l’interessato abbia il diritto di:

ricevere in un formato strutturato, di uso comune e leggibile dadispositivo automatico, i dati personali che lo riguardano forniti alTitolare.

trasmettere i propri dati ad un altro Titolare, senza impedimentida parte di colui al quale sono stati forniti in precedenza.

di ottenere la trasmissione diretta dei dati personali da un titolaredel trattamento all’altro, se tecnicamente fattibile.


Diritto alla portabilità dei dati (Art. 20)A quali trattamenti può applicarsi?

Sono portabili solo i dati trattati con il consenso dell’interessato o sulla base diun contratto stipulato con l’interessato.

Si applica ai trattamenti effettuati con mezzi automatizzati.

Riguarda solo i dati personali forniti dall’interessato al titolare.

I dati trattati per l’esecuzione di un compito di interesse pubblico o connessoall’esercizio di pubblici poteri del titolare del trattamento non rientrano inquesto ambito.

L’esercizio del diritto alla portabilità dei non pregiudica nessuno degli altridiritti.

Interpretazioni e specificazioni sono contenute nelle “Linee guida elaboratedal Gruppo Articolo 29 in materia di portabilità dei dati (Versione emendata eadottata il 5 aprile 2017). WP 251”

27


Diritto alla portabilità dei datiWPArt.29

“I dati possono essere trasmessi direttamente da un titolare all’altro surichiesta dell’interessato, e ove ciò sia tecnicamente possibile (articolo 20,paragrafo 2). In questo senso, il considerando 68 promuove lo sviluppo diformati interoperabili da parte dei titolari così da consentire la portabilità deidati, ma non configura un obbligo in capo ai titolari stessi. Tuttavia, il RGPDvieta ai titolari di creare ostacoli alla trasmissione dei dati.” (WPArt. 29, lineeguida sul diritto alla portabilità).

“I termini “strutturato”, “di uso comune” e “leggibile” da dispositivoautomatico”costituiscono requisiti minimi che intendono facilitarel’interoperabilità del formato dei dati messi a disposizione dal titolare. In talsenso, si tratta di specificazioni dello strumento da utilizzare, mentrel’interoperabilità è l’obiettivo finale.” (WPArt. 29, linee guida sul diritto allaportabilità”


Diritto di opposizione, Art. 21

Prevede il diritto dell’interessato di opporsi in qualsiasi momento, permotivi connessi alla sua situazione particolare, al trattamento dei datipersonali che lo riguardano trattati per l’esecuzione di compiti di interessepubblico o connesso all’esercizio di pubblici poteri, o per un interesselegittimo del titolare, compresa la profilazione.

In tal caso Il titolare non può continuare il trattamento salvo che dimostril’esistenza di motivi legittimi che non possono essere derogati cheprevalgono sugli interessi, sui diritti e sulle libertà dell’interessato, oppureper l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Se i dati personali sono trattati per finalità di marketing diretto,l’interessato ha il diritto di opporsi in qualsiasi momento al trattamentoeffettuato per tali finalità, compresa la profilazione nella misura in cui siaconnessa a tale marketing diretto e in tal caso i suoi dati non possonoesser più oggetto di trattamento.


Processo decisionale automatizzato relativoalle persone fisiche, compresa la profilazioneArt. 22

L'interessato ha il diritto di non essere sottoposto a una decisione basataunicamente sul trattamento automatizzato, compresa la profilazione, cheproduca effetti giuridici che lo riguardano o che incida in modo analogosignificativamente sulla sua persona.

Tale previsione, non si applica nel caso in cui la decisione:

a) sia necessaria per la conclusione o l'esecuzione di un contratto tral'interessato e un titolare del trattamento;

b) sia autorizzata dal diritto dell'Unione o dello Stato membro cui èsoggetto il titolare del trattamento, che precisa altresì misure adeguate atutela dei diritti, delle libertà e dei legittimi interessi dell'interessato;

c) si basi sul consenso esplicito dell'interessato.


Sono comunque necessarie misure appropriate per tutelare i diritti, lelibertà e i legittimi interessi dell'interessato, almeno il diritto di ottenerel'intervento umano da parte del titolare del trattamento, di esprimere lapropria opinione e di contestare la decisione. Ulteriori limiti e cautele conriferimento a categorie particolari di dati.

31

Processo decisionale automatizzato relativoalle persone fisiche, compresa la profilazioneArt. 22


Comunicazione di una violazione di dati personali all’interessato (art. 34)

“Quando la violazione dei dati personali è suscettibile di presentare unrischio elevato per i diritti e le libertà delle persone fisiche, il titolare deltrattamento comunica la violazione all’interessato senza ingiustificatoritardo”.

La comunicazione descrive la natura della violazione dei dati personali econtiene raccomandazioni per la persona fisica interessata intese adattenuare i potenziali effetti negativi. Tali comunicazioni agli interessatidovrebbero essere effettuate non appena ragionevolmente possibile e instretta collaborazione con l’autorità di controllo.

-


Limitazioni e deroghe (art. 23 e c.73)

Il diritto dell’Unione o degli Stati membri può imporre limitazioni ai principi e diritti di informazione, accesso, rettifica, cancellazione di dati, portabilità, opposizione, decisioni basate sulla profilazione, nonché alla comunicazione di una violazione di dati personali, a condizione che tale limitazione rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria e proporzionata in una società democratica, per la salvaguardia e la tutela di importanti settori di interesse pubblico.

Gli Stati Membri devono altresì introdurre deroghe qualora siano necessarie per conciliare il diritto alla protezione dei dati personali e la libertà d’espressione e d’informazione.

Se i dati personali sono trattati a fini di ricerca scientifica o a fini statistici, il diritto dell’Unione o degli Stati membri può prevedere deroghe ai diritti di cui agli articoli 15, 16, 18 e 21 nell’osservanza di idonee garanzie a tutela dell’interessato.


Grazie dell’attenzione

I Diritti dell’interessato previsti dal GDPRCarta dei diritti fondamentalidell’Unione Europea...

Documents

Transcript of I Diritti dell’interessato previsti dal GDPRCarta dei diritti fondamentalidell’Unione Europea...