Privacy e GDPR applicata

Cornice normativa

Fonti

• GDPR Reg. UE 2016/679 (dal 25.5.2018)
• Codice privacy D.lgs. 196/2003 (integrato)
• Provv. Garante: dettagli
• LED D.lgs. 51/2018: forze polizia

Principio

• Dati personali come diritto fondamentale (art. 8 Carta UE)
• Controllo da parte dell'individuo
• Equilibrio con esigenze pubbliche

Dati personali — cosa sono

Definizione (art. 4 GDPR)

• Qualsiasi informazione riguardante persona fisica identificata o identificabile

Esempi

• Nome, cognome
• Indirizzo
• Email, telefono
• IP address
• Cookie identificativi
• Codice fiscale
• Foto, video

Categorie particolari (art. 9 GDPR)

• Dati sensibili: tutela rafforzata
• Salute
• Vita sessuale
• Opinioni politiche
• Religione
• Sindacale
• Razza/etnia
• Dati biometrici (per identificare)
• Dati genetici

Dati giudiziari

• Condanne penali
• Indagini
• Trattamento specifico

Principi GDPR (art. 5)

1. Liceità, correttezza, trasparenza

• Base giuridica necessaria
• Info chiare all'interessato

2. Limitazione delle finalità

• Solo scopi specifici
• Cambio finalità = nuova base

3. Minimizzazione

• Solo dati necessari
• Non accumulare «per sicurezza»

4. Esattezza

• Dati corretti
• Aggiornati
• Rettifica in caso errori

5. Limitazione conservazione

• Per il tempo necessario
• Poi cancellazione/anonimizzazione

6. Integrità e riservatezza

• Sicurezza tecnica/organizzativa
• Protezione da accessi, perdite, distruzioni

7. Responsabilizzazione (Accountability)

• Titolare dimostra conformità
• Documentazione

Basi giuridiche (art. 6)

Sei basi

• a) Consenso: libero, specifico, informato
• b) Contratto: esecuzione o pre-contrattuale
• c) Obbligo legale
• d) Interesse vitale (protezione vita)
• e) Interesse pubblico / esercizio poteri
• f) Legittimo interesse

Per la PA

• Tipicamente c) ed e)
• Raramente consenso (asimmetria)

Consenso

• Libero: no pressioni
• Specifico: per finalità
• Informato: sa cosa accetta
• Inequivocabile: atto positivo
• Revocabile

Informativa (art. 13-14)

Obbligo

• Al momento della raccolta
• Chiara e accessibile
• Prima dell'inizio trattamento

Contenuti

• Titolare (dati)
• DPO (contatti)
• Finalità
• Base giuridica
• Destinatari
• Conservazione
• Diritti dell'interessato
• Trasferimenti extra-UE
• Reclamo al Garante

Diritti dell'interessato (artt. 15-22)

Accesso (art. 15)

• Sapere se e quali dati trattati
• Copia
• Senza costi

Rettifica (art. 16)

• Correggere dati errati
• Aggiornare

Cancellazione (art. 17)

• «Diritto oblio»
• Se non più necessari
• Con limiti (obblighi legali, interesse pubblico)

Limitazione (art. 18)

• «Blocco» trattamento
• In attesa verifiche

Portabilità (art. 20)

• Ricevere dati in formato standard
• Trasmettere ad altro titolare

Opposizione (art. 21)

• Al trattamento per motivi specifici
• Marketing diretto: sempre opponibile

No decisioni automatizzate (art. 22)

• Senza intervento umano
• Con effetti significativi
• Diritto a revisione umana

Soggetti del trattamento

Titolare (art. 4 n. 7)

• Determina finalità e mezzi
• Responsabile primario
• Sanzioni a lui

Responsabile esterno (art. 28)

• Tratta per conto titolare
• Contratto specifico
• Es.: cloud provider, outsourcing

Sub-responsabile

• Concatenazione
• Autorizzazione titolare

Incaricato / autorizzato

• Dipendente che opera sotto titolare
• Istruzioni
• Formazione

DPO (Data Protection Officer)

Obbligatorio per (art. 37)

• PA (tutte, salvo autorità giudiziarie)
• Trattamenti su larga scala
• Categorie particolari

Ruolo

• Consulente titolare
• Punto contatto interessati e Garante
• Monitoraggio conformità
• Formazione

Autonomia

• Indipendente
• Non licenziabile per attività DPO
• Risorse adeguate

In PA

• Nominato con atto
• Pubblicato Amm. Trasparente
• Contatti accessibili

Registro trattamenti (art. 30)

Obbligo

• Tutte PA e imprese > 250 dip.
• Eccezioni limitate

Contenuti

• Finalità
• Categorie interessati
• Categorie dati
• Destinatari
• Trasferimenti extra-UE
• Termini conservazione
• Misure sicurezza

Aggiornato

• Ogni trattamento
• Revisione periodica

DPIA — Valutazione Impatto (art. 35)

Quando obbligatoria

• Alto rischio
• Nuove tecnologie
• Trattamenti su larga scala dati sensibili
• Monitoraggio sistematico

Contenuti

• Descrizione trattamento
• Necessità e proporzionalità
• Rischi
• Misure mitiganti

Consultazione preventiva

• Se rischi non mitigabili
• Garante consultato

Misure di sicurezza (art. 32)

Tecniche

• Crittografia
• Pseudonimizzazione
• Backup
• Accessi tracciati
• Firewall, antivirus

Organizzative

• Formazione
• Policy scritte
• Procedure
• Audit

Appropriate al rischio

• Bilanciamento costi/benefici
• Stato arte

Data breach (art. 33-34)

Cos'è

• Violazione sicurezza dati
• Accesso, modifica, perdita, distruzione non autorizzati

Notifica Garante

• Entro 72 ore
• Se rischio per interessati
• Documentazione interna sempre

Notifica interessati

• Se elevato rischio
• Senza ritardo
• In modo chiaro

Registro violazioni

• Interno
• Anche quelle non notificate
• Documentazione

Trasferimenti extra-UE

Principio (art. 44)

• Livello protezione non inferiore
• Conseguentemente

Strumenti

• Decisioni adeguatezza: Paesi approvati UE
• SCC: Standard Contractual Clauses
• BCR: Binding Corporate Rules
• Codici condotta

Schrems II (CGUE 2020)

• Privacy Shield USA invalidato
• Data Privacy Framework 2023
• Verifica caso per caso

Garante Privacy

Autorità italiana

• Indipendente
• Controllo applicazione
• Sanzioni

Poteri

• Ispezioni
• Richiesta informazioni
• Ordini
• Sanzioni pecuniarie

Reclami

• Cittadini possono rivolgersi
• Gratuito
• Istruttoria

Sanzioni (art. 83 GDPR)

Livelli

• Fino 10 M € o 2% fatturato (violazioni minori)
• Fino 20 M € o 4% fatturato (violazioni gravi)

Per PA

• Sanzioni ridotte (D.lgs. 101/2018 art. 2-undecies)
• Max 20.000 € in genere per piccole PA
• Max 1M € per PA nazionali

Casi famosi

• Meta-Ireland 2023: 1,2 miliardi €
• Enel Energia 2022: 79 M €
• Tim 2020: 27,8 M €

Privacy by design/default (art. 25)

Design

• Dalla progettazione
• Integrato nel sistema

Default

• Impostazioni predefinite protettive
• Utente deve attivare esposizione

Esempi

• App: privacy settings strict default
• Sistemi PA: accessi minimi

Profilazione e decisioni automatizzate

Art. 22 GDPR

• Decisioni solo automatizzate
• Con effetti significativi
• Richiesta intervento umano, espressione opinione

AI e privacy

• Dataset di allenamento
• Dati personali: attenzione
• AI Act UE: normativa specifica in arrivo

Dati minori

Consenso (art. 8 GDPR)

• Sotto 16 anni (Italia: 14 anni)
• Consenso genitori
• Servizi online

Scuole

• Trattamenti specifici
• Cautele rafforzate

Cookie e web

Linee guida Garante 2021

• Tecnici: no consenso
• Analitici: consenso (salvo anonimizzati)
• Profilazione: consenso esplicito

Banner

• Paritarietà accetta/rifiuta
• No scrolling come consenso
• No cookie wall

Privacy nella PA

Finalità

• Istituzionale: base interesse pubblico
• Trasparenza: bilanciamento
• Controlli: base legale

Obblighi specifici

• DPO obbligatorio
• Registro trattamenti
• Informativa agli utenti
• Formazione dipendenti

Rapporto con trasparenza

• D.lgs. 33/2013 vs GDPR
• Bilanciamento
• Minimizzazione

Accesso agli atti vs privacy

L. 241/1990

• Interesse diretto
• Bilanciamento con privacy

FOIA (D.lgs. 33/2013)

• Chiunque
• Limiti privacy (art. 5-bis)

Art. 60 C. Privacy

• Dati sensibili: accesso solo per difesa giudiziaria

PL e privacy

LED (D.lgs. 51/2018)

• Attività di PG
• Regime specifico
• Simile a GDPR ma adattato

GDPR

• Attività amministrativa
• PL polizia commerciale, stradale, ecc.

Banche dati

• Accessi tracciati
• Finalità istituzionali
• Art. 615-ter c.p.: abuso

Body-cam

• Provv. Garante 2010 e successivi
• DPIA obbligatoria
• Comunicazione cittadini
• Conservazione 7 gg salvo reati

Videosorveglianza PL

• Delibera Giunta
• Regolamento
• Cartelli informativi
• Accessi loggati

Buone pratiche

Per utente

• Leggi informative
• Esercita diritti
• Password forti
• Segnala abusi

Per operatore PA

• Minimizzazione
• Sicurezza
• Formazione
• Consulta DPO per dubbi

Documentazione

• Registro trattamenti
• DPIA dove serve
• Log accessi
• Contratti con responsabili

Formazione obbligatoria

PA

• Art. 13 CAD + GDPR
• Periodica
• Tutti dipendenti

Contenuti

• Principi GDPR
• Diritti
• Sicurezza
• Incidenti

Aspetti pratici

Invio email

• CCN per destinatari multipli
• Non mettere in CC dati di terzi
• Riservatezza comunicazione

Documenti cartacei

• Distruzione sicura (shredding)
• Archiviazione protetta
• Trasporto sicuro

Smart working

• VPN
• PC aziendale preferibile
• Dati non su storage personale

Privacy giuridica PL

Identificazione soggetti

• Solo dati necessari (nome, documento)
• No pubblicazione su social

Foto e video

• Usi istituzionali: OK
• Social media Corpo: policy specifica
• Minori: autorizzazione genitori

Comunicazioni

• PEC preferibile per documenti
• Email standard: cifratura se sensibili

Reclami Garante

Chi può

• Chiunque ritenga violato i suoi dati

Come

• Gratuito
• Modulo online o cartaceo
• Documentazione

Istruttoria

• Garante valuta
• Possibili sanzioni
• Comunicazione esito

Risarcimento (art. 82 GDPR)

Diritto

• Danno materiale o immateriale
• Titolare/responsabile responsabile
• Solidarietà

Giudice ordinario

• Azione civile
• Giurisprudenza CGUE: anche danno immateriale se provato (2023)

Tendenze

AI Act (UE 2024)

• Regolamentazione AI
• Rischio-based
• Divieto alcune pratiche

Data Act / Data Governance Act

• Scambio dati
• Interoperabilità
• UE

Privacy rinforzata

• Consapevolezza crescente
• Sanzioni pesanti
• Compliance obbligo