Schema operativo del trattamento dati nella PL

Le 9 fasi dello schema operativo

Fase 1 — Identificazione del dato

Domande chiave

• Quale tipo di dato sto trattando?
• Personale ordinario (nome, indirizzo, targa)?
• Particolare (sanitario, biometrico, religioso)?
• Giudiziario (condanne, reati)?

Implicazioni

• Più sensibile = più cautele;
• Particolari → art. 9 GDPR (deroghe specifiche);
• Giudiziari → art. 10 GDPR (base normativa specifica).

Fase 2 — Identificazione della base giuridica

Per il GDPR (art. 6)

• Obbligo legale (lett. c): es. CdS;
• Interesse pubblico/esercizio pubblici poteri (lett. e): tipico per PA;
• Esecuzione contratto (lett. b): raro per PA;
• Consenso (lett. a): casi limitati per PA;
• Interesse legittimo (lett. f): non per PA;
• Vitali interessi (lett. d): emergenze.

Per i particolari (art. 9 par. 2)

• Interesse pubblico rilevante (lett. g): tipica per PA;
• Obbligo legale rilevante (lett. b);
• Difesa in giudizio (lett. f);
• Salute (lett. h, i): sanitarie/emergenza;
• Consenso esplicito (lett. a): raro.

Per i giudiziari (art. 10)

• Base normativa specifica: TUA, CdS, c.p., c.p.p., L. 121/1981, ecc.;
• Sotto autorità pubblica.

Fase 3 — Identificazione del regime

GDPR

• Attività amministrativa della PL (verbali CdS, sanzioni amministrative, ordinanze, banche dati anagrafiche).

LED (D.Lgs. 51/2018)

• Finalità penali: prevenzione, indagine, accertamento, perseguimento reati o esecuzione sanzioni penali (CNR, atti PG, sequestri probatori, ecc.).

Fase 4 — Trattamento

Tipologie

• Raccolta (sopralluogo, identificazione);
• Registrazione (verbale, archivio digitale);
• Estrazione (banche dati);
• Consultazione;
• Comunicazione;
• Conservazione;
• Cancellazione.

Principi

• Minimizzazione: solo dati necessari;
• Esattezza: dati corretti e aggiornati;
• Integrità e riservatezza (sicurezza);
• Responsabilizzazione (accountability).

Fase 5 — Conservazione

Tempi

• Tempo strettamente necessario;
• Specifico per tipo di dato:
  • CdS: 5 anni;
  • L. 689/1981: 5 anni;
  • CNR: secondo prescrizione del reato (LED);
  • Video: tempo strettamente necessario, breve;
  • Foto autovelox/ZTL: breve per non sanzionati, 5 anni per sanzionati.
• Documentato in registro trattamenti (art. 30).

Fase 6 — Accesso e comunicazione

Accesso

• Solo personale autorizzato (art. 29 designati);
• Con tracciamento (log);
• Per finalità di servizio;
• Minimizzazione anche nell'accesso.

Comunicazione

• Soggetti determinati (uffici comunali, Prefettura, Procura, ecc.);
• Base giuridica;
• Minimizzazione.

Diffusione

• Soggetti indeterminati (web, social);
• Vietata salvo base normativa;
• Oscuramenti obbligatori.

Fase 7 — Misure di sicurezza (art. 32 GDPR)

Tecniche

• Cifratura dei dati;
• Pseudonimizzazione;
• Backup;
• Antivirus, firewall;
• Cancellazione sicura.

Organizzative

• Procedure scritte;
• Formazione del personale;
• Designazione autorizzati;
• Audit periodici;
• Politica privacy del Comune.

Fase 8 — Gestione data breach

Procedure (artt. 33-34)

• Rilevazione + segnalazione DPO;
• Valutazione rischio;
• Notifica Garante entro 72h (se rischio non basso);
• Comunicazione interessati (se rischio elevato);
• Misure correttive;
• Registrazione interna.

Fase 9 — Responsabilità

Triplice

• Disciplinare: D.P.R. 3/57 + CCNL;
• Civile: art. 82 GDPR + rivalsa;
• Penale: artt. 326, 615-ter c.p. + 167 Codice Privacy.

Schema visuale

[1] DATO (personale/particolare/giudiziario)
      ↓
[2] BASE GIURIDICA (obbligo, interesse pubblico, consenso)
      ↓
[3] REGIME (GDPR vs LED)
      ↓
[4] TRATTAMENTO (raccolta, registrazione, ecc.)
      ↓
[5] CONSERVAZIONE (tempo necessario, registro art. 30)
      ↓
[6] ACCESSO/COMUNICAZIONE/DIFFUSIONE
      ↓
[7] SICUREZZA (tecniche + organizzative)
      ↓                              ↓
[8] DATA BREACH GESTIONE     [9] RESPONSABILITÀ se violazione
(72h Garante, interessati)        (disc. + civ. + pen.)

Applicazione per casi tipici

Caso 1 — Verbale CdS

• Dato: personale ordinario (trasgressore, targa);
• Base: obbligo legale + interesse pubblico (CdS);
• Regime: GDPR;
• Conservazione: 5 anni;
• Sicurezza: standard;
• Comunicazione: Prefettura per ricorso.

Caso 2 — CNR per reato

• Dato: giudiziario;
• Base: c.p.p. (norma specifica);
• Regime: LED;
• Conservazione: secondo prescrizione reato;
• Sicurezza: rinforzata;
• Comunicazione: solo PM.

Caso 3 — Sinistro con ferito

• Dato: personale + particolare (sanitario);
• Base: obbligo legale + interesse pubblico rilevante;
• Regime: GDPR + eventuale LED se reato;
• Conservazione: 5 anni + secondo regime LED se applicabile;
• Sicurezza: rinforzata per dati sanitari;
• Comunicazione: assicurazione (con cautela), eventuale Procura.

Caso 4 — Videosorveglianza ZTL

• Dato: personale (targhe + immagini);
• Base: obbligo legale + interesse pubblico;
• Regime: GDPR;
• Conservazione: breve per non sanzionati, 5 anni per sanzionati;
• Sicurezza: cifratura + accesso limitato + log;
• Diffusione: vietata (solo accesso a sanzionato).

Per il concorso

Domanda tipica

"Descrivere lo schema operativo del trattamento dati nella PL."

Risposta:

9 fasi:

1. Identificazione del dato (categoria);
2. Base giuridica (art. 6/9/10 GDPR o norma LED);
3. Regime (GDPR amministrativa, LED penale);
4. Trattamento (raccolta, registrazione, ecc.);
5. Conservazione (tempo necessario, art. 5 lett. e);
6. Accesso/comunicazione (autorizzati, base giuridica, minimizzazione);
7. Sicurezza (tecniche e organizzative, art. 32);
8. Gestione data breach (artt. 33-34, 72h);
9. Responsabilità (disciplinare, civile, penale).

Schema cardine: applicabile a ogni trattamento (verbale, sinistro, video, banche dati).