Vademecum in materia di tutela della privacy

Vademecum in materia di tutela della privacy

a cura dell’Avvocato Luca Bonjour

Il presente intervento intende costituire un breve excursus, senza peraltro pretese di esaustività, in merito alla disciplina oggi vigente in materia di privacy.

Al fine di meglio inquadrare la fattispecie e le problematiche ad essa sottese, è necessario soffermare inizialmente l’attenzione su quelle che sono le fonti normative: ovviamente, preminente importanza è rivestita dal Decreto Legislativo n. 196 del 30 giugno 2003, c.d. Codice della Privacy, unitamente all’allegato b) “Disciplinare tecnico in materia di misure minime di sicurezza”.

La ratio della normativa è quella di evitare un uso improprio, illecito e in ogni caso non previsto né autorizzato dei dati, garantendone un’adeguata protezione.

Deve essere garantito un livello minimo di protezione, al fine di ridurre i rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato e/o di trattamento non consentito o non conforme alle finalità della raccolta. Gli obblighi di sicurezza sottesi a scongiurare detti rischi devono essere adottati in via preventiva e devono permanere durante tutto il periodo del trattamento.

I dati oggetto di trattamento possono essere:

1) personali (cognome e nome, luogo e data di nascita, codice fiscale, partita iva, …)

2) sensibili (tutti i dati idonei a rivelare l’origine razziale o etnica, le convinzioni religiose o filosofiche, l’opinione politica, l’iscrizione a sindacati o associazioni, lo stato di salute e/o la vita sessuale, …)

3) giudiziari (tutti i dati idonei a rivelare l’esistenza di provvedimenti di natura giudiziaria)

I soggetti preposti alla gestione dei dati sono:

1) titolare: è il soggetto che vigila sull’applicazione della normativa sulla privacy

2) responsabile: è il soggetto preposto al trattamento dei dati

3) incaricato: è il soggetto autorizzato a compiere operazioni di trattamento dal titolare e/o dal responsabile

4) interessato: è la persona fisica o giuridica, ente o associazione, cui si riferiscono i dati

I dati possono essere oggetto di:

1) trattamento, cioè raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, …

2) comunicazione, cioè possono essere forniti a terzi soggetti diversi dall’interessato

3) diffusione, cioè possono essere forniti a terzi indeterminati

In merito al trattamento dei dati, va poi precisato come questi debbano essere trattati in modo lecito e secondo correttezza, devono essere raccolti per scopi determinati, espliciti e legittimi, devono essere esatti e aggiornati, pertinenti, completi e non eccedenti rispetto alle finalità per i quali sono stati raccolti e devono altresì essere conservati in una forma che consenta l’identificazione dell’interessato per un periodo di tempo non superiore a quello necessario agli scopi della raccolta.

Ai sensi dell’art. 13, Codice Privacy, l’interessato deve essere previamente informato:

a) delle finalità e delle modalità del trattamento

b) della natura obbligatoria o facoltativa del conferimento

c) delle conseguenze di un eventuale rifiuto di rispondere

d) dei soggetti o delle categorie di soggetti cui i dati possono essere comunicati o che possono venire a conoscenza in qualità di responsabili e di incaricati e l’ambito di diffusione dei dati medesimi

e) del diritto di accesso, aggiornamento, rettificazione o integrazione, cancellazione, trasformazione in forma anonima o blocco, di opposizione al trattamento anche per l’invio di materiale pubblicitario

f) degli estremi identificativi del titolare e, se nominato, del responsabile

Il trattamento è ammesso solo con il consenso espresso dell’interessato: questo è valido se espresso liberamente, specifico, documentato per iscritto ed è preceduto dalla suddetta informativa. Se l’informativa è incompleta o omessa, il consenso non è valido e il trattamento è illecito.

Una volta posta in essere detta attività di raccolta, debitamente preceduta da un’adeguata informativa, si procede alla notificazione del trattamento, id est si rende noto al Garante per la protezione dei dati personali l’esistenza di un’attività di raccolta e di utilizzazione di dati personali al fine di costituire un registro pubblico, liberamente e gratuitamente consultabile.

Inevitabilmente il trattamento dei dati così come enunciato corre in concreto una pluralità di rischi interconnessi allo sviluppo delle tecnologie informatiche. In particolare, vi è la possibilità di perdere i dati in caso di non idoneità dell’hardware o che terzi non autorizzati accedano a dati in caso di non idoneità del software. Per tali motivi, il disciplinare tecnico sulle misure di sicurezza allegato al codice della Privacy descrive le modalità tecniche da adottare nel caso in cui il trattamento dei dati avvenga con strumenti elettronici o con altre modalità.

In conclusione di questa breve dissertazione, è bene sottolineare quali siano i soggetti tenuti alle obbligazioni previste dal Codice della Privacy: chiunque tratti dati personali / sensibili / giudiziari, qualunque attività lavorativa in merito ai dati dei propri clienti, fornitori, dipendenti.

Quindi, a seconda della natura del dato e del suo trattamento (cartaceo o elettronico), troverà applicazione il codice in materia di Privacy, tenendo sempre ben presente le prescrizioni contenute nel disciplinare tecnico in materia di misure minime di sicurezza.