Per trattamento dei dati personali secondo la legge italiana, si intende qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicati a dati personali o insiemi di dati personali, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca dati. Rispetto alla definizione accolta dalla previgente L. 675/96, è stato precisato espressamente che nella nozione di trattamento devono essere fatte rientrare anche le operazioni relative a dati non registrati in una banca dati.
Il GDPR disciplina solo il trattamento dei dati personali che riguardano una persona fisica. Quindi solo le persone fisiche possono essere interessate al trattamento, non le persone giuridiche (tranne poche eccezioni). Il GDPR, però, non si applica alle persone decedute, ma qui interviene il Decreto di adeguamento del Codice Privacy che estende le tutele del GDPR al trattamento dei dati dei deceduti (art. 2-terdecies).
Descrizione
Modalità del trattamento e requisiti dei dati Il regolamento generale sulla protezione dei dati è un regolamento dell'Unione europea in materia di trattamento dei dati personali e di privacy, adottato il 27 aprile 2016, pubblicato sulla Gazzetta Ufficiale Europea il 4 maggio 2016 ed entrato in vigore il 25 maggio dello stesso anno ed operativo a partire dal 25 maggio 2018
Il testo affronta anche il tema dell'esportazione di dati personali al di fuori dell'UE e obbliga tutti i titolari del trattamento dei dati (anche con sede legale fuori dall'Unione europea) che trattano dati di residenti nell'Unione europea ad osservare e adempiere agli obblighi previsti.
La legge sulla privacy fino al 1996 non si limitava a disciplinare le banche di dati, intese - ai sensi dell'art. 1 comma 2 lett. a – come «qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento», ma regolava anche operazioni singole compiute su dati personali, intesi come «qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale». In base alla normativa di cui agli artt. 20, comma 2, e 21, comma 2, del d.lg. 30 giugno 2003, n. 196, i sistemi informativi ed i programmi informatici hanno dovuto essere predisposti in modo da assicurare che i dati sensibili (o personali) siano utilizzati esclusivamente nella misura necessaria per il raggiungimento delle specifiche finalità che il titolare si prefigge (espressamente elencate nel d.lg. n. 196/2003 artt. 59, 60, 62-73, 86, 95, 98 e 112). In caso contrario è stato necessario utilizzare dati in forma anonima o adottare modalità che permettano di identificare l'interessato solo in stretto caso di necessità.
Fino al 25 maggio 2018 il trattamento dei dati personali era regolato dal Codice in materia di protezione dei dati personali nel Titolo III di tale codice, le regole sono state conseguentemente abrogate per la presa in vigore del GDPR.
Con riguardo alle regole valide per tutti i trattamenti contenute nel Regolamento generale sulla protezione dei dati, l'art. 5 paragrafo 1. del citato provvedimento stabilisce innanzitutto che i dati personali oggetto di trattamento sono:
trattati in modo lecito e secondo correttezza (art. 5.1 lett. a); raccolti e registrati per scopi determinati, espliciti e legittimi, ed utilizzati in altre operazioni del trattamento in termini compatibili con tali scopi (art. 5.1 lett. b); esatti e, se necessario, aggiornati (art. 5.1 lett. c); pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati (art. 5.1 lett. d); conservati in una forma che consenta l'identificazione dell'interessato per un periodo di tempo non superiore a quello necessario agli scopi per i quali essi sono stati raccolti o successivamente trattati (art. 5.1 lett. e); trattati in maniera da garantire l'adeguata sicurezza dei dati personali (art. 5.1 lett. f).
Il Titolare, unitamente al Responsabile dei sistemi informativi, deve quindi preventivamente adottare procedure organizzative, informatiche e materiali che permettano al singolo incaricato l'accesso nel database ai soli dati necessari alle sue specifiche mansioni, in modo tale da fare tutto il necessario per proteggere i dati, a seconda delle circostanze (art. 5.2). Tale accesso è consentito, oltre al titolare ed al responsabile, soltanto ad incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di convalida relativa ad uno specifico trattamento o ad un insieme di trattamenti.
Il Regolamento generale sulla protezione dei dati stabilisce che ogni Titolare debba eseguire vari adempimenti che consentano al Garante e ai terzi di conoscere esattamente se, perché e come una determinata azienda o ente gestisca dati sensibili. Il Garante, per non sovraccaricare di adempimenti i settori nei quali la gestione di dati sensibili è obbligatoria per legge (ad esempio i dati dei lavoratori dipendenti), emana delle Autorizzazioni Generali che ogni anno sono rinnovate. Tali provvedimenti sollevano il titolare del trattamento dall'obbligo di notificazione all'Autorità Garante, ferma restando l'autorizzazione dietro fornitura di una informativa sul trattamento, da parte dell'interessato.
I dati personali così individuati sono trattati previa verifica della loro pertinenza, completezza e indispensabilità rispetto alle finalità perseguite nei singoli casi, specie nel caso in cui la raccolta non avvenga presso l'interessato. Le operazioni di interconnessione, raffronto, comunicazione e diffusione sono ammesse soltanto se indispensabili allo svolgimento degli obblighi o compiti di volta in volta indicati, per il perseguimento delle rilevanti finalità di interesse pubblico specificate e nel rispetto delle disposizioni rilevanti in materia di protezione dei dati personali, nonché degli altri limiti stabiliti dalla legge e dai regolamenti.
Gli adempimenti principali che consentano al Garante e ai terzi di conoscere esattamente se, perché e come una determinata azienda o ente gestisca dati sensibili sono: la notificazione all'Autorità Garante; l'informativa all'interessato; la raccolta dei consensi; la suddivisione dei compiti con l'attribuzione delle relative responsabilità all'interno dell'organizzazione del Titolare; l'adozione delle misure di sicurezza.
Ambiti di applicazione Le norme che disciplinano l’applicazione della direttiva sono gli art. 2 e art. 3 del GDPR: il primo stabilisce vincoli di natura materiale, il secondo di stampo territoriale.
Art. 2 - Ambito di applicazione materiale L’oggetto di disciplina sono dati, almeno in parte, automatizzati; quelli non automatizzati sono considerati dalla direttiva nel caso di archivi.
"Il presente regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali e al trattamento non automatizzato di dati personali contenuti in un archivio o destinati a figurarvi." "Il presente regolamento non si applica ai trattamenti di dati personali: effettuati per attività che non rientrano nell’ambito di applicazione del diritto dell’Unione; effettuati dagli Stati membri nell’esercizio di attività che rientrano nell’ambito di applicazione del titolo V, capo 2, TUE; effettuati da una persona fisica per l’esercizio di attività a carattere esclusivamente personale o domestico; effettuati dalle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o esecuzione di sanzioni penali, incluse la salvaguardia contro minacce alla sicurezza pubblica e la prevenzione delle stesse."
Art. 3 - Ambito di applicazione territoriale
"Il presente regolamento si applica al trattamento dei dati personali effettuato nell'ambito delle attività di uno stabilimento da parte di un titolare del trattamento o di un responsabile del trattamento nell'Unione, indipendentemente dal fatto che il trattamento sia effettuato o meno nell'Unione." "Il presente regolamento si applica al trattamento dei dati personali di interessati che si trovano nell'Unione, effettuato da un titolare del trattamento o da un responsabile del trattamento che non è stabilito nell'Unione, quando le attività di trattamento riguardano: l'offerta di beni o la prestazione di servizi ai suddetti interessati nell'Unione, indipendentemente dall'obbligatorietà di un pagamento dell'interessato; il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all'interno dell'Unione." "Il presente regolamento si applica al trattamento dei dati personali effettuato da un titolare del trattamento che non è stabilito nell'Unione, ma in un luogo soggetto al diritto di uno Stato membro in virtù del diritto internazionale pubblico."
Notificazione all'Autorità Garante La notificazione (artt. 37-38 Codice) consiste in una comunicazione ufficiale che il Titolare rivolge al Garante per la Protezione dei Dati Personali circa il/i trattamento/i svolto/i con la quale si comunica al Garante l'esistenza di un'attività di raccolta e di utilizzazione di dati personali. Secondo quanto stabilito dalla nuova disciplina, è tenuto alla Notificazione il Titolare che esegue il trattamento di:
dati genetici, biometrici o dati che indicano la posizione geografica di persone od oggetti mediante una rete di comunicazione elettronica; dati idonei a rivelare lo stato di salute e la vita sessuale, trattati a fini di procreazione assistita, prestazione di servizi sanitari per via telematica relativi a banche di dati o alla fornitura di beni, indagini epidemiologiche, rilevazione di malattie mentali, infettive e diffusive, sieropositività, trapianto di organi e tessuti e monitoraggio della spesa sanitaria; dati trattati con l'ausilio di strumenti elettronici volti a definire il profilo o la personalità dell'interessato, o ad analizzare abitudini o scelte di consumo, ovvero a monitorare l'utilizzo di servizi di comunicazione elettronica con esclusione dei trattamenti tecnicamente indispensabili per fornire i servizi medesimi agli utenti; dati sensibili registrati in banche di dati a fini di selezione del personale per conto terzi, nonché dati sensibili utilizzati per sondaggi di opinione, ricerche di mercato e altre ricerche campionarie; dati registrati in apposite banche di dati gestite con strumenti elettronici e relative al rischio sulla solvibilità economica, alla situazione patrimoniale, al corretto adempimento di obbligazioni, a comportamenti illeciti o fraudolenti. (Art. 37, comma I)
Secondo il Codice è obbligatorio inviare la Notificazione esclusivamente per via telematica, utilizzando l'apposito modello messo a disposizione dal Garante. Il Garante, inoltre, può individuare, con proprio provvedimento, altri trattamenti suscettibili di recare pregiudizio ai diritti e alle libertà dell'interessato, in ragione della natura dei dati personali o delle modalità di raccolta e trattamento.
Informativa sul trattamento all'interessato È la comunicazione con la quale il Titolare (ai sensi dell'art. 13 del Codice) informa l'interessato del trattamento svolto e può essere fornita oralmente o per iscritto. Il Titolare pertanto illustra ai soggetti ai quali i dati raccolti si riferiscono (interessati):
le finalità e le modalità del trattamento svolto, la natura obbligatoria o facoltativa del conferimento dei dati, le conseguenze dell'eventuale rifiuto del conferimento, l'ambito di comunicazione e diffusione dei dati,