Data Protection e Privacy Officer
BLOG | Corso di Alta Formazione presso l'Università di Bologna – Direttore Prof. Avv. Fabio Bravo
Il Garante per la protezione dei dati personali, con provv. del 28.10.2019 (doc. web n. 9169688), ha chiarito il “ruolo privacy” delle compagnie di assicurazione nei bandi di gara indetti dalla p.a. per l’affidamento dei servizi assicurativi (polizze infortuni, responsabilità civile di terzi, etc.). Continue reading “Appalti pubblici e bandi di gara: il ruolo privacy delle compagnie di assicuzione”
La Corte Europea dei Diritti dell’Uomo (CEDU), Grande Camera, con sentenza del 17 ottobre 2019 nel caso López Ribalda ed altri v. Spagna, ha affermato la liceità, entro determinati limiti, dell’uso di telecamere nascoste nei luoghi di lavoro.
Il Presidente del Garante per la protezione dei dati personali, in un suo comunicato, a commento della sentenza, ha chiarito che tale pronuncia non deve legittimare la sorveglianza occulta nella prassi ordinaria, dato che i controlli devono pur sempre rispondere a principi di proporzionalità e non eccedenza rispetto alle finalità legittime del trattamento..
Ha inoltre chiarito che:
“La sentenza della Grande Camera della Corte di Strasburgo se da una parte giustifica, nel caso di specie, le telecamere nascoste, dall’altra conferma però il principio di proporzionalità come requisito essenziale di legittimazione dei controlli in ambito lavorativo.
L’installazione di telecamere nascoste sul luogo di lavoro è stata infatti ritenuta ammissibile dalla Corte solo perché, nel caso che le era stato sottoposto, ricorrevano determinati presupposti: vi erano fondati e ragionevoli sospetti di furti commessi dai lavoratori ai danni del patrimonio aziendale, l’area oggetto di ripresa (peraltro aperta al pubblico) era alquanto circoscritta, le videocamere erano state in funzione per un periodo temporale limitato, non era possibile ricorrere a mezzi alternativi e le immagini captate erano state utilizzate soltanto a fini di prova dei furti commessi.
La videosorveglianza occulta è, dunque, ammessa solo in quanto extrema ratio, a fronte di “gravi illeciti” e con modalità spazio-temporali tali da limitare al massimo l’incidenza del controllo sul lavoratore. Non può dunque diventare una prassi ordinaria.
Il requisito essenziale perché i controlli sul lavoro, anche quelli difensivi, siano legittimi resta dunque, per la Corte, la loro rigorosa proporzionalità e non eccedenza: capisaldi della disciplina di protezione dati la cui “funzione sociale” si conferma, anche sotto questo profilo, sempre più centrale perché capace di coniugare dignità e iniziativa economica, libertà e tecnica, garanzie e doveri”.
Corte di Giustizia dell’UE (CGUE), Grande Sezione
Sent. 24.9.19, causa C-507/17
Dispositivo | Testo Integrale, CGUE
Dispositivo
L’articolo 12, lettera b), e l’articolo 14, primo comma, lettera a), della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e l’articolo 17, paragrafo 1, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46 (regolamento generale sulla protezione dei dati), devono essere interpretati nel senso che il gestore di un motore di ricerca, quando accoglie una domanda di deindicizzazione in applicazione delle suddette disposizioni, è tenuto ad effettuare tale deindicizzazione non in tutte le versioni del suo motore di ricerca, ma nelle versioni di tale motore corrispondenti a tutti gli Stati membri, e ciò, se necessario, in combinazione con misure che, tenendo nel contempo conto delle prescrizioni di legge, permettono effettivamente di impedire agli utenti di Internet, che effettuano una ricerca sulla base del nome dell’interessato a partire da uno degli Stati membri, di avere accesso, attraverso l’elenco dei risultati visualizzato in seguito a tale ricerca, ai link oggetto di tale domanda, o quantomeno di scoraggiare seriamente tali utenti.
Testo integrale Continue reading “Motori di ricerca e deindicizzazione (diritto all’oblio). CGUE, sent. 24 settembre 2019, causa C-507/17”
Corte di Giustizia dell’UE (CGUE ) – Grande Sezione
Dispositivo | Testo Integrale, CGUE
Dispositivo
1) Le disposizioni dell’articolo 8, paragrafi 1 e 5, della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, devono essere interpretate nel senso che i divieti o le restrizioni riguardanti il trattamento di categorie particolari di dati personali, di cui alle suddette disposizioni, si applicano, fatte salve le eccezioni previste dalla stessa direttiva, anche al gestore di un motore di ricerca nell’ambito delle sue responsabilità, competenze e possibilità, quale responsabile del trattamento effettuato durante l’attività di tale motore di ricerca, in occasione di una verifica compiuta da tale gestore, sotto il controllo delle autorità nazionali competenti, a seguito di una richiesta presentata dalla persona interessata.
2) Le disposizioni dell’articolo 8, paragrafi 1 e 5, della direttiva 95/46 devono essere interpretate nel senso che, in base ad esse, il gestore di un motore di ricerca, in linea di principio, è tenuto ad accogliere, fatte salve le eccezioni previste da tale direttiva, le richieste di deindicizzazione riguardanti link che rinviano a pagine web nelle quali compaiono dati personali rientranti nelle categorie particolari contemplate da tali disposizioni.
L’articolo 8, paragrafo 2, lettera e), della direttiva 95/46 deve essere interpretato nel senso che, in conformità di tale articolo, un gestore del genere può rifiutarsi di accogliere una richiesta di deindicizzazione ove constati che i link controversi dirigono verso contenuti che comprendono dati personali rientranti nelle categorie particolari di cui all’articolo 8, paragrafo 1, ma il cui trattamento è incluso nell’eccezione di cui all’articolo 8, paragrafo 2, lettera e), sempre che tale trattamento risponda a tutte le altre condizioni di liceità poste dalla suddetta direttiva e salvo che la persona interessata abbia, in forza dell’articolo 14, primo comma, lettera a), della medesima direttiva, il diritto di opporsi a detto trattamento per motivi preminenti e legittimi, derivanti dalla sua situazione particolare.
Le disposizioni della direttiva 95/46 devono essere interpretate nel senso che il gestore di un motore di ricerca, quando riceve una richiesta di deindicizzazione riguardante un link verso una pagina web nella quale sono pubblicati dati personali rientranti nelle categorie particolari di cui all’articolo 8, paragrafi 1 o 5, di tale direttiva, deve – sulla base di tutti gli elementi pertinenti della fattispecie e tenuto conto della gravità dell’ingerenza nei diritti fondamentali della persona interessata al rispetto della vita privata e alla protezione dei dati personali, sanciti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea – verificare, alla luce dei motivi di interesse pubblico rilevante di cui all’articolo 8, paragrafo 4, della suddetta direttiva e nel rispetto delle condizioni previste in quest’ultima disposizione, se l’inserimento di detto link nell’elenco dei risultati, visualizzato in esito ad una ricerca effettuata a partire dal nome della persona in questione, si riveli strettamente necessario per proteggere la libertà di informazione degli utenti di Internet potenzialmente interessati ad avere accesso a tale pagina web mediante una ricerca siffatta, libertà che è sancita all’articolo 11 della Carta.
3) Le disposizioni della direttiva 95/46 devono essere interpretate nel senso che,
– da un lato, le informazioni relative a un procedimento giudiziario di cui è stata oggetto una persona fisica e, se del caso, quelle relative alla condanna che ne è conseguita costituiscono dati relativi alle «infrazioni» e alle «condanne penali» ai sensi dell’articolo 8, paragrafo 5, della suddetta direttiva, e
– d’altro lato, il gestore di un motore di ricerca è tenuto ad accogliere una richiesta di deindicizzazione vertente su link verso pagine web, nelle quali compaiono le suddette informazioni, quando queste ultime si riferiscono ad una fase precedente del procedimento giudiziario considerato e non corrispondono più, tenuto conto dello svolgimento di quest’ultimo, alla situazione attuale, nei limiti in cui si constati, nell’ambito della verifica dei motivi di interesse pubblico rilevante di cui all’articolo 8, paragrafo 4, della stessa direttiva, che, tenuto conto di tutte le circostanze pertinenti della fattispecie, i diritti fondamentali della persona interessata, garantiti dagli articoli 7 e 8 della Carta dei diritti fondamentali dell’Unione europea, prevalgono su quelli degli utenti di Internet potenzialmente interessati, protetti dall’articolo 11 di tale Carta.
Testo Integrale Continue reading “Motori di ricerca e deindicizzazione (diritto all’oblio). CGUE, sent. 24 settembre 2019, causa C-136/17”
E’ stato emanato il nuovo “Codice di condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti” (SIC, Sistemi di Informazioni Creditizie), proposto dalle associazioni di categoria e approvato dal Garante per la protezione dei dati personali, all’esito del lavoro di revisione del vecchio Codice deontologico, per adeguarlo alle modifiche introdotte sia dalla normativa europea (GDPR) e nazionale in materia di protezione dei dati personali, sia dagli ulteriori sviluppi tecnologici di settore (Fintech).
Continue reading “Nuovo Codice deontologico sui SIC (Sistemi di Informazioni Creditizie)”
Il 30 luglio 2019 il Garante ha emanato il Provvedimento n. 157 in tema di notifica delle violazioni dei dati personali (Data Breach), contenente in allegato il modello da utilizzare detta notifica [Modello in PDF] [Ulteriori informazioni].
Poiché il Garante aveva già provveduto ad introdurre la notifica del Data Breach in diversi settori con proprio provvedimenti, prima ancora che la stessa fosse introdotta in maniera generalizzata nel Regolamento europeo (GDPR), con il provvedimento in questione il Garante ha provveduto a rendere uniformi i termini, i contenuti e le modalità della notifica.
Nel dispositivo del Provvedimento si prevede quanto segue:
a) i soggetti tenuti alla notifica delle violazioni dei dati personali forniscono al Garante, nell’adempiere all’obbligo previsto dall’art. 33 del Regolamento e dall’art. 26 del d.lgs. n. 51/2018, le informazioni di cui all’allegato modello, che forma parte integrante del presente provvedimento, con le modalità di cui all’art. 65 del d.lgs. n. 82/2005, mediante i sistemi telematici indicati nel sito istituzionale del Garante;
b) i termini temporali, il contenuto e le modalità della comunicazione delle violazioni di dati personali indicati nel provvedimento sulle misure di sicurezza e modalità di scambio dei dati personali tra amministrazioni pubbliche del 2 luglio 2015 (punto 1), nelle linee guida in materia di Dossier sanitario del 4 giugno 2015 (punto 2), nel provvedimento generale prescrittivo in tema di biometria del 12 novembre 2014 (punto 2); nel provvedimento in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali del 4 aprile 2013, nonché nel provvedimento recante prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie del 12 maggio 2011 (punto 5.2), si intendono eliminati e sostituiti dalla lett. a) del presente provvedimento, secondo i termini di cui in motivazione.
E’ stato pubblicato il bando per il Corso di Alta Formazione in Data Protection e Privacy Officer dell’Università di Bologna, a.a. 2019/2020.
I termini di presentazione della domanda scadono il 4 dicembre 2019.
Il corso, di 80 ore, è articolato in 10 giornate da 8 ore ciascuna.
Direttore del Corso è il Prof. Avv. Fabio Bravo.
Per ulteriori informazioni è possibile consultare la scheda del corso sul sito dell’Università di Bologna e le ulteriori informazioni presenti sulla pagina di questo stesso sito, ove sono indicati i tutors ed i recapiti a cui è possibile rivolgersi per ogni evenienza.
Il Garante ha emanato il provv. del 7 marzo 2019 contenente “Chiarimenti sull’applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario“, con relativa “infografica“, a fonte di un quadro normativo da considerarsi ancora non definitivo.
Nel provvedimento si legge, in particolare, che: Continue reading “Trattamento dei dati relativi alla salute in ambito sanitario: i chiarimenti del Garante”
Presso l’Università di Bologna si terrà il seminario dal titolo “Il trattamento dei dati nel settore farmaceutico“, Il 21 marzo 2019, dalle 15 alle 17.
Speaker: Fabio Bravo (Direttore del Corso di Alta Formazione in Data Protection e Privacy Officer dell’Università di Bologna) e Alessandro De Vico (Legal Counsel, International Legal Department, AbbVie Italy).
L’evento, che si terrà presso l’Aula Achille Ardigò di Palazzo Ercolani, in Strada Maggiore n. 45, Bologna, presso il Dipartimento di Sociologia e Diritto dell’Economia, è ad ingresso libero.
Il seminario rientra nell’ambito delle attività del Corso di Alta Formazione in Data Protection e Privacy Officer dell’Università di Bologna.
Il Garante per la protezione dei dati personali, in risposta a specifico quesito, ha chiarito il ruolo privacy dei consulenti del lavoro alla luce del GDPR (Reg. UE 679/2016), con proprio provvedimento del 22 gennaio 2019 ed, in particolare, quando vanno considerati responsabili del trattamento.