Dati comuni

• GPDP, Docweb 9698724, 22.7.2021 (4)

  Massima (4) – Il rapporto tra titolare e responsabile deve essere regolato da un contratto o da altro atto giuridico, stipulato per iscritto che, oltre a vincolare reciprocamente le due figure, consente al titolare di impartire istruzioni al responsabile e prevede, in dettaglio, quale sia la materia disciplinata, la durata, la natura e le finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare. Il Responsabile del trattamento è, pertanto, legittimato a trattare i dati degli interessati «soltanto su istruzione documentata del titolare» [art. 28, par. 3, lett. a), GDPR].

• GPDP, Docweb 9698724, 22.7.2021 (3)

  Massima (3) – Ai fini del rispetto della normativa in materia di protezione dei dati personali, occorre identificare con precisione i soggetti che, a diverso titolo, possono trattare i dati personali e definire chiaramente le rispettive attribuzioni, in particolare quella di titolare e di responsabile del trattamento e dei soggetti che operano sotto la diretta responsabilità di questi (art. 4, par. 1, n. 7, GDPR). Sul titolare ricadono le decisioni circa le finalità e le modalità del trattamento dei dati personali degli interessati nonché una «responsabilità generale» sui trattamenti posti in essere (v. art. 5, par. 2 c.d. «accountability» e 24 GDPR), anche quando questi siano effettuati da altri soggetti “per suo conto” (cons. 81, artt. 4, n. 8) e 28 GDPR).

• GPDP, Decweb 9698724, 22.7.2021 (2)

  Massima (2) – Pur in presenza di un presupposto giuridico, ad ogni modo, il titolare del trattamento è comunque tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quelli di «liceità, correttezza e trasparenza», «limitazione della conservazione» e «integrità e riservatezza» in base ai quali i dati sono «trattati in modo lecito, corretto e trasparente nei confronti dell'interessato», «conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati» e  «trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati» [art. 5, par. 1, lett. a), e) e f), GDPR]. Ove un ente locale tratti dati personali degli utenti con parchimetri modernizzati, che richiedano il necessario inserimento del numero di targa al fine di rendere non necessario l’esposizione del tagliando da parte degli interessati, occorre rendere loro un’adeguata e completa informativa (ai sensi dell’art. 13 GPR), definire i tempi di conservazione dei dati personali raccolti e dare in tal senso precise istruzioni alla società designata responsabile del trattamento. Ove non siano state adottate «misure adeguate a garantire che siano trattati solo i dati necessari, con particolare riferimento alla definizione dei tempi di conservazione dei dati personali», va considerato violato il principio di «limitazione della conservazione» e quello di «protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita» di cui agli artt. 5, par. 1, lett. e) e 25 GDPR. 

• GPDP, Docweb 9698724, 22.7.2021 (1)

  Massima (1) – In base alla disciplina in materia di protezione dei dati personali i soggetti pubblici possono trattare i dati solo se necessario «per adempiere un obbligo legale al quale è soggetto il titolare del trattamento» oppure «per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento» [art. 6, par. 1, lett. c) ed e), GDPR]. In tale quadro, la regolazione delle soste e dei parcheggi a pagamento rientra tra le attività istituzionali affidate agli enti locali.

• La Data Protection fra le strade cittadine: le violazioni del GDPR relative alla “modernizzazione” dei parcometri per la gestione della sosta a pagamento

  GPDP, Docweb n. 9698724 del 22 luglio 2021 | Massime e Commento di Martina Voci

• GPDP, Docweb 9501766, 1.10.2020 (2)

  Massima (2) – L’invio di messaggi di propaganda elettorale da parte di un medico (o altro professionista) verso pazienti (o clienti) legati al medesimo da pregressi rapporti di amicizia o in relazione ai quali un personale e strutturato vincolo di amicizia si è sovrapposto, sostituendolo nella sua natura, al rapporto professionale, deve considerarsi quale «attività a carattere esclusivamente personale o domestico»ex art. 2, par. 2, lett. c), GDPR e, come tale, esclusa dall’ambito di applicazione del GDPR.

• GPDP, Docweb 9501766, 1.10.2020 (1)

  Massima (1) – I dati personali raccolti nell’esercizio di attività professionali e di impresa, ovvero nell’ambito dell´attività di tutela della salute da parte di esercenti la professione sanitaria e di organismi sanitari, non sono utilizzabili per fini di propaganda elettorale e connessa comunicazione politica, in quanto tale finalità non è riconducibile agli scopi legittimi per i quali i dati sono stati raccolti, salvo che il titolare acquisisca uno specifico e informato consenso dell’interessato.

• Trattamento di dati raccolti nell’esercizio di attività professionali e di tutela della salute per fini di propaganda elettorale

  GPDP, Docweb n. 9501766 del 1° ottobre 2020 | Massime e Commento di Daniele Sborlini

• GPDP, Docweb 9577017, 11.3.2021 (2)

  Massima (2) – Risulta pregiudizievole dell’interesse di un minore la pubblicazione, all’interno di un articolo, dell’indirizzo di residenza della madre, ancorché protagonista di un tragico fatto di cronaca, nonché la rivelazione di dettagli specifici inerenti alla vita privata della vittima non essenziali ai fini della ricostruzione dei fatti.

• GPDP, Docweb 9696708, 22.7.2021 (2)

  Massima (2) – Non può ritenersi applicabile all’attività promozionale effettuata a mezzo posta elettronica a dati di contatto estratti da albi pubblici la base giuridica del legittimo interesse, non potendosi ravvisare, nel caso di specie, le condizioni per la sua operatività, quali una pregressa e costante interazione positiva fra titolare e interessato che dunque possa ragionevolmente aspettarsi di ricevere comunicazioni promozionali. Al riguardo, non può avere rilievo liceizzante il contenuto formativo specialistico, anche ove di comprovata utilità, interesse o gradimento per i destinatari, dei messaggi in questione.