Massime

GPDP, Docweb 9752177, 24.2.2022 (1)

Massima (1) – La circostanza che un soggetto terzo chieda a un titolare di effettuare operazioni di trattamento su dati personali di cui quest’ultimo è titolare, indicandone anche la modalità di trattamento, non comporta l’automatica attribuzione della titolarità in capo al richiedente, né tantomeno la perdita della titolarità da parte del soggetto che legittimamente detiene i dati. Spetta a quest’ultimo valutare la legittimità della richiesta e in particolare l’esistenza di un’idonea base giuridica per effettuare le operazioni di trattamento richieste, in ragione dei principi di responsabilizzazione e di privacy by design.
GPDP, Docweb 9555987, 25.2.2021 (2)

Massima (2) – Il trattamento dei dati personali operato dal Ministero della salute in relazione al Sistema di allerta Covid-19 (App “Immuni”) – che ha la propria base giuridica in specifiche previsioni normative (tra cui l’art. 6, d.l. n. 28/2020, conv. con mod. dalla l. 27/2020) per il perseguimento di un interesse pubblico rilevante , ai sensi degli artt. 6, par. 1, lett. e), e 9, par. 2, lett. i), GDPR ed è caratterizzato dall’adesione volontaria dell’utente che scarica l’App sul proprio smartphone previa adeguata informativa – è autorizzato dal Garante per la protezione dei dati personali.
GPDP, Docweb 9555987, 25.2.2021 (1)

Massima (1) – Il trattamento di dati personali effettuato da parte del Ministero della salute nell’ambito del Sistema di allerta Covid-19 mediante l’App “Immuni” presenta una valutazione d’impatto, modificata secondo le indicazioni del Garante, contenente la previsione di misure adeguate a garantire il rispetto dei diritti e delle libertà degli interessati, che attenuano i rischi che potrebbero derivare dal trattamento, e un nuovo meccanismo per consentire in autonomia, a un soggetto risultato positivo, di caricare le TEK (Temporary Exposure Key) nel backend di Immuni e dunque di interagire direttamente con il sistema di allerta Covid-19 per comunicare l’esito positivo del referto, consentendo una maggior efficienza complessiva del sistema medesimo.
GPDP, Docweb 9793975, 21.7.2022 (2)

Massima (2) – L’eventuale materiale oggetto di segnalazione in tema di revenge porn di cui all’art. 144-bis del Codice in materia di protezione dei dati personali, che dovesse essere acquisito in chiaro dalla relativa piattaforma, deve essere conservato, a soli fini probatori, per dodici mesi a decorrere dal ricevimento del provvedimento utilizzando misure idonee a impedire la diretta identificabilità degli interessati da comunicarsi tempestivamente all’Autorità garante per la protezione dei dati personali.
GPDP, Docweb 9793975, 21.7.2022 (1)

Massima (1) – Va disposta, da parte dell’Internet Service Provider (ISP) gestore di una piattaforma online per la condivisione di contenuti digitali da parte degli utenti, l’immediata adozione di misure volte ad impedire la diffusione, sulla propria piattaforma, del materiale oggetto della segnalazione in materia di revenge porn, effettuata ai sensi dell’art. 144-bis del Codice in materia di protezione dei dati personali, con file contraddistinto mediante impronta di hash.
GPDP, Docweb 9793939, 21.7.2022 (2)

Massima (2) – L’eventuale materiale oggetto di segnalazione in tema di revenge porn di cui all’art. 144-bis del Codice in materia di protezione dei dati personali, che dovesse essere acquisito in chiaro dalla relativa piattaforma, deve essere conservato, a soli fini probatori, per dodici mesi a decorrere dal ricevimento del provvedimento utilizzando misure idonee a impedire la diretta identificabilità degli interessati da comunicarsi tempestivamente all’Autorità garante per la protezione dei dati personali.
GPDP, Docweb 9793939, 21.7.2022 (1)

Massima (1) – Va disposta, da parte dell’Internet Service Provider (ISP) gestore di una piattaforma online per la condivisione di contenuti digitali da parte degli utenti, l’immediata adozione di misure volte ad impedire la diffusione, sulla propria piattaforma, del materiale oggetto della segnalazione in materia di revenge porn, effettuata ai sensi dell’art. 144-bis del Codice in materia di protezione dei dati personali, con file contraddistinto mediante impronta di hash.
GPDP, Docweb 9544504, 27.1.2021 (3)

Massima (3) – La condotta dell’interessata non rileva ai fini della valutazione dell’illiceità del trattamento in relazione alla violazione dei dati personali, là dove la violazione sia comunque imputabile all’inadeguatezza delle misure tecniche e organizzative implementate, a prescindere dalla supposta incidenza causale della condotta dell’interessato medesimo sugli eventi. Né rileva, ai fini della valutazione dell’illecito, la circostanza che il terzo, a cui siano stati comunicati illecitamente i dati relativi alla salute dell’interessata (causa del ricovero ospedaliero), sia un prossimo congiunto che li abbia comunque appresi in altro modo.
GPDP, Docweb 9544505, 27.1.2021 (2)

Massima (2) – Nell’ambito della gestione dei dati personali dei pazienti, con particolare attenzione a quelli particolari, la cui indebita comunicazione o diffusione sarebbe in grado di incidere significativamente sui diritti e le libertà degli interessati, l’Azienda sanitaria è tenuta a mettere in atto misure tecniche ed organizzative adeguate a garantire un livello di sicurezza adeguato al rischio. In questo senso, la mera specificazione, nel documento di attribuzione del ruolo di incaricato del trattamento, prima, e autorizzato del trattamento, poi, conferito all’infermiera di una struttura sanitaria, si è da ritenersi insufficiente a garantire l’effettività dei principi inerenti al trattamento dei dati personali, in particolare di correttezza e trasparenza, se non corroborata da ulteriori adeguate misure tecniche e/o organizzative – richieste dall’art. 5, par. 1, lett. f) e dall’art. 32 GDPR – che tengano nella dovuta considerazione il particolare contesto ospedaliero in cui siffatti trattamenti di dati personali, anche estremamente delicati, hanno luogo (la circostanza che un’infermiera di un reparto di ginecologia si trovi a doversi destreggiare contemporaneamente tra due o più pazienti non rappresenta infatti un evento imprevedibile, tale da giustificare la comunicazione dei dati dell’interessata, relativi all’interruzione volontaria della gravidanza, al di lei marito, in presenza di un diniego espresso dalla paziente).
GPDP, Docweb 9544504, 27.1.2021 (1)

Massima (1) – La disciplina in materia di protezione dei dati personali (considerando n. 35 e art. 9 GDPR, nonché art. 83 d.lgs. 196/2003, in combinato disposto con l’art. 22, co. 11, d.lgs. 101/ 2018) prevede, in ambito sanitario, che le informazioni sullo stato di salute possano essere riferite solo all’interessato e possano essere comunicate a terzi solo sulla base di un idoneo presupposto giuridico o su specifica indicazione dell’interessato stesso, previa delega scritta di quest’ultimo.