Massime

• GPDP, Docweb 9084520, 10.1.2019 (2)

  Massima (2) – L’esercizio dell’accesso civico incontra tra i suoi limiti sostanziali, ai sensi dell’art. 5-bis, co. 2, lett. a), d.lgs. 14 marzo 2013, n. 33, il rispetto della normativa posta a tutela dei dati personali, ai sensi della quale non possono essere oggetto del diritto accesso civico i dati alla salute, pena la violazione del disposto dell’art. 2-septies, co. 8, d.lgs. 30 giugno 2003, n. 196.

• GPDP, Docweb 9670061, 16.6.2021 (2)

  Massima (2) - In caso di trasferimento di dati personali verso Paesi terzi, la sottoscrizione di Standard Contractual Clauses non esime l’esportatore dall’adottare comunque misure supplementari, nel caso in cui la legge del Paese terzo impedisca all’importatore di rispettare le garanzie contenute nelle clausole stesse. In ogni caso è necessario valutare l’adeguatezza del livello di protezione delle persone fisiche, che deve essere assicurato ai sensi degli artt. 44 ss. GDPR, anche sulla base della nuova versione delle “Raccomandazioni 01/2020 relative alle misure che integrano gli strumenti di trasferimento al fine di garantire il rispetto del livello di protezione dei dati personali dell’UE”.

• GPDP, Docweb 9670061, 16.6.2021 (1)

  Massima (1) – L’utilizzo di notifiche push a contenuto generico, per informare gli utenti della ricezione di un messaggio all’interno di un’App (nel caso di specie, dell’AppIO) può ritenersi una misura adeguata, ove accompagnata da modalità di attivazione dei servizi con il meccanismo di opt-in, per consentire agli utenti anche di scegliere quelli da cui ricevere le predette notifiche.

• GPDP, Docweb 9592298, 3.6.2021 (1) 

  Massima (1) La legittimazione al trattamento dei dati ai sensi del par. 2 dell’art. 6 del GDPR, in relazione a quanto prescritto al par. 1, lett. c) e d) del medesimo articolo, deve derivare da una previsione normativa che ne circoscriva, in maniera sufficientemente determinata, l’estensione dal punto di vista soggettivo ed oggettivo e che introduca garanzie adeguate all’impatto del trattamento sui diritti e le libertà dei cittadini in relazione alla natura dei dati trattati.

• GPDP, Docweb 9578184, 23.4.2021 (1)

  Massima (1) - Il d.l. n. 52/2021, introduttivo della c.d. certificazione verde, quale misura atta a contrastare la diffusione del virus SARS-CoV-2, non costituisce idonea e lecita base giuridica del trattamento dei dati personali in essa contenuti, in primis poiché risulta del tutto privo di un’indicazione esplicita e tassativa delle specifiche finalità perseguite dal legislatore ed in secundis poiché si palesa del tutto lesivo di diversi fra i principi guida in materia di data protection, quali la minimizzazione dei dati, l’esattezza, la limitazione della conservazione, l’integrità e la riservatezza.

• GPDP, Docweb 9542071, 14.1.2021 (1)  

  Massima (1) – Le Pubbliche Amministrazioni non sono legittimate al trattamento dei dati biometrici dei dipendenti per finalità di rilevazione delle presenze, non sussistendo, allo stato, alcuna base giuridica idonea a soddisfare i requisiti di legge.

• GPDP, Docweb 9543119, 14.1.2021 (2) 

  Massima (2): Deve considerarsi in violazione del principio di proporzionalità, del principio di limitazione delle finalità e del principio di minimizzazione dei dati e, pertanto, non ammissibile, il trattamento di dati personali consistente nell’acquisizione dell’elenco nominativo degli iscritti alle organizzazioni e associazioni legittimate a proporre una “azione di classe” da cui estrarre un campione per il quale richiedere copia delle contabili dei versamenti delle quote associative o delle conferme di adesione, finalizzato ad esercitare un controllo amministrativo per la verifica dei requisiti posseduti dalle medesime organizzazioni e associazioni per l’iscrizione all’elenco degli enti legittimati a proporre una “azione di classe”. Il controllo amministrativo su tali dati personali, aventi natura particolare ex art. 9 GDPR, potrebbe compromettere la libertà di associazione garantita dall’art. 18 Cost., dissuadendo le persone interessate dalla partecipazione a forme di aggregazione sociale ove poter sviluppare la propria personalità (art. 3, comma 2, Cost.) per il timore di possibili conseguenze di carattere discriminatorio o di esclusione sociale che potrebbero derivare dalla comunicazione a soggetti terzi, per finalità di controllo, della propria scelta associativa in un ambito, peraltro, settoriale, qual è quello dell’esercizio della azione di classe. 

• GPDP, Docweb 9543119, 14.1.2021 (1) 

  Massima (1): Il titolare del trattamento dei dati personali relativo all’istituzione dell’elenco pubblico delle organizzazioni e associazioni legittimate a proporre una “azione di classe” va individuato nel Ministero della Giustizia, presso cui è istituito il predetto elenco, e non nella persona del Direttore generale della competente Direzione, sotto la cui responsabilità gestionale viene tenuto l’elenco medesimo. Ciò non toglie che il Ministero, in qualità di titolare, possa prevedere, sotto la propria responsabilità e nell’ambito del proprio assetto organizzativo, che specifici compiti e funzioni connessi al trattamento di dati personali siano attribuiti a persone fisiche, espressamente designate, che operano sotto la sua autorità (cfr. art. 2 quaterdecies del Codice).

• GPDP, Docweb 9169688, 21.10.2019 (2)

  Massima (2) – La base giuridica legittimante il trasferimento dei dati, diversi da quelli di cui agli artt. 9 e 10 del GDPR, dall’ente o soggetto aggiudicante alla compagnia aggiudicataria può essere rinvenuta nell’art. 6, par. 1, lett. b), del GDPR (trattamento necessario per l’esecuzione di un contratto di cui l’interessato è parte). Ipotesi, questa, che rende evidente come un eventuale trattamento effettuato a fini diversi da quelli assicurativi (es. marketing) sia precluso al soggetto aggiudicatario, che diversamente incorrerebbe anche in una violazione degli obblighi contrattuali, oltre che nella violazione della disciplina in materia di protezione dei dati personali.

• GPDP, Docweb 9169688, 21.10.2019 (1)

  Massima (1) – Nell’ambito dei bandi di gara aventi ad oggetto la fornitura di servizi assicurativi e nella formalizzazione del successivo rapporto da instaurarsi tra ente aggiudicante e impresa assicuratrice, quest’ultima non va inquadrata nel ruolo di responsabile del trattamento ex art. 28 GDPR, né in quello di contitolare del trattamento, ma quale autonomo titolare del trattamento,in quanto non pone in essere un trattamento di dati “per conto” dell’ente aggiudicante, circostanza questa che, peraltro, priverebbe la società medesima dell’autonomia necessaria ad una corretta valutazione e liquidazione del danno.