Privacy by design e by default

Docweb 9773590, 7.4.2022 (2)

Massima (2) – Seppur in presenza di una condizione di liceità del trattamento di dati personali, il titolare è tenuto a rispettare i principi in materia di data protection, fra i quali quelli di liceità, correttezza e trasparenza e limitazione della conservazione, di privacy by default e privacy by design, ed il principio di responsabilizzazione. Pertanto, qualora un Comune intenda adottare “videotrappole” per il contrasto al fenomeno illecito dei rifiuti urbani, viola gli art. 5, par. 2, e art. 24, par. 1 e 2, GDPR qualora non abbia adottato alcun atto organizzativo in relazione all’impiego dei predetti dispositivi video e non abbia assunto alcuna determinazione in materia di protezione dei dati personali prima di iniziare il trattamento dei dati personali in questione, volta ad adottare misure tecniche e organizzative adeguate per attuare in modo efficace i principi di base in materia di protezione dei dati.
Sulla (il)liceità dei trattamenti di dati personali posti in essere dai Comuni mediante “videotrappole” per il contrasto all’illecito abbandono dei rifiuti

GPDP, Docweb n. 9773950 del 7 aprile 2022 | Massime e Commento di Alice Incerti
GPDP, Docweb 9768363, 11.5.2022 (4)

Massima (4) – La registrazione e la conservazione, nei log degli apparati firewall, delle informazioni relative alle connessioni all’applicativo utilizzato per la segnalazione di condotte illecite (whistleblowing), che consentono la tracciabilità dei soggetti che utilizzano tale applicativo, tra i quali i segnalanti, non risulta conforme alla disciplina in materia di protezione dei dati personali, con particolare riferimento agli artt. 5, par. 1, lett. f) e 32 del GDPR, in materia di sicurezza e all’art. 25 GDPR, in tema di privacy by design e by default, in quanto le predette informazioni, direttamente identificative degli utenti dell’applicativo, finiscono per rendere del tutto inefficaci le altre misure adottate per tutelare la riservatezza dell’identità dei segnalanti.
La tutela dell’identità del segnalante nel quadro della disciplina dettata in materia di segnalazioni di condotte illecite (“whistleblowing”)

GPDP, Docweb n. 9768363 dell’11 maggio 2022 | Massime e Commento di Luca Petrone
GPDP, Decweb 9698724, 22.7.2021 (2)

Massima (2) – Pur in presenza di un presupposto giuridico, ad ogni modo, il titolare del trattamento è comunque tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quelli di «liceità, correttezza e trasparenza», «limitazione della conservazione» e «integrità e riservatezza» in base ai quali i dati sono «trattati in modo lecito, corretto e trasparente nei confronti dell'interessato», «conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati» e «trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati» [art. 5, par. 1, lett. a), e) e f), GDPR]. Ove un ente locale tratti dati personali degli utenti con parchimetri modernizzati, che richiedano il necessario inserimento del numero di targa al fine di rendere non necessario l’esposizione del tagliando da parte degli interessati, occorre rendere loro un’adeguata e completa informativa (ai sensi dell’art. 13 GPR), definire i tempi di conservazione dei dati personali raccolti e dare in tal senso precise istruzioni alla società designata responsabile del trattamento. Ove non siano state adottate «misure adeguate a garantire che siano trattati solo i dati necessari, con particolare riferimento alla definizione dei tempi di conservazione dei dati personali», va considerato violato il principio di «limitazione della conservazione» e quello di «protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita» di cui agli artt. 5, par. 1, lett. e) e 25 GDPR.
La Data Protection fra le strade cittadine: le violazioni del GDPR relative alla “modernizzazione” dei parcometri per la gestione della sosta a pagamento

GPDP, Docweb n. 9698724 del 22 luglio 2021 | Massime e Commento di Martina Voci
GPDP, Docweb 9752221, 24.2.2022 (1)

Massima (1) – La circostanza che un soggetto terzo chieda a un titolare di effettuare operazioni di trattamento su dati personali di cui quest’ultimo è titolare, indicandone anche la modalità di trattamento, non comporta l’automatica attribuzione della titolarità in capo al richiedente, né tantomeno la perdita della titolarità da parte del soggetto che legittimamente detiene i dati. Spetta a quest’ultimo valutare la legittimità della richiesta e in particolare l’esistenza di un’idonea base giuridica per effettuare le operazioni di trattamento richieste, in ragione dei principi di responsabilizzazione e di privacy by design.
GPDP, Docweb 9752177, 24.2.2022 (1)

Massima (1) – La circostanza che un soggetto terzo chieda a un titolare di effettuare operazioni di trattamento su dati personali di cui quest’ultimo è titolare, indicandone anche la modalità di trattamento, non comporta l’automatica attribuzione della titolarità in capo al richiedente, né tantomeno la perdita della titolarità da parte del soggetto che legittimamente detiene i dati. Spetta a quest’ultimo valutare la legittimità della richiesta e in particolare l’esistenza di un’idonea base giuridica per effettuare le operazioni di trattamento richieste, in ragione dei principi di responsabilizzazione e di privacy by design.
GPDP, Docweb 9555987, 25.2.2021 (1)

Massima (1) – Il trattamento di dati personali effettuato da parte del Ministero della salute nell’ambito del Sistema di allerta Covid-19 mediante l’App “Immuni” presenta una valutazione d’impatto, modificata secondo le indicazioni del Garante, contenente la previsione di misure adeguate a garantire il rispetto dei diritti e delle libertà degli interessati, che attenuano i rischi che potrebbero derivare dal trattamento, e un nuovo meccanismo per consentire in autonomia, a un soggetto risultato positivo, di caricare le TEK (Temporary Exposure Key) nel backend di Immuni e dunque di interagire direttamente con il sistema di allerta Covid-19 per comunicare l’esito positivo del referto, consentendo una maggior efficienza complessiva del sistema medesimo.
Autorizzazione al trattamento dei dati personali effettuato attraverso l’App Immuni (sistema di allerta Covid-19) da parte del Ministero della Salute

GPDP, Docweb n. 9555987 del 25 febbraio 2021 | Massime e Commento di Elena Guerri