Soggetti Privacy
-
GPDP, Docweb 9752177, 24.2.2022 (1)
Massima (1) – La circostanza che un soggetto terzo chieda a un titolare di effettuare operazioni di trattamento su dati personali di cui quest’ultimo è titolare, indicandone anche la modalità di trattamento, non comporta l’automatica attribuzione della titolarità in capo al richiedente, né tantomeno la perdita della titolarità da parte del soggetto che legittimamente detiene i dati. Spetta a quest’ultimo valutare la legittimità della richiesta e in particolare l’esistenza di un’idonea base giuridica per effettuare le operazioni di trattamento richieste, in ragione dei principi di responsabilizzazione e di privacy by design.
-
Sviluppo di metodologie predittive e trattamento di dati da parte di Regioni e Province autonome nell’ambito dell’attività di collaborazione istituzionale con il Ministero della Salute
GPDP, Docweb nn. 9752177, 9752221, 9752260, 9752410, 9752299, 9752433, 9752490 e 9752524 del 24 febbraio 2022 | Massime e Commento di Cristina Moser
-
GPDP, Docweb 9544504, 27.1.2021 (3)
Massima (3) – La condotta dell’interessata non rileva ai fini della valutazione dell’illiceità del trattamento in relazione alla violazione dei dati personali, là dove la violazione sia comunque imputabile all’inadeguatezza delle misure tecniche e organizzative implementate, a prescindere dalla supposta incidenza causale della condotta dell’interessato medesimo sugli eventi. Né rileva, ai fini della valutazione dell’illecito, la circostanza che il terzo, a cui siano stati comunicati illecitamente i dati relativi alla salute dell’interessata (causa del ricovero ospedaliero), sia un prossimo congiunto che li abbia comunque appresi in altro modo.
-
GPDP, Docweb 9544505, 27.1.2021 (2)
Massima (2) – Nell’ambito della gestione dei dati personali dei pazienti, con particolare attenzione a quelli particolari, la cui indebita comunicazione o diffusione sarebbe in grado di incidere significativamente sui diritti e le libertà degli interessati, l’Azienda sanitaria è tenuta a mettere in atto misure tecniche ed organizzative adeguate a garantire un livello di sicurezza adeguato al rischio. In questo senso, la mera specificazione, nel documento di attribuzione del ruolo di incaricato del trattamento, prima, e autorizzato del trattamento, poi, conferito all’infermiera di una struttura sanitaria, si è da ritenersi insufficiente a garantire l’effettività dei principi inerenti al trattamento dei dati personali, in particolare di correttezza e trasparenza, se non corroborata da ulteriori adeguate misure tecniche e/o organizzative – richieste dall’art. 5, par. 1, lett. f) e dall’art. 32 GDPR – che tengano nella dovuta considerazione il particolare contesto ospedaliero in cui siffatti trattamenti di dati personali, anche estremamente delicati, hanno luogo (la circostanza che un’infermiera di un reparto di ginecologia si trovi a doversi destreggiare contemporaneamente tra due o più pazienti non rappresenta infatti un evento imprevedibile, tale da giustificare la comunicazione dei dati dell’interessata, relativi all’interruzione volontaria della gravidanza, al di lei marito, in presenza di un diniego espresso dalla paziente).
-
Limiti dell’accesso civico ai dati personali delle persone decedute e ambito di applicazione del GDPR a tale categoria di dato personale
GPDP, Docweb n. 9084520 del 10 gennaio 2019 | Massime e Commento di Giovanni Di Ciollo
-
GPDP, Docweb 9084520, 10.1.2019 (1)
Massima (1) – Il riconoscimento, effettuato dal Codice, della possibilità di esercitare i diritti di cui agli artt.15-22 GDPR, riferiti a dati personali di persone decedute, da parte dei soggetti elencati nell’art. 2-terdecies, co. 1, d.lgs. 30 giugno 2003, n. 196, implica un’estensione dell’ambito di applicazione del GDPR ai trattamenti aventi ad oggetto dati personali concernenti le persone decedute.
-
GPDP, Docweb 9084520, 10.1.2019 (2)
Massima (2) – L’esercizio dell’accesso civico incontra tra i suoi limiti sostanziali, ai sensi dell’art. 5-bis, co. 2, lett. a), d.lgs. 14 marzo 2013, n. 33, il rispetto della normativa posta a tutela dei dati personali, ai sensi della quale non possono essere oggetto del diritto accesso civico i dati alla salute, pena la violazione del disposto dell’art. 2-septies, co. 8, d.lgs. 30 giugno 2003, n. 196.
