Tag: trasparenza

  • GPDP, Docweb 9698724, 22.7.2021 (4)

    Massima (4) – Il rapporto tra titolare e responsabile deve essere regolato da un contratto o da altro atto giuridico, stipulato per iscritto che, oltre a vincolare reciprocamente le due figure, consente al titolare di impartire istruzioni al responsabile e prevede, in dettaglio, quale sia la materia disciplinata, la durata, la natura e le finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare. Il Responsabile del trattamento è, pertanto, legittimato a trattare i dati degli interessati «soltanto su istruzione documentata del titolare» [art. 28, par. 3, lett. a), GDPR].

  • GPDP, Docweb 9698724, 22.7.2021 (3)

    Massima (3) – Ai fini del rispetto della normativa in materia di protezione dei dati personali, occorre identificare con precisione i soggetti che, a diverso titolo, possono trattare i dati personali e definire chiaramente le rispettive attribuzioni, in particolare quella di titolare e di responsabile del trattamento e dei soggetti che operano sotto la diretta responsabilità di questi (art. 4, par. 1, n. 7, GDPR). Sul titolare ricadono le decisioni circa le finalità e le modalità del trattamento dei dati personali degli interessati nonché una «responsabilità generale» sui trattamenti posti in essere (v. art. 5, par. 2 c.d. «accountability» e 24 GDPR), anche quando questi siano effettuati da altri soggetti “per suo conto” (cons. 81, artt. 4, n. 8) e 28 GDPR).

  • GPDP, Decweb 9698724, 22.7.2021 (2)

    Massima (2) – Pur in presenza di un presupposto giuridico, ad ogni modo, il titolare del trattamento è comunque tenuto a rispettare i principi in materia di protezione dei dati, fra i quali quelli di «liceità, correttezza e trasparenza», «limitazione della conservazione» e «integrità e riservatezza» in base ai quali i dati sono «trattati in modo lecito, corretto e trasparente nei confronti dell'interessato», «conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati» e  «trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati» [art. 5, par. 1, lett. a), e) e f), GDPR]. Ove un ente locale tratti dati personali degli utenti con parchimetri modernizzati, che richiedano il necessario inserimento del numero di targa al fine di rendere non necessario l’esposizione del tagliando da parte degli interessati, occorre rendere loro un’adeguata e completa informativa (ai sensi dell’art. 13 GPR), definire i tempi di conservazione dei dati personali raccolti e dare in tal senso precise istruzioni alla società designata responsabile del trattamento. Ove non siano state adottate «misure adeguate a garantire che siano trattati solo i dati necessari, con particolare riferimento alla definizione dei tempi di conservazione dei dati personali», va considerato violato il principio di «limitazione della conservazione» e quello di «protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita» di cui agli artt. 5, par. 1, lett. e) e 25 GDPR. 

  • GPDP, Docweb 9698724, 22.7.2021 (1)

    Massima (1) – In base alla disciplina in materia di protezione dei dati personali i soggetti pubblici possono trattare i dati solo se necessario «per adempiere un obbligo legale al quale è soggetto il titolare del trattamento» oppure «per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento» [art. 6, par. 1, lett. c) ed e), GDPR]. In tale quadro, la regolazione delle soste e dei parcheggi a pagamento rientra tra le attività istituzionali affidate agli enti locali.

  • La Data Protection fra le strade cittadine: le violazioni del GDPR relative alla “modernizzazione” dei parcometri per la gestione della sosta a pagamento

    GPDP, Docweb n. 9698724 del 22 luglio 2021 | Massime e Commento di Martina Voci

  • GPDP, Docweb 9727220, 13.12.2021 (3)

    Massima (3) – Le diverse verifiche – quella relativa all’obbligo vaccinale e quella relativa al possesso della certificazione verde (green pass) – devono, nel rispetto sia dei principi di protezione dei dati che del quadro normativo di settore, essere effettuate con una diversa cadenza. Diversamente dalle verifiche relative al possesso di una valida certificazione verde, non può ritenersi giustificata l’esecuzione di verifiche relative all’assolvimento dell’obbligo vaccinale con cadenza ravvicinata (quotidiana o, comunque, frequente), assicurando in ogni caso il trattamento di dati esatti e aggiornati, ai sensi dell’art. 5, par. 1, lett. d), GDPR.

  • GPDP, Docweb 9727220, 13.12.2021 (2)

    Massima (2) – I trattamenti effettuati per la verifica dell’obbligo vaccinale, nei casi previsti dalla legge, devono essere tenuti separati da quelli effettuati per la verifica quotidiana del possesso della certificazione verde Covid-19 per l’accesso alle sedi di lavoro, nel rispetto delle condizioni e dei limiti previsti da norme distinte che, in modo diverso, concorrono al contenimento dell’epidemia da Covid-19 e allo svolgimento in sicurezza delle attività lavorative, economiche e sociali.

  • GPDP, Docweb 9727220, 13.12.2021 (1)

    Massima (1) – I trattamenti di dati personali finalizzati alla verifica del rispetto dell’obbligo vaccinale e del possesso della c.d. certificazione verde per l’accesso ai luoghi di lavoro devono necessariamente svolgersi in maniera distinta al fine di assicurare un trattamento lecito, corretto e trasparente, limitato alle finalità determinate, esplicite e legittime, ex art. 5 GDPR.

  • Trattamento di dati personali finalizzati alla verifica del rispetto dell’obbligo vaccinale e del possesso della certificazione verde (green pass)

    GPDP, Docweb n. 9727220 del 13 dicembre 2021 | Massime e Commento di Alice Incerti

  • GPDP, Docweb 9578184, 23.4.2021 (1)

    Massima (1) - Il d.l. n. 52/2021, introduttivo della c.d. certificazione verde, quale misura atta a contrastare la diffusione del virus SARS-CoV-2, non costituisce idonea e lecita base giuridica del trattamento dei dati personali in essa contenuti, in primis poiché risulta del tutto privo di un’indicazione esplicita e tassativa delle specifiche finalità perseguite dal legislatore ed in secundis poiché si palesa del tutto lesivo di diversi fra i principi guida in materia di data protection, quali la minimizzazione dei dati, l’esattezza, la limitazione della conservazione, l’integrità e la riservatezza.

Open Access