Il parere dell’Autorità Garante per la protezione dei dati personali italiana sull’accesso civico: no all’accesso civico generalizzato su pratiche SCIA e CILA

Non è possibile accedere ai dati personali completi contenuti nei titoli abilitativi edilizi (SCIA e CILA) sulla base di una mera richiesta di accesso civico generalizzato. Lo ribadisce il Garante per la protezione dei dati personali nel parere fornito a un Comune dell’Emilia-Romagna in merito alla decisione di respingere parzialmente una richiesta di accesso civico alle Segnalazioni Certificate di Inizio Attività (SCIA) e alle Comunicazioni Inizio Attività Asseverata (CILA), presentata da una impresa privata.

La richiesta di copia completa delle pratiche edilizie era stata presentata una prima volta al Comune, che aveva però risposto fornendo solamente una sintesi con dati aggregati, depurati di quelli personali, al fine di non arrecare un possibile pregiudizio alla privacy delle persone interessate. L’impresa, supportata dal Difensore civico regionale dell’Emilia-Romagna, aveva contestato la decisione e chiesto il riesame della pratica. Il Garante privacy aveva invece sostenuto la correttezza della scelta dell’amministrazione cittadina. L’impresa aveva poi ripresentato la domanda, ma il Garante è nuovamente intervenuto sulla vicenda, anche al fine di evitare pericolosi precedenti che incoraggino possibili trattamenti illeciti di dati personali.

Nel proprio parere, l’Autorità ha innanzitutto chiarito che, diversamente da quanto indicato per altre pratiche edilizie, come i permessi a costruire, la normativa non prevede lo stesso regime di conoscibilità per la CILA e la SCIA, come per quelle utilizzate nel caso di opere di manutenzione straordinaria, di restauro o di risanamento conservativo.

Il Garante ha quindi sottolineato che la generale conoscenza delle informazioni riportate nelle SCIA e nelle CILA, considerando la quantità e qualità dei dati personali contenuti – come data e luogo di nascita, codici fiscali, residenza, e-mail, pec, numeri di telefono fisso e cellulare, documentazione tecnica sugli interventi – avrebbe potuto determinare un’interferenza ingiustificata e sproporzionata nei diritti e libertà dei soggetti controinteressati. Tutto ciò, in violazione anche del principio di minimizzazione previsto dal Regolamento europeo sulla privacy (Gdpr), con possibili ripercussioni negative sul piano relazionale, professionale, personale e sociale.

Nel corso dell’istruttoria, il Garante ha inoltre rilevato che l’impresa richiedente – che ha tra le sue attività quella di conduzione di campagne di marketing e web marketing, nonché la fornitura di servizi di gestione dei programmi di fidelizzazione e affiliazione commerciale – aveva presentato la stessa domanda in maniera sistematica, per più periodi, a diversi enti locali. L’accoglimento della richiesta di accesso civico avrebbe tra l’altro potuto esporre al pericolo di duplicazione di banche dati di soggetti pubblici da parte di soggetti privati, in assenza del consenso dei soggetti interessati o degli altri presupposti di liceità del trattamento.

L’Autorità, ha così confermato, anche alla luce della normativa e delle stesse linee guida Anac, la correttezza dell’operato del Comune, nel valutare l’esistenza di un possibile pregiudizio concreto alla protezione dei dati delle persone interessate – ad esempio i proprietari, gli usufruttuari e tecnici incaricati – e fornendo di conseguenza solo una sintesi delle pratiche richieste. Ha comunque rimarcato che tale decisione sull’ “accesso civico generalizzato” non impedisce di accedere ai documenti amministrativi completi a chi dimostri di avere un interesse qualificato.

fonte: www.garanteprivacy.it

Strutture sanitarie: rispetto della dignità – 9 novembre 2005

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, del dott. Mauro Paissan e del dott. Giuseppe Fortunato, componenti e del dott. Giovanni Buttarelli, segretario generale;

Vista la normativa internazionale e comunitaria in materia di protezione dei dati personali (direttiva n. 95/46/CE), anche in relazione agli articoli 2, 10, 11 e 32 della Costituzione;

Visto il Codice in materia di protezione dei dati personali (d.lg. 30 giugno 2003, n. 196);

Vista la documentazione in atti;

Viste le osservazioni dell´Ufficio formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il prof. Francesco Pizzetti;

CONSIDERATO:

1. Premessa
Sono pervenuti a questa Autorità reclami e segnalazioni con i quali si rappresenta che alcune strutture sanitarie, nell´erogare prestazioni e servizi per finalità di prevenzione, diagnosi, cura e riabilitazione, non rispetterebbero le garanzie previste dalla legge a tutela, in particolare, della dignità e della riservatezza delle persone interessate.

In materia di trattamento dei dati personali in ambito sanitario, il Codice prevede che gli organismi sanitari pubblici e privati adottino misure ed accorgimenti di carattere supplementare rispetto a quelle già previste per il trattamento dei dati sensibili e per il rispetto delle misure di sicurezza. In particolare, l´art. 83 individua alcune specifiche prescrizioni che devono tradursi anche in adeguate misure organizzative, ferma restando la necessità di adottare comunque tutti gli ulteriori accorgimenti che si rendessero opportuni per garantire il più ampio rispetto dei diritti e delle libertà fondamentali e della dignità degli interessati, nonché del segreto professionale.

Con il presente provvedimento, il Garante intende richiamare l´attenzione dei soggetti che operano in ambito sanitario in ordine alla necessità di adeguare il funzionamento e l´organizzazione delle strutture sanitarie alle previsioni stabilite dal Codice in materia di protezione di dati personali (art. 83). I medesimi soggetti sono altresì invitati ad adottare tutte le misure ritenute necessarie ed opportune, conformemente ai principi generali, per garantire il rispetto della dignità della persona e il massimo livello di tutela degli interessati in ambito sanitario.

2. Ambito di applicazione delle misure per il rispetto dei diritti degli interessati
Le misure organizzative in esame devono essere adottate per espresso obbligo di legge da tutti gli organismi sanitari, sia pubblici (es. aziende sanitarie territoriali, aziende ospedaliere), sia privati (es. case di cura).

Sono tenuti alla loro adozione anche i servizi e le strutture di soggetti pubblici operanti in ambito sanitario o aventi competenza in materia di prevenzione e sicurezza del lavoro (es. osservatori epidemiologici regionali, servizi di prevenzione e sicurezza sul lavoro).

I medici di medicina generale e i pediatri di libera scelta, nonché, deve ritenersi, anche i medici specialisti operanti in studi medici privati, non sono invece destinatari dell´obbligo di adottare dette misure, che riguardano l´organizzazione di strutture. I medesimi soggetti devono comunque ottemperare ai principi cui si ispirano le disposizioni in esame, predisponendo in ogni caso misure idonee a garantire il rispetto dei diritti e delle libertà fondamentali e della dignità degli interessati, nonché del segreto professionale, secondo modalità adeguate a garantire un rapporto personale e fiduciario con gli assistiti (art. 83, comma 2-bis, del Codice).

3. Garanzie per l´interessato
Gli organismi sanitari pubblici e privati, in qualità di titolari del trattamento dei dati personali, devono garantire, in particolare, il rispetto dei seguenti princìpi:

a) dignità dell´interessato (art. 83, comma 2, lett. e) del Codice)
La prestazione medica e ogni operazione di trattamento dei dati personali deve avvenire nel pieno rispetto della dignità dell´interessato (artt. 2 e 83 del Codice).

La tutela della dignità personale deve essere garantita nei confronti di tutti i soggetti cui viene erogata una prestazione sanitaria, con particolare riguardo a fasce deboli quali i disabili, fisici e psichici, i minori, gli anziani e i soggetti che versano in condizioni di disagio o bisogno.

Particolare riguardo deve essere prestato nel rispettare la dignità di pazienti sottoposti a trattamenti medici invasivi o nei cui confronti è comunque doverosa una particolare attenzione anche per effetto di specifici obblighi di legge o di regolamento o della normativa comunitaria (ad es., in riferimento a sieropositivi o affetti da infezione da Hiv –l. 5 giugno 1990, n. 135-, all´interruzione di gravidanza –l. 22 maggio 1978, n. 194- o a persone offese da atti di violenza sessuale -art. 734-bis del codice penale-).

Nei reparti di rianimazione dove si possono visitare i degenti solo attraverso vetrate o videoterminali devono essere adottati accorgimenti, anche provvisori (ad es., mediante paraventi), che delimitino la visibilità dell´interessato durante l´orario di visita ai soli familiari e conoscenti.

La necessità di rispettare la dignità è stata rappresentata a questa Autorità anche in relazione alle modalità di visita e di intervento sanitario effettuati nelle aziende ospedaliero-universitarie alla presenza di studenti autorizzati. Le strutture che intendono avvalersi di questa modalità devono indicare nell´informativa da fornire al paziente che (art. 13 del Codice), in occasione di alcune prestazioni sanitarie, si perseguono anche finalità didattiche, oltre che di cura e prevenzione (cfr. d.lg. n. 517/1999). Durante tali prestazioni devono essere adottate specifiche cautele volte a limitare l´eventuale disagio dei pazienti, anche in relazione al grado di invasività del trattamento circoscrivendo, ad esempio, il numero degli studenti presenti e rispettando eventuali legittime volontà contrarie.

b) riservatezza nei colloqui e nelle prestazioni sanitarie (art. 83, comma 2, lett. c) e d))
É doveroso adottare idonee cautele in relazione allo svolgimento di colloqui, specie con il personale sanitario (ad es. in occasione di prescrizioni o di certificazioni mediche), per evitare che in tali occasioni le informazioni sulla salute dell´interessato possano essere conosciute da terzi. Le medesime cautele vanno adottate nei casi di raccolta della documentazione di anamnesi, qualora avvenga in situazioni di promiscuità derivanti dai locali o dalle modalità utilizzate.

Il rispetto di questa garanzia non ostacola la possibilità di utilizzare determinate aree per più prestazioni contemporanee, quando tale modalità risponde all´esigenza terapeutica di diminuire l´impatto psicologico dell´intervento medico (ad es., alcuni trattamenti sanitari effettuati nei confronti di minori).

c) notizie su prestazioni di pronto soccorso (art. 83, comma 2, lett. f))
L´organismo sanitario può dare notizia, anche per via telefonica, circa una prestazione di pronto soccorso, ovvero darne conferma a seguito di richiesta anche per via telefonica.

La notizia o la conferma devono essere però fornite correttamente ai soli terzi legittimati, quali possono essere familiari, parenti o conviventi, valutate le diverse circostanze del caso.

Questo genere di informazioni riguarda solo la circostanza che è in atto o si è svolta una prestazione di pronto soccorso, e non attiene ad informazioni più dettagliate sullo stato di salute.

L´interessato -se cosciente e capace- deve essere preventivamente informato dall´organismo sanitario (ad es. in fase di accettazione), e posto in condizione di fornire indicazioni circa i soggetti che possono essere informati della prestazione di pronto soccorso. Occorre altresì rispettare eventuali sue indicazioni specifiche o contrarie.

Il personale incaricato deve accertare l´identità dei terzi legittimati a ricevere la predetta notizia o conferma, avvalendosi anche di elementi desunti dall´interessato.

d) dislocazione dei pazienti nei reparti (art. 83, comma 2, lett. g))
Il Codice incentiva le strutture sanitarie a prevedere, in conformità agli ordinamenti interni, le modalità per fornire informazioni ai terzi legittimati circa la dislocazione dei degenti nei reparti, allorché si debba ad esempio rispondere a richieste di familiari e parenti, conoscenti e personale del volontariato.

L´interessato cosciente e capace deve essere, anche in questo caso, informato e posto in condizione (ad es. all´atto del ricovero) di fornire indicazioni circa i soggetti che possono venire a conoscenza del ricovero e del reparto di degenza. Occorre altresì rispettare l´eventuale sua richiesta che la presenza nella struttura sanitaria non sia resa nota neanche ai terzi legittimati (cfr. Carta dei servizi pubblici sanitari, dPCM 19 maggio 1995).

Come per le prestazioni di pronto soccorso, questo genere di informazioni riguarda la sola presenza nel reparto e non anche informazioni sullo stato di salute.

Possono essere fornite informazioni sullo stato di salute a soggetti diversi dall´interessato quando sia stato manifestato un consenso specifico e distinto al riguardo, consenso che può essere anche manifestato da parte di un altro soggetto legittimato, in caso di impossibilità fisica, incapacità di agire o incapacità di intendere o di volere dell´interessato (art. 82).

e) distanza di cortesia (art. 83, comma 2, lett. b))
Le strutture sanitarie devono predisporre apposite distanze di cortesia in tutti i casi in cui si effettua il trattamento di dati sanitari (es. operazioni di sportello, acquisizione di informazioni sullo stato di salute), nel rispetto dei canoni di confidenzialità e della riservatezza dell´interessato.

Vanno in questa prospettiva prefigurate appropriate soluzioni, sensibilizzando gli utenti con idonei inviti, segnali o cartelli.

f) ordine di precedenza e di chiamata (art. 83, comma 2, lett. a))
All´interno dei locali di strutture sanitarie, nell´erogare prestazioni sanitarie o espletando adempimenti amministrativi che richiedono un periodo di attesa (ad es., in caso di analisi cliniche), devono essere adottate soluzioni che prevedano un ordine di precedenza e di chiamata degli interessati che prescinda dalla loro individuazione nominativa (ad es., attribuendo loro un codice numerico o alfanumerico fornito al momento della prenotazione o dell´accettazione). Ovviamente, tale misura non deve essere applicata durante i colloqui tra l´interessato e il personale medico o amministrativo.

Quando la prestazione medica può essere pregiudicata in termini di tempestività o efficacia dalla chiamata non nominativa dell´interessato (ad es. in funzione di particolari caratteristiche del paziente anche legate ad uno stato di disabilità), possono essere utilizzati altri accorgimenti adeguati ed equivalenti (ad es., con un contatto diretto con il paziente).

Non risulta giustificata l´affissione di liste di pazienti nei locali destinati all´attesa o comunque aperti al pubblico, con o senza la descrizione del tipo di patologia sofferta o di intervento effettuato o ancora da erogare (es. liste di degenti che devono subire un intervento operatorio). Non devono essere, parimenti, resi facilmente visibili da terzi non legittimati i documenti riepilogativi di condizioni cliniche dell´interessato (es. cartelle infermieristiche poste in prossimità del letto di degenza) (artt. 22, comma 8, e 26, comma 5, del Codice).

g) correlazione fra paziente e reparto o struttura (art. 83, comma 2, lett. h))
Gli organismi sanitari devono mettere in atto specifiche procedure, anche di formazione del personale, per prevenire che soggetti estranei possano evincere in modo esplicito l´esistenza di uno stato di salute del paziente attraverso la semplice correlazione tra la sua identità e l´indicazione della struttura o del reparto presso cui si è recato o è stato ricoverato.

Tali cautele devono essere orientate anche alle eventuali certificazioni richieste per fini amministrativi non correlati a quelli di cura (ad es., per giustificare un´assenza dal lavoro o l´impossibilità di presentarsi ad una procedura concorsuale).

Analoghe garanzie devono essere adottate da tutti i titolari del trattamento, ivi comprese le farmacie, affinché nella spedizione di prodotti non siano indicati, sulla parte esterna del plico postale, informazioni idonee a rivelare l´esistenza di uno stato di salute dell´interessato (ad es., indicazione della tipologia del contenuto del plico o del reparto dell´organismo sanitario mittente).

h) regole di condotta per gli incaricati (art. 83, comma 2, lett. i)).
Il titolare del trattamento deve designare quali incaricati o, eventualmente, responsabili del trattamento i soggetti che possono accedere ai dati personali trattati nell´erogazione delle prestazioni e dei servizi per svolgere le attività di prevenzione, diagnosi, cura e riabilitazione, nonché quelle amministrative correlate (artt. 30 e 29 del Codice).

Fermi restando, in quanto applicabili, gli obblighi in materia di segreto d´ufficio, deve essere previsto che, al pari del personale medico ed infermieristico, già tenuto al segreto professionale (art. 9 del codice di deontologia medica del 3 ottobre 1998; art. 4 del codice deontologico per gli infermieri del maggio del 1999), gli altri soggetti che non sono tenuti per legge al segreto professionale (ad es., personale tecnico e ausiliario) siano sottoposti a regole di condotta analoghe (cfr. anche art. 10 del codice di deontologia medica).

A tal fine, anche avvalendosi di iniziative di formazione del personale designato, occorre mettere in luce gli obblighi previsti dalla disciplina in materia di protezione dei dati personali con particolare riferimento all´adozione delle predette misure organizzative (artt. 30 e 35 del Codice e punto 19.6 del disciplinare tecnico allegato B) al Codice), evidenziando i rischi, soprattutto di accesso non autorizzato, che incombono sui dati idonei a rivelare lo stato di salute e le misure disponibili per prevenire effetti dannosi.

4. Comunicazione di dati all´interessato
Gli esercenti le professioni sanitarie e gli organismi sanitari possono comunicare all´interessato informazioni sul suo stato di salute solo per il tramite di un medico (individuato dallo stesso interessato, oppure dal titolare del trattamento) o di un altro esercente le professioni sanitarie che, nello svolgimento dei propri compiti, intrattenga rapporti diretti con il paziente (ad es., un infermiere designato quale incaricato del trattamento ed autorizzato per iscritto dal titolare).

La necessità di rispettare queste modalità andrebbe menzionata nelle istruzioni impartite agli incaricati del trattamento (art. 84, comma 2, del Codice). Nel caso in cui l´interessato riceva una comunicazione dalla struttura sanitaria che documenti gli esiti di esami clinici effettuati, l´intermediazione può essere soddisfatta accompagnando un giudizio scritto con la disponibilità del medico a fornire ulteriori indicazioni a richiesta.

Il personale designato deve essere istruito debitamente anche in ordine alle modalità di consegna a terzi dei documenti contenenti dati idonei a rivelare lo stato di salute dell´interessato (es. referti diagnostici). In riferimento alle numerose segnalazioni pervenute, va rilevato che le certificazioni rilasciate dai laboratori di analisi o dagli altri organismi sanitari possono essere ritirate anche da persone diverse dai diretti interessati, purché sulla base di una delega scritta e mediante la consegna delle stesse in busta chiusa.

5. Altri adempimenti da rispettare
I titolari del trattamento in ambito sanitario devono infine rispettare gli obblighi che attengono:

a) alla notificazione al Garante, dovuta nei soli casi di cui all´art. 37 del Codice (cfr. anche provvedimento del Garante n. 1/2004 del 31 marzo 2004 recante i casi da sottrarre all´obbligo di notificazione, pubblicato sulla G. U. n. 81 del 6 aprile 2004 e disponibile sul sito dell´Autorità www.garanteprivacy.it (doc. web n. 852561));

b) alla predisposizione dell´informativa da fornire agli interessati (art. 13 del Codice);

c) all´acquisizione del consenso per i trattamenti di dati personali connessi all´erogazione delle prestazioni e dei servizi per svolgere attività di prevenzione, diagnosi, cura e riabilitazione (artt. 22, 26 e 76 del Codice);

d) per gli organismi sanitari pubblici, al rispetto delle disposizioni contenute nel regolamento per il trattamento dei dati sensibili per finalità amministrative correlate a quelle di prevenzione, diagnosi, cura e riabilitazione adottato ai sensi dell´art. 20 del Codice (cfr. Provv. del 30 giugno 2005);

e) al rispetto delle autorizzazioni generali rilasciate dal Garante ed, in particolare, dell´autorizzazione generale al trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale (artt. 26 e 76 del Codice);

f) alle misure di sicurezza (artt. 31-36 del Codice e allegato B) al Codice).

TUTTO CIÒ PREMESSO, IL GARANTE:

1. prescrive a tutti i titolari del trattamento di dati personali interessati in ambito sanitario, ai sensi dell´art. 154, comma 1, lett. c), del Codice di adottare, ove già non attuate, le misure necessarie od opportune al fine di rendere il trattamento dei medesimi dati conforme alle disposizioni vigenti, sulla base dei principi richiamati nel presente provvedimento e dei primi chiarimenti con esso forniti;
2. prescrive ai medesimi titolari, ai sensi dell´art. 154, comma 1, lett. c), del Codice di adottare comunque tutte le ulteriori misure per garantire, in materia di trattamento dei dati personali nell´ambito sanitario, il massimo rispetto del principio di dignità;
3. avvia una consultazione allo scopo di acquisire elementi di informazione e documentazione da parte di organismi sanitari, nonché di soggetti, portatori di interessi pubblici e privati e portatori di interessi diffusi, costituiti in associazioni e comitati, in ordine alle modalità di attuazione adottate ed alle problematiche riscontrate.

Roma, 9 novembre 2005

Il Presidente
Pizzetti

Il Relatore
Pizzetti

Il Segretario generale
Buttarelli

di seguito l’articolo: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/1191411

Una piccola soddisfazione deriva dall’odierna pubblicazione di un chiarimento dell’Autorità Garante Privacy italiana, che rispondendo ad un quesito ha dichiarato senza ombra di dubbio che i consulenti del lavoro devono essere considerati responsabili del trattamento ex art. 28 del GDPR. Questa posizione è sempre stata sostenuta dallo Studio Paci, anche a fronte delle diverse indicazioni delle associazioni nazionali.

Precisazioni del Garante privacy dopo il nuovo Regolamento UE 

Il Garante per la privacy ha precisato il ruolo e le responsabilità dei consulenti del lavoro nel trattamento dei dati personali della clientela alla luce del nuovo Regolamento europeo, identificandoli come “responsabili del trattamento” quando trattano  i dati dei dipendenti dei clienti in base all’incarico da questi ricevuto.

Rispondendo ai quesiti sottoposti dal Consiglio Nazionale dei consulenti del lavoro e da numerosi professionisti, il Garante ha infatti chiarito che il Regolamento (UE) 679/2016 si pone in linea di continuità con quanto già prefigurato dalla Direttiva 95/46/CE. Il Regolamento conferma, infatti, le definizioni di titolare e responsabile del trattamento, nelle quali il primo resta il soggetto che “determina le finalità e i mezzi del trattamento di dati personali” e il secondo colui che “tratta dati personali per conto del titolare del trattamento”.

E dunque i consulenti del lavoro sono “titolari” quando trattano, in piena autonomia e indipendenza, i dati dei propri dipendenti oppure dei propri clienti quando siano persone fisiche, come ad esempio i liberi professionisti determinando puntualmente le finalità e i mezzi del trattamento. Sono, viceversa, “responsabili” quando trattano i dati dei dipendenti dei loro clienti sulla base dell’incarico ricevuto, che contiene anche le istruzioni sui trattamenti da effettuare. E’ il  caso, ad esempio, dei consulenti che curano per conto di datori di lavoro la predisposizione delle buste paga, le pratiche relative all’assunzione e al fine rapporto, o quelle previdenziali e assistenziali, trattando una pluralità di dati personali, anche sensibili, dei lavoratori.

Si tratta di informazioni raccolte e utilizzate dai datori di lavoro in base al contratto e a norme di legge e di regolamento (come quelle in materia di lavoro, previdenza e assistenza sociale), e che vengono gestite dai consulenti cui sono esternalizzati i servizi sulla base delle discipline di settore e delle regole deontologiche pertinenti. Ed è sul contratto di affidamento dell’incarico e di designazione a responsabile del trattamento da parte del cliente che si basa la legittimità dei trattamenti realizzati dal consulente.

Il Garante ha chiarito infine che ai consulenti, pur in qualità di “responsabili” del trattamento, viene riconosciuto un apprezzabile margine di autonomia e correlativa responsabilità anche con riguardo alla individuazione e predisposizione di idonee misure di sicurezza, sia tecniche che organizzative, a tutela dei dati personali trattati.

di seguito l’articolo:
https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9080970

Sarà disponibile a partire dal p.v. 28 gennaio, il libro digitale “Fatturazione Elettronica e Gdpr” edito da Wolters Kluwer e scritto dalla Dott.ssa Gloriamaria Paci in collaborazione con Luca Di Leo.

Un ebook che illustra in maniera chiara e sintetica i provvedimenti del Garante rispetto alla fatturazione elettronica attuativa dal 1 gennaio 2019.

L’ebook si può prenotare al seguente link:

https://shop.wki.it/Ipsoa/eBook/eBook_Fatturazione_Elettronica_e_Gdpr_s684922.aspx

I video dell’evento:

San Marino – Nuova legge sulla privacy: l’incontro per approfondire il nuovo regolamento

San Marino – Intervista al Dott. Giuseppe Giuliano – funzionario attività ispettive Garante per la Protezione dei dati personali Dott. Giuseppe Giuliano

Studio Paci per ANIS San Marino: Privacy, imprese a “lezione” sulla Legge sammarinese

La Legge 21 Dicembre 2018 n. 171 “Protezione delle persone fisiche con riguardo al trattamento dei dati personali”) è entrata in vigore lo scorso 5 gennaio, definendo “il quadro normativo relativo alla protezione dei dati personali sul territorio sammarinese”. Commentando da ANIS. “Abbiamo ritenuto opportuno, pertanto, organizzare un appuntamento di approfondimento della nuova legge sammarinese per martedì 29 gennaio dalle ore 9:30 presso la Sala Montelupo di Domagnano (e non nella sede ANIS, come annunciato in precedenza), con l’obiettivo anche di porla a confronto con il Regolamento Europeo 2016/679”.

Relatori del momento di approfondimento saranno il Dott. Giuseppe Giuliano, Funzionario del Dipartimento attività ispettive e sanzioni del Garante per la protezione dei dati personali italiano, e la Dott.ssa Gloriamaria Paci, consulente in materia di privacy. “Durante l’incontro”, spiegano da ANIS, “verranno quindi illustrati i contenuti della 171/2018 nonché le linee di continuità e le differenze delle due normative avendo a riguardo agli adempimenti, ai diritti degli interessati e all’impianto sanzionatorio”. L’incontro è riservato ai soli soci ANIS ed è gratuito, previa iscrizione tramite il modulo inviato via email o telefonando alla segreteria ANIS al numero 0549/873911.

Anche San Marino, come detto, ha finalmente la sua Legge sulla Privacy. E’ stato infatti approvato in Consiglio Grande e Generale il Progetto di Legge “Protezione delle persone fisiche con riguardo al trattamento dei dati personali”. La Segreteria di Stato per gli Affari Interni e il Governo, opportunamente sollecitati dalle categorie economiche in particolare ANIS, avevano intrapreso da mesi un percorso volto all’approvazione di una proposta di legge in materia di protezione dei dati personali, al fine di realizzare l’adeguamento dell’attuale impianto normativo sammarinese al Regolamento UE n. 679 emanato dal Parlamento Europeo nel 2016, direttamente applicabile anche nei confronti degli Stati Terzi all’UE, e quindi anche alla Repubblica di San Marino, a decorrere dal 25 maggio 2018. “La Repubblica”, si legge in una nota della Segreteria agli Interni, “ha fatto propria l’esigenza di dotarsi di una normativa efficace in materia di protezione dei dati personali: solo con una forte tutela dei dati e delle informazioni personali, infatti, si costruisce una società dell’eguaglianza, senza discriminazioni e si difende la società della libertà”. “L’approvazione della norma”, ha poi avvertito Zanotti, “non esaurisce certamente le questioni legate a tale tema; saranno necessari ulteriori interventi per nominare i membri dell’Autorità Garante della protezione dei dati personali e per l’avvio del funzionamento dell’Autorità, medesima nonché del relativo Ufficio, che dovranno essere impostati anche dal punto di vista organizzativo e – prosegue il Segretario Zanotti – l’impegno è ad accelerare questa seconda fase”. Anche per questo il convegno ideato da ANIS servirà per definire ancora meglio i prossimi e successivi passi in avanti, sia a livello normativo, sia di piena operatività con i paesi UE e in particolare con l’Italia.

Fonte: http://www.sanmarinofixing.com/smfixing/fixing/archivio-fixing/28858-privacy-imprese-a-lezione-sulla-legge-sammarinese.html

Sarà disponibile a partire dal p.v. 28 gennaio, il libro digitale “Fatturazione Elettronica e Gdpr” edito da Wolters Kluwer e scritto dalla Dott.ssa Gloriamaria Paci in collaborazione con Luca Di Leo.

Un ebook che illustra in maniera chiara e sintetica i provvedimenti del Garante rispetto alla fatturazione elettronica attuativa dal 1 gennaio 2019.

L’ebook si può prenotare al seguente link:

https://shop.wki.it/Ipsoa/eBook/eBook_Fatturazione_Elettronica_e_Gdpr_s684922.aspx

1) Ordinanza ingiunzione nei confronti di Comune di Buccino – 7 novembre 2018

Registro dei provvedimenti
n. 479 del 7 novembre 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

RILEVATO  che l’Ufficio del Garante per la protezione  dei dati personali (si seguito Garante), con la nota n. 15656 del 23 maggio 2018, ha definito il procedimento amministrativo relativo a una segnalazione, accertando che il Comune di Buccino C. Fisc.: 82003670658, con sede in Buccino (Sa), piazza Municipio n.  1, in persona del legale rappresentante pro-tempore,  ha diffuso on line dati personali sul sito web istituzionale http://www.comune.buccino.sa.it mediante la pubblicazione  della nota n. 3645 del 23 maggio 2016, contenente  “l’elenco non residenti a Buccino  – Cancellazione  liste  elettorali” , in assenza  di un  idoneo  presupposto  normativo  in violazione dell’art. 19, comma 3 del Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n.  196 – nel seguito, “Codice”). Ciò, anche tenendo conto di quanto acquisito in atti nell’ambito dell’istruttoria e formalizzato nella nota n. 15656 del 23 maggio 2018 dal Dipartimento libertà pubblica e sanità del Garante circa il fatto che  “(…) la normativa statale  in materia di trasparenza (d. lgs. n. 33 del 24/3/2013) non prevede  l ‘obbligo di pubblicazioni  dei dati personali oggetto della segnalazione  (…) “;

VISTO il verbale n. 20683/103633 del 10 luglio 2018 con cui è stata contestata dall’Ufficio del Garante al Comune di Buccino, in persona del legale rappresentante pro-tempore la violazione amministrativa prevista dall’art. 162, comma 2-bis, del Codice, in relazione all’art. 19, comma 3, informandola della facoltà di effettuare il pagamento in misura ridotta ai sensi dell’art. 16 della legge n. 689/1981;

ESAMINATO il rapporto dell’Ufficio del Garante predisposto ai sensi  dell’art.  17 della legge 24 novembre 1981, n. 689, dal quale non risulta essere stato effettuato il pagamento in misura ridotta;

CONSIDERATO che la parte non risulta essersi avvalsa delle facoltà previste dall’art. 18 della legge n. 689/1981 (non presentando all’Autorità scritti difensivi né chiedendo di essere ascoltata);

RILEVATO, pertanto, che il Comune di Buccino, ha diffuso on line dati personali sul sito web istituzionale http://www.comune.buccino.sa.it mediante la pubblicazione della nota n. 3645 del 23 maggio 2018, contenente “l’elenco non residenti a Buccino – Cancellazione liste elettorali” , in assenza di un idoneo presupposto normativo in violazione dell’art. 19, comma 3 del Codice;

VISTO l’art. 162, comma 2-bis, del Codice, che punisce la violazione delle disposizioni indicate nell’art. 167 del Codice, tra le quali quelle di cui all’artt. 19, comma 3, del medesimo Codice, con la sanzione amministrativa del pagamento di una somma da diecimila euro a centoventimila euro;

RITENUTO che, nel caso in esame, ricorrano le condizioni per applicare l’art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

CONSIDERATO che, ai fini della determinazione dell’ammontare della  sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge 24 novembre 1981 n. 689, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

RITENUTO di dover determinare, ai sensi dell’art. 11 della legge n. 689/1981, l’ammontare della sanzione pecuniaria per la violazione dell’art. 162, comma 2-bis del Codice in combinato disposto con l’art. 164-bis, comma 1, nella misura di euro 4.000,00 (quattromila);

VISTA la legge 24 novembre 1981 n. 689, e successive modificazioni e integrazioni; VISTA la documentazione in atti;

VISTE le osservazioni dell’Ufficio, formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000;

RELATORE la della prof.ssa Licia Califano;

ORDINA

al Comune di Buccino C. Fisc.: 82003670658, con sede in Buccino (Sa), piazza Municipio n. 1, in  persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000,00 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione dell’art. 162, comma 2-bis, indicata in motivazione;

INGIUNGE

al medesimo soggetto di pagare la somma di euro 4.000,00 (quattromila) secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 novembre 2018

IL PRESIDENTE
Soro

IL RELATORE
Califano

IL SEGRETARIO GENERALE
Busia

2) Ordinanza ingiunzione nei confronti di Comune di Castel Maggiore – 7 novembre 2018

Registro dei provvedimenti
n. 480 del 7 novembre 2018

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla presenza del dott. Antonello Soro, presidente, della dott.ssa Augusta Iannini, vicepresidente, della dott.ssa Giovanna Bianchi Clerici e della prof.ssa Licia Califano, componenti e del dott. Giuseppe Busia, segretario generale;

VISTO l’art. 1, comma 2, della legge 24 novembre 1981, n. 689, ai sensi del quale le leggi che prevedono sanzioni amministrative si applicano soltanto nei casi e per i tempi in esse considerati;

RILEVATO che l’Ufficio del Garante, con atto n. 17786/114844 del 12 giugno 2018 (notificato in pari data mediante posta elettronica certificata), che qui deve intendersi integralmente riportato, ha contestato il Comune di Castel Maggiore, con sede legale in Castel Maggiore (BO), via Matteotti n. 10, C.F. 00524081205, la violazione prevista dagli artt. 19, comma 3, 162, comma 2-bis, e 167 del Codice in materia di protezione dei dati personali (d. lg. 30 giugno 2003, n. 196, di seguito denominato “Codice”, nella formulazione antecedente alle modifiche introdotte dal d. lg. n. 4 settembre 2018, n. 101 in vigore dal 19 settembre 2018);

RILEVATO che dall’esame degli atti del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa è emerso, in sintesi, quanto segue:

– il Garante ha adottato un provvedimento, n. 292 del 16 maggio 2018, nei confronti del Comune di Castel Maggiore, che qui si intende integralmente richiamato;

– nel provvedimento si rappresenta che, a seguito di una segnalazione, è stato accertato che il Comune ha pubblicato sul proprio sito web istituzionale la Determinazione del Settore Ufficio del Segretario Generale n. 1 del 18 maggio 2015, avente ad oggetto “obbligo di astensione del Responsabile del Settore Gestione del Territorio per parziale conflitto di interessi”;

– la Determinazione stabiliva, su richiesta dello stesso Responsabile pro-tempore del Settore Gestione del Territorio, l’obbligo del medesimo di astenersi dalla valutazione di una dipendente, per potenziale conflitto di interessi poiché propria consorte;

– la Determinazione, che riportava in chiaro i dati identificativi del Responsabile del settore e della dipendente oltre che informazioni sull’esistenza di un rapporto di lavoro presso l’ente e di un potenziale conflitto di interessi nell’anno 2014, era accessibile sia dall’area dedicata all’Albo Pretorio, alla sezione denominata “Accesso agli atti amministrativi”, che dall’area “Amministrazione trasparente”, alla sezione “Provvedimenti” “Determine dirigenziali”. L’atto risultava pubblicato da circa tre anni e, quindi, per un periodo superiore ai quindici giorni previsti dalla normativa di settore (art. 124, comma 1, d. lg. n. 267/2000);

– sulla scorta di quanto accertato con il richiamato provvedimento, l’Ufficio ha contestato al Comune, quale titolare del trattamento, la violazione di cui agli artt. 19 e 162, comma 2-bis, del Codice, per aver effettuato una diffusione di dati personali in assenza di un idoneo presupposto normativo ai sensi dell’art. 19, comma 3, del Codice;

RILEVATO che con il citato atto del 12 giugno 2018 è stata contestata al Comune la sopra richiamata violazione;

PRESO ATTO che il Comune non ha provveduto al pagamento in misura ridotta, come evidenziato dal rapporto redatto ai sensi dell’art. 17 della legge n. 689/1981;

LETTI gli scritti difensivi del 12 luglio 2018, nei quali si rappresenta che:

– la determina del Comune di Castel Maggiore del 18 maggio 2015 soggiace agli obblighi di pubblicazione previsti dall’art. 12 del d. lg. 33/2013, che impone la pubblicazione di qualsiasi atto adottato dall’ente pubblico, che dispone in generale sull’organizzazione, sui procedimenti, ivi comprese le misure integrative di prevenzione alla corruzione di cui all’art. 1, comma 2-bis della legge 190/2012;

– la pubblicazione di atti relativi a situazioni di conflitti di interesse rientra nel novero delle misure di prevenzione anti-corruzione e al riguardo devono evidenziarsi i contenuti del Piano nazionale anticorruzione (richiamato dalla citata legge n. 190/2012) nelle parti in cui si stabilisce che la trasparenza è uno degli assi portanti della politica anticorruzione ed è fondata su obblighi di pubblicazione previsti dalla legge ma anche su ulteriori misure di trasparenza, individuate da ciascun ente in ragione delle proprie caratteristiche funzionali;

– il piano anticorruzione adottato dall’Anac, aggiornato in base alla determinazione n. 12/2015, indica che le misure di prevenzione debbano avere un carattere organizzativo e consentano di adottare interventi volti a interessare anche singoli processi/procedimenti tesi a ridurre le condizioni operative che favoriscono la corruzione, misure che riguardano l’imparzialità oggettiva e soggettiva del funzionario;

– in questo senso, deve considerarsi che la pubblicazione della determina oggetto di contestazione risponde ad una duplice ratio con riferimento al rispetto della trasparenza intesa come accessibilità totale e partecipazione all’attività dell’ente, nonché alla prevenzione di fenomeni corruttivi nella pubblica amministrazione;

– la pubblicazione è comunque anche consentita dall’art. 7-bis del d. lg. n. 33/2013, laddove si prevede che le amministrazioni possano disporre la pubblicazione nel proprio sito istituzionale, per la durata di anni cinque, di informazioni e documenti che le stesse non hanno l’obbligo di pubblicare in base a quanto previsto dal decreto o da altre disposizioni di legge o regolamento;

– sotto questo profilo il Piano territoriale anticorruzione del Comune di Castel Maggiore prevede la pubblicazione sul proprio sito istituzionale di direttive, circolari, programmi, istruzioni e ogni atto che dispone in generale sulla organizzazione, sulle funzioni, sugli obiettivi e sui procedimenti e prevede altresì che i responsabili dei settori possano pubblicare ulteriori dati e informazioni che ritengono necessari per assicurare la migliore trasparenza sostanziale dell’azione amministrativa;

– sussistono pertanto, per la diffusione dei dati dei soggetti citati nella determina in argomento, le condizioni richieste dall’art. 19, comma 3, del Codice, ossia l’esistenza di una norma di legge (art. 12 o art. 7-bis del d. lg. n. 33/2013) che consente tale diffusione per un periodo superiore ai 15 giorni indicato nell’art. 124 del d. lg. n. 267/2000;

RITENUTO che le argomentazioni addotte dal Comune non sono idonee a determinare l’archiviazione del procedimento sanzionatorio avviato con la contestazione di violazione amministrativa per le seguenti ragioni:

– sulla base della prima argomentazione difensiva, l’obbligo di pubblicazione della determina oggetto di contestazione risiederebbe nell’art. 12 del d. lg. n. 33/2013, laddove dispone che sia pubblicato “ogni atto, previsto dalla legge o comunque adottato, che dispone in generale sulla organizzazione, sulle funzioni, sugli obiettivi, sui procedimenti ovvero nei quali si determina l’interpretazione di norme giuridiche che le riguardano o si dettano disposizioni per l’applicazione di esse, ivi compresi i codici di condotta, le misure integrative di prevenzione della corruzione individuate ai sensi dell’articolo 1, comma 2-bis, della legge n. 190 del 2012, i documenti di programmazione strategico-gestionale e gli atti degli organismi indipendenti di valutazione”;

– l’art. 1, comma 2-bis, della legge n. 190/2012 chiarisce che le misure integrative di prevenzione della corruzione sono individuate nel piano nazionale anticorruzione, atto di indirizzo per tutte le amministrazioni pubbliche, adottato con cadenza triennale e aggiornamento annuale, dall’Autorità nazione anticorruzione (ANAC);

– nella ricognizione effettuata dalla difesa delle indicazioni contenute nel Piano nazionale anticorruzione e nei relativi aggiornamenti non si ravvedono riferimenti a disposizioni di legge che siano idonee a soddisfare il requisito previsto dall’art. 19, comma 3, del Codice e che, pertanto, consentano, direttamente e specificamente, la diffusione, da parte di soggetti pubblici, di dati personali di dipendenti raggiunti da un provvedimento che dispone la loro astensione dalla trattazione di determinati procedimenti;

– alla considerazione circa la liceità della predetta diffusione la difesa perviene, infatti, solo attraverso ricostruzioni interpretative di diverse disposizioni, non soltanto di rango primario, in base alle quali sarebbe consentita alle pubbliche amministrazioni, in ragione di generiche esigenze di trasparenza e prevenzione dalla corruzione, una ampia e indiscriminata possibilità di diffusione dei dati personali contenuti nella generalità degli atti dalle stesse adottate;

– al contrario, sulla base di quanto evidenziato nelle “Linee guida in materia di trattamento di dati personali, contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e trasparenza sul web da soggetti pubblici e da altri enti obbligati”, adottate dal Garante il 15 maggio 2014, la diffusione dei dati personali da parte di soggetti pubblici viene vincolata a stringenti condizioni ed “è ammessa unicamente quando la stessa è prevista da una specifica norma di legge o di regolamento […]. Pertanto, in relazione all´operazione di diffusione, occorre che le pubbliche amministrazioni, prima di mettere a disposizione sui propri siti web istituzionali informazioni, atti e documenti amministrativi (in forma integrale o per estratto, ivi compresi gli allegati) contenenti dati personali, verifichino che la normativa in materia di trasparenza preveda tale obbligo […]”. Peraltro “laddove l´amministrazione riscontri l´esistenza di un obbligo normativo che impone la pubblicazione dell´atto o del documento nel proprio sito web istituzionale è necessario selezionare i dati personali da inserire in tali atti e documenti, verificando, caso per caso, se ricorrono i presupposti per l´oscuramento di determinate informazioni. I soggetti pubblici, infatti, in conformità ai principi di protezione dei dati, sono tenuti a ridurre al minimo l´utilizzazione di dati personali e di dati identificativi  ed evitare il relativo trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante dati anonimi o altre modalità che permettano di identificare l´interessato solo in caso di necessità […]. Pertanto, anche in presenza degli obblighi di pubblicazione di atti o documenti contenuti nel d. lgs. n. 33/2013, i soggetti chiamati a darvi attuazione non possono comunque “rendere […] intelligibili i dati personali non pertinenti o, se sensibili o giudiziari, non indispensabili rispetto alle specifiche finalità di trasparenza della pubblicazione”[…];

– il tema dell’obbligo di astensione del dipendente pubblico in caso di conflitto di interessi trova specifica disciplina nell’art. 6-bis della legge n. 241/1990 (introdotto dall’art. 1, comma 41, della legge n. 190/2012) e nell’art. 7 del d.P.R. n. 62/2013 recante il “Codice di comportamento dei dipendenti pubblici”, disposizioni che nulla prevedono in ordine alla pubblicazione di eventuali determinazioni al riguardo assunte da parte delle pubbliche amministrazioni;

– tali determinazioni, peraltro, in base allo schema delineato dalle sopra richiamate norme, interverrebbero soltanto a seguito di segnalazione da parte del dipendente su cui grava l’obbligo di astensione, come risulta sia avvenuto anche nel caso in argomento, per cui, in un’ottica di puntuale e corretto adempimento delle predette norme, alcuna misura integrativa di prevenzione alla corruzione pare rendersi necessaria;

– in buona sostanza, la determina che dispone l’astensione di un dipendente pubblico rispetto alla trattazione di un determinato procedimento, sulla base della segnalazione del medesimo dipendente, non può connotarsi, di per sé, come una misura organizzativa adottata dall’amministrazione al fine di prevenire eventuali episodi corruttivi, ma come l’ordinaria definizione e presa d’atto di un processo innestato proprio su impulso del dipendente in adempimento di specifici obblighi di legge;

– nei confronti di tale atto, pertanto, non incombe alcun obbligo di pubblicazione per periodi di tempo ulteriori rispetto a quelli stabiliti dall’art. 124 del d. lg. n. 267/2000 in materia di albo pretorio on line;

– quanto al secondo profilo difensivo, concernente la facoltà dell’ente di procedere comunque alla pubblicazione della determina in argomento in base a quanto previsto dall’art. 7-bis del d. lg. n. 33/2013, deve evidenziarsi che tale norma, al comma 3, consente agli enti “la pubblicazione nel proprio sito istituzionale di dati, informazioni e documenti che non hanno l’obbligo di pubblicare ai sensi del presente decreto o sulla base di specifica previsione di legge o regolamento […] procedendo alla indicazione in forma anonima dei dati personali eventualmente presenti”;

– la disposizione non consente margini di discrezionalità da parte dell’amministrazione che intende procedere alla pubblicazione, cosicché appare inconferente l’assunto difensivo in base al quale, nel caso della determina pubblicata dal comune di Castel Maggiore, “non sarebbe stato possibile procedere ad anonimizzare o minimizzare il trattamento dei dati personali dei due interessati” poiché “i predetti dati costituiscono l’essenza dell’informazione stessa”: tale considerazione dovrebbe essere astrattamente valida per ogni atto idoneo ad incidere sulla sfera individuale di un interessato, snaturando l’obbligo di anonimizzazione contenuto nella norma;

– per tali ragioni, deve confermarsi la responsabilità del Comune in ordine alla violazione contestata;

RILEVATO, quindi, che il Comune di Castel Maggiore, sulla base degli atti e delle considerazioni di cui sopra, risulta aver commesso, in qualità di titolare del trattamento, ai sensi degli artt. 4, comma 1, lett. f), e 28 del Codice (nella formulazione vigente all’epoca dei fatti), la violazione indicata nell’atto di contestazione n. 19270/121919 del 26 giugno 2018;

VISTO l’art. 162, comma 2-bis, del Codice (nella formulazione vigente all’epoca dei fatti) che punisce le violazioni delle disposizioni indicate nell’art. 167 del Codice, fra le quali figura anche l’art. 19, con la sanzione amministrativa del pagamento di una somma da euro 10.000 ad euro 120.000;

CONSIDERATO che, ai fini della determinazione dell’ammontare della sanzione pecuniaria, occorre tenere conto, ai sensi dell’art. 11 della legge n. 689/1981, dell’opera svolta dall’agente per eliminare o attenuare le conseguenze della violazione, della gravità della violazione, della personalità e delle condizioni economiche del contravventore;

CONSIDERATO che, nel caso in esame:

a. in ordine all’aspetto della gravità, con riferimento agli elementi dell’entità del pregiudizio o del pericolo e dell’intensità dell’elemento psicologico, le violazioni non risultano connotate da profili di gravità;

b. ai fini della valutazione dell’opera svolta dall’agente, deve rilevarsi il Comune ha provveduto alla rimozione della determinazione oggetto di contestazione;

c. circa la personalità dell’autore della violazione, deve essere considerata la circostanza che il Comune non risulta gravato da precedenti procedimenti sanzionatori definiti in via breve o a seguito di ordinanza ingiunzione;

RITENUTO che, nel caso in esame, ricorrano le condizioni per applicare l’art. 164-bis, comma 1, del Codice il quale prevede che se taluna delle violazioni di cui agli art. 161, 162-ter, 163 e 164 è di minore gravità, i limiti minimi e massimi stabiliti negli stessi articoli sono applicati in misura pari a due quinti;

RITENUTO, quindi, di dover determinare, ai sensi dell’art. 11 della L. n. 689/1981, l’ammontare della sanzione pecuniaria, in ragione dei suddetti elementi valutati nel loro complesso, nella misura di euro 10.000 (diecimila) per la violazione di cui all’art. 162, comma 2-bis, del Codice e che, nel caso in argomento, può essere applicata la diminuente di cui all’art. 164-bis, comma 1, in ragione della lieve entità della violazione, costituita dalla pubblicazione della sola determina oggetto di contestazione;

VISTA la documentazione in atti;

VISTA la legge n. 689/1981, e successive modificazioni e integrazioni;

VISTE le osservazioni dell’Ufficio formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE la dott.ssa Giovanna Bianchi Clerici;

ORDINA

al Comune di Castel Maggiore, con sede legale in Castel Maggiore (BO), via Matteotti n. 10, C.F. 00524081205, in persona del legale rappresentante pro-tempore, di pagare la somma di euro 4.000 (quattromila) a titolo di sanzione amministrativa pecuniaria per la violazione indicata in motivazione;

INGIUNGE

al predetto Ente di pagare la somma di euro 4.000 (quattromila), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dall’art. 27 della legge 24 novembre 1981, n. 689.

Ai sensi degli artt. 152 del Codice e 10 del d.lg. n. 150/2011, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.

Roma, 7 novembre 2018

IL PRESIDENTE
Soro

IL RELATORE
Bianchi Clerici

IL SEGRETARIO GENERALE
Busia

Fonte:

1) https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9074879

2) https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9074891

Fonte:

Carta di identità elettronica: Italia verso il “bollino” europeo, fra i primi Paesi Ue

Intervista ad Antonello Soro, Presidente del Garante per la protezione dei dati personali
(di Andrea Ballocchi, “wisesociety.it”, 18 dicembre 2018)

I dati sono l’oro del mondo moderno. Se ne generano miliardi, i cosiddetti Big Data, autentiche miniere da cui ricavare informazioni da trasformare in servizi. È nata così l’economia digitale, «la principale forma economica oggi», afferma Antonello Soro, presidente dell’Autorità garante per la protezione dei dati personali. “L’economia digitale è la cornice entro cui si sviluppano tutte le attività dell’umanità intera. Il digitale, quindi, è una dimensione della vita, assolutamente reale per quanto immateriale sia nella quale tutti noi ci troviamo, per comunicare nelle diverse forme”. Pensiamo ai 42 miliardi di messaggi su Whatsapp, ai 150 miliardi di email, ai 66 miliardi di foto su Instagram inviati ogni giorno nel mondo. Tutti dati personali, sensibili, di cui in Rete resta tutto, con tutti i pro e i contro.

Da qui la necessità di porre attenzione alle “Persone in rete”, titolo quanto mai azzeccato del libro di Antonello Soro, presidente dell’Autorità garante della protezione dei dati personali. Infatti, c’è una componente fisica nel mondo virtuale che contribuiamo a creare anche noi con le nostre storie. Ma spesso senza rendercene conto, dando in pasto alle grandi piattaforme digitali la nostra vita. Ecco perché, scrive Soro, occorre impostare un’etica per l’algoritmo.

Presidente Soro, quanto sono importanti oggi i dati?

Sono i protagonisti della rivoluzione digitale, ma sconosciuti dai legittimi possessori. Tendiamo, infatti, a immaginarli come una pura sequenza di numeri che attraverso oscuri canali vengono trattati da alcuni esperti. Ma i dati sono la proiezione digitale della nostra stessa vita. Ogni volta che facciamo un “click” consegniamo a questa dimensione e ai soggetti che li raccoglieranno una tessera della nostra esistenza che, confluendo nei server, verranno ricomposti per formare il mosaico dell’identità. Questo avverrà sempre di più per tutta una serie di dati che hanno a che fare con la materialità della nostra persona. Per esempio, se noi affidiamo al fascicolo sanitario elettronico i dati relativi alla nostra salute c’è un luogo dedicato alla loro conservazione e alla pronta reperibilità per il medico che se ne servirà per prestare le necessarie cure. Sono informazioni vitali, la cui manipolazione però potrebbe avere effetti devastanti per noi. Ecco perché la protezione dei dati è un presupposto fondamentale per la nostra sicurezza anche fisica.

Nel suo libro si evidenzia la necessità di un’etica per l’algoritmo. Come si riesce a delinearla in un mondo finora spesso anarchico?

Attraverso due vie: la prima passa dalla consapevolezza dell’utente. Deve sapere che l’algoritmo non è neutro, ma è un programma informatico ideato da un uomo con tutti i suoi pregiudizi ed esperienze pregresse e come tale può essere un prodotto capace di avere effetti importanti una volta utilizzato. Per questo non si deve delegare alla macchina in modo ideologico e generalizzato. L’altra via passa dall’attuazione delle regole. In questa direzione va il GDPR, regolamento europeo per la protezione dei dati personali. Un provvedimento di grande importanza in quanto ha stabilito per la prima volta che nessuna decisione esclusivamente automatizzata può essere adottata senza che l’interessato possa contestarla.

Consapevolezza e regolamentazione possono costituire le basi per restituire un ruolo alla persona e in questo sta una nuova etica: non pensare che la delega all’algoritmo, alla macchina, all’innovazione sostituisca la responsabilità che sta in capo alla persona, a chi fa uso delle tecnologie, che non deve essere usato.

In questa rivoluzione digitale che ha prodotto un’economia, c’è bisogno di sostenibilità, in termini di tutela della libertà della persona?

Certo. Nella società digitale dobbiamo introdurre una regolazione che sia all’altezza della storia del diritto così come l’abbiamo maturato nei secoli nella dimensione fisica. Dobbiamo accrescere la tutela dei diritti, sapendo che la protezione del dato riguarda la tutela della persona, ma anche una tutela della nuova economia e dell’organizzazione sociale, in assenza della quale si rischia di vivere in un mondo oscuro dove la vita dell’uomo è destinata a peggiorare.

Come si rende consapevole il cittadino in tutto questo?

Con un’educazione altrettanto digitale.

Fonte:

https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9068705