D.Lgs. 196/2003

Principio fondamentale

Chiunque ha diritto alla protezione dei dati personali che lo riguardano.

Rapporto con il GDPR

• Il D.Lgs. 196/2003 (Codice Privacy) è stato profondamente modificato dal D.Lgs. 101/2018 per adeguarlo al GDPR
• Non è stato abrogato: integra il GDPR per le parti in cui il Regolamento rinvia alla legislazione nazionale
• Il GDPR prevale in caso di contrasto (principio di prevalenza del diritto UE)

Quando la PA può trattare dati

La base giuridica per il trattamento di dati personali da parte della PA e:

• L'esecuzione di un compito di interesse pubblico
• L'esercizio di pubblici poteri

Il trattamento è consentito se previsto da una norma di legge o di regolamento, nei casi previsti dalla legge.

Comunicazione tra PA

• La comunicazione di dati fra PA è ammessa se prevista da norma di legge o regolamento
• In mancanza di norma, la comunicazione è ammessa se necessaria per lo svolgimento di funzioni istituzionali (previa comunicazione al Garante)

Categorie particolari di dati (ex dati sensibili)

Il trattamento dei dati di cui all'art. 9 GDPR (salute, origine razziale, opinioni politiche, religione, dati genetici/biometrici, vita sessuale) da parte della PA è consentito se:

• Previsto da norma di legge o regolamento
• Il trattamento è necessario per motivi di rilevante interesse pubblico

Ambiti di rilevante interesse pubblico

• Rapporti di lavoro nella PA
• Istruzione e formazione
• Assistenza e previdenza sociale
• Sanità pubblica
• Ricerca scientifica e statistica

Dati relativi a condanne penali

Il trattamento dei dati di cui all'art. 10 GDPR (condanne penali, reati, misure di sicurezza) è consentito:

• Se autorizzato da norma di legge o regolamento
• Con garanzie appropriate per i diritti e le libertà degli interessati

Ambiti tipici

• Concorsi pubblici: Verifica requisiti di ammissione (assenza condanne)
• Rapporto di lavoro PA: Verifica incompatibilita e decadenze
• Contratti pubblici: Verifica requisiti morali operatori economici

I soggetti designati

Il titolare o il responsabile del trattamento possono prevedere, sotto la propria responsabilità e nell'ambito della propria organizzazione, che specifici compiti siano attribuiti a persone fisiche espressamente designate.

Caratteristiche

• Operano sotto l'autorità del titolare o del responsabile
• La designazione deve essere documentata
• Corrispondono agli "autorizzati al trattamento" del GDPR (art. 29 + art. 32, par. 4)
• Nella PA: tipicamente i dipendenti che trattano dati nell'esercizio delle funzioni

Termini di conservazione

• Dati di traffico telefonico: Conservati per 24 mesi dalla data della comunicazione
• Dati di traffico telematico: Conservati per 12 mesi dalla data della comunicazione

Finalità

La conservazione e finalizzata all'accertamento e repressione dei reati. I dati possono essere acquisiti solo su ordine dell'autorità giudiziaria (decreto motivato del giudice).

Diritto di segnalazione

Chiunque può rivolgere una segnalazione al Garante per la protezione dei dati personali, se ritiene che vi sia una violazione della normativa.

Procedura

• La segnalazione non richiede forme particolari
• Il Garante valuta la segnalazione e decide se avviare un'istruttoria
• Diversa dal reclamo (art. 77 GDPR): il reclamo e più formale e attiva un procedimento

Compiti principali del Garante

• Controllare la conformità dei trattamenti alla normativa
• Promuovere codici di condotta
• Esprimere pareri su proposte legislative e regolamentari
• Effettuare ispezioni (anche avvalendosi della Guardia di Finanza)
• Adottare provvedimenti (autorizzazioni, prescrizioni, divieti)
• Irrogare sanzioni amministrative
• Cooperare con le altre autorità di controllo europee (EDPB)

Composizione

Il Garante è un organo collegiale composto da 4 membri (2 eletti dalla Camera, 2 dal Senato), con mandato di 7 anni non rinnovabile.

Sistema sanzionatorio

Il Garante applica le sanzioni amministrative pecuniarie previste dall'art. 83 GDPR:

• Fascia inferiore: Fino a 10 milioni di euro o 2% del fatturato mondiale annuo
• Fascia superiore: Fino a 20 milioni di euro o 4% del fatturato mondiale annuo

Criteri di quantificazione

• Natura, gravità e durata della violazione
• Carattere doloso o colposo
• Misure adottate per attenuare il danno
• Grado di cooperazione con l'autorità
• Eventuali precedenti violazioni

Reato di trattamento illecito

Chiunque, al fine di trarre per se o per altri profitto ovvero di arrecare danno all'interessato, procede al trattamento in violazione della normativa è punito con la reclusione:

• Da 1 a 3 anni: Se dal fatto deriva un nocumento
• Da 3 a 6 anni: Se il fatto e commesso attraverso comunicazione o diffusione dei dati (art. 167, comma 2)

Altri reati privacy

• Art. 167-bis: Comunicazione e diffusione illecita di dati su larga scala
• Art. 167-ter: Acquisizione fraudolenta di dati
• Art. 168: Falsita nelle dichiarazioni al Garante
• Art. 170: Inosservanza provvedimenti del Garante