Protezione dei dati personali - privacy

[Sergio P. Del Bello]

Newsletter PA digitale, n. 10 del 23 maggio 2018

GDPR: arriva il decreto di adeguamento della normativa italiana
Il Codice Privacy non sarà abrogato, in esame alla Camera lo Schema di decreto per l’adeguamento al GDPR
...

GDPR
Responsabile per la protezione dei dati: dal Garante la procedura per la comunicazione dei dati di contatto
In base all'articolo 37 del Regolamento UE/2016/679 è necessario che i soggetti pubblici e privati comunichino al Garante il nominativo del Responsabile della Protezione dei dati, se designato.
Sul sito dell’Autorità è stata messa a disposizione una procedura online per compiere questo adempimento. Per facilitare i soggetti tenuti all'adempimento, nella sezione dedicata è presente anche un facsimile in formato .pdf per verificare quali saranno le informazioni richieste.

La nota del Garante

I nostri materiali sul GDPR
Podcast: Cosa significa il GDPR per le amministrazioni
Infografica: il GDPR per le amministrazioni - i principali nuovi adempimenti
Infografica: il GDPR per le amministrazioni - il responsabile per la protezione dei dati
Infografica: il GDPR per le amministrazioni - la valutazione d’impatto sulla protezione dei dati (DPIA)
...

[Sergio P. Del Bello]

ACTA, 22/05/2018

GDPR: INDICAZIONI PER FREELANCE RITARDATARI

Il regolamento sulla protezione dei dati entra in vigore il 25 maggio e vale anche per noi freelance. Se sei rimasto un po’ indietro, forse possiamo aiutarti.
GDPR. Parliamone. Se stai leggendo questo articolo è probabile che tu voglia risposte chiare su cosa devi fare per adeguarti alla famigerata General Data Protection Regulation, che entrerà in vigore il prossimo 25 maggio, cioè dopodomani.

Non serve che ti giustifichi per non averci ancora pensato. Sono anche io una freelance, so cosa vuol dire avere altro a cui pensare: clienti che non rispondono per mesi e poi esigono lavori consegnati in sei minuti, tasse da pagare, contributi, burocrazia, aggiornamenti professionali. Ma – ahimè – ora ti tocca. Il tempo stringe e anche tu devi adeguarti a queste benedette normative europee sul trattamento dei dati.

Quindi bando alle chiacchiere, cerchiamo di essere concreti.

A cosa serve il GDPR?
In estrema sintesi, il GDPR chiarisce come dobbiamo (anche noi freelance, ne abbiamo parlato qui) trattare i dati personali dei nostri clienti e dei nostri contatti, incluse le modalità di raccolta, utilizzo, protezione e condivisione. Quindi l’obiettivo del GDPR è quello di dare alle persone il pieno controllo dei dati di cui autorizzano il trattamento, rafforzandone la protezione.

Questo significa che chiunque tratti dei dati (cioè il titolare) deve garantire ai suoi utenti la sicurezza e, per quanto possibile, il controllo sulle informazioni di cui è in possesso.


I dati possono essere trattati solo in presenza di una base giuridica.
I fondamenti di liceità del trattamento sono indicati all’art. 6 del regolamento e coincidono, in linea di massima, con quelli previsti attualmente dal Codice privacy – d.lgs. 196/2003 (consenso, adempimento obblighi contrattuali, interessi vitali della persona interessata o di terzi, obblighi di legge cui è soggetto il titolare, interesse pubblico o esercizio di pubblici poteri, interesse legittimo prevalente del titolare o di terzi cui i dati vengono comunicati).

Quindi, cosa deve fare chi raccoglie dei dati?
Il titolare deve innanzitutto raccogliere il consenso al trattamento dei dati.

Il consenso deve essere, in tutti i casi, libero, specifico, informato e inequivocabile e NON è ammesso il consenso tacito o presunto (no a caselle pre-spuntate su un modulo). Nel caso di trattamento di dati sensibili, il consenso deve essere scritto.

La prima cosa da fare, quindi, è verificare che la tua privacy policy contenga tutti gli elementi previsti dal GDPR (finalità del trattamento, tipologia di dati raccolti, identità e dati di contatto del titolare del trattamento, eventualmente del responsabile e del DPO – Data Protection Officer, periodo di conservazione) e che sia di facile accesso per l’utente prima della raccolta dei dati.

Un consiglio. Evita il copia incolla di modelli trovati chissà dove nel web: i modelli predefiniti potrebbero non contenere tutte le informazioni necessarie per informare correttamente i tuoi utenti e il risultato sarebbe una policy inadeguata. Per esempio, se vuoi inviare delle comunicazioni commerciali ai tuoi contatti e la tua policy non ne tiene conto, il consenso rilasciato dai tuoi utenti non è completo.

In secondo luogo, devi fare in modo che i tuoi utenti possano accedere facilmente ai propri dati e che, se lo desiderano, possano revocare in qualsiasi momento il loro consenso al trattamento.

Secondo il GDPR, infatti, qualunque interessato può infatti inviare una richiesta al titolare del trattamento (che dovrà darvi riscontro tendenzialmente entro 1 mese) per attivare i suoi diritti di: accesso, cancellazione, limitazione e portabilità sui propri dati.
...
– Se invii una newsletter
Se hai una mailing list di contatti a cui invii periodicamente una newsletter, dovrai richiedere il consenso prima di raccogliere i dati dei tuoi utenti, fornire la possibilità alle persone di accedere ai dati e cancellarsi.

In generale, l’avvento del GDPR è un buon momento per controllare la tua lista dei contatti: rimuovi chiunque non disponga di una registrazione del consenso e assicurati che i nuovi utenti confermino specificamente l’intenzione di iscriversi alla tua newsletter.

Il consenso raccolto prima del 25 maggio resta valido se ha tutte le caratteristiche che il GDPR richiede; se non è così, è bene che tu raccolga di nuovo il consenso degli interessati.

Tutto chiaro? Probabilmente no. Ogni professionista ha una situazione diversa e domande specifiche. Se hai dei dubbi, ti conviene rivolgerti a un esperto. Per questo, noi di ACTA abbiamo siglato una convenzione con Argo Business Solutions per i nostri soci. L’accordo con Argo prevede una consulenza gratuita per capire se le norme sulla GDPR hanno un impatto su di te. E se devi intervenire, potrai ottenere le informazioni personalizzate che ti servono.

[Sergio P. Del Bello]

IFEL, Fondazione ANCI

Registrazione video relativa al webinar del 09 maggio 2018

Nuovo regolamento privacy: come organizzarsi
Relatore: Avv. Fabio Di Resta
*

[Sergio P. Del Bello]

La PAdigitale

Da lunedì abbiamo lanciato il progetto #VersoIlGDPR, iniziativa dedicata al nuovo regolamento europeo sulla privacy. Ogni giorno - fino al 25 maggio - su Facebook e sui portali del Gruppo Maggioli - una breve pillola video in cui l’Avv. Belisario fornirà risposte e chiarimenti sui principali dubbi legati all’applicazione del GDPR. Ecco i primi due.

imago230.JPG (21.49 KiB) Osservato 965 volte

#VersoilGDPR (1)
E' sufficiente dotarsi di software di supporto per risolvere i problemi di adeguamento al nuovo regolamento?
*

[Sergio P. Del Bello]

Regolamento privacy UE - GDPR

Nuove indicazioni del Garante per la valutazione di impatto per la protezione dei dati

A poco meno di un mese dalla piena applicazione del Regolamento europeo sulla protezione dei dati personali, arrivano le indicazione del Garante Privacy sulla valutazione d’impatto (uno dei nuovi adempimenti previsti dal GDPR).
A supporto dei titolari del trattamento, il Garante segnala anche il software sviluppato dall’’Autorità francese per la protezione dei dati.

La pagina informativa del Garante su individuazione e gestione del rischio
Il video tutorial del Garante su individuazione e gestione del rischio
Valutazione d'impatto sulla protezione dei dati: il software di supporto
*

[Sergio P. Del Bello]

Innovatori PA, 22/04/2018

GDPR e privacy - introduzione alla nuova normativa (22 aprile 2018)
Dott. Simone Chiarelli
Videocommento

[Sergio P. Del Bello]

GDPR e freelance: con la convenzione ACTA è più facile
Posted: 23 Apr 2018 06:11 AM PDT

Con il regolamento GDPR cambiano le norme sulla privacy, anche per i freelance. Le sanzioni per chi non si adegua sono severe. Ti aiutiamo a capire se le nuove norme interessano anche te e, in caso affermativo, quali azioni dovrai avviare. Potrai farti assistere da una società specializzata, convenzionata con ACTA.
Il 25 maggio del 2018 entrerà in vigore il nuovo Regolamento generale sulla protezione dei dati (RGDP o GDPR in inglese) (Regolamento (UE) 2016/679).

Sono norme che ci interessano come cittadini perché mirano a garantire il diritto di tutti alla cancellazione-oblio, e proteggere i nostri dati, limitandone il trattamento.

Sono norme che ci interessano anche in quanto freelance?
Sì, se gestiamo dati di persone fisiche, siano essi fornitori, clienti, collaboratori o altre tipologie di cittadini.
È importante allinearsi alle nuove disposizioni per evitare le sanzioni, che sono piuttosto pesanti: il 4% del fatturato annuo.

1ª tappa: capire se le nuove norme GDPR sulla privacy hanno un impatto su un freelance come te
Sicuramente sì se si verifica uno dei seguenti casi:

hai un sito web con un form per il contatto e/o dei cookie
invii newsletter,
custodisci dati sensibili di altri cittadini (es. dati sanitari, finanziari, opinioni politiche, orientamento sessuale).
No, se gli unici dati che possiedi sono indirizzo e numero di partita IVA dei tuoi clienti e fornitori aziende.

Attenzione! Le norme non si riferiscono solo ai dati in formato digitale, ma anche cartaceo.
_____________________________________________________________________________

Se hai un dubbio, occorre verificare con un esperto. Se sei socio ACTA, potrai fare gratuitamente questa verifica.
Come? Rivolgendoti alla società Argo Business Solutions, con cui ACTA ha siglato una convenzione.
_____________________________________________________________________________

2ª tappa: come intervenire perché la tua attività da freelance sia in regola con il GDPR
Come freelance, se non hai dati sensibili, l’adeguamento alle nuove norme è semplificato. Le azioni andranno lungo 3 direzioni.

Consenso informato. È necessario richiedere ai cittadini il consenso al trattamento dei loro dati personali in modo chiaro e trasparente. Dovrai anche predisporre una procedura semplice e intuitiva che permetta ai cittadini di ritirare il consenso.
Proteggere i dati conservati, evitare i rischi di fuga (data breach). È necessario individuare le misure più idonee a proteggere i tuoi dati, ad esempio ricorrendo alla criptazione.
Prepararsi ad avvisare entro 72 ore, in caso di data breach (fuga di dati), i cittadini i cui dati sono stati trafugati, hackerati o criptati, oltre che, parallelamente, il Garante della Privacy.
Se hai dati sensibili, queste stesse azioni potranno essere più complesse e dovrai anche predisporre un registro dei trattamenti in cui tenere traccia dei dati che raccogli, come vengono utilizzati e per quali scopi.

Per essere assistito in queste operazioni puoi usare la convenzione ACTA.

L’assistenza ti servirà a:
Verificare se effettivamente devi intervenire (se ti fermi qui, non dovrai pagare nulla).
Ottenere le informazioni, personalizzate sulla base della tua situazione, per ottemperare alla normativa. Ad esempio, se hai un sito web riceverai la nuova normativa sulla privacy da pubblicare sul sito e su come prepararti ad agire in caso di data breach. Se conservi dati sensibili, a seconda della tipologia di documenti e del loro formato, riceverai istruzioni dettagliate sulla loro gestione e su come predisporre il registro dei trattamenti.
_____________________________________________________________________________________

Il costo del servizio per i soci ACTA freelance è di 80 euro + IVA per le soluzioni più semplici, che possono essere implementate dal freelance seguendo le istruzioni ricevute.

Se invece la soluzione è complessa, prevede ad esempio l’installazione del certificato SSL o un’implementazione di un tool per i cookie, verrà fornito un preventivo ad hoc, che varierà in funzione del costo di acquisto del tool e del numero di ore lavoro necessarie alla sua implementazione.

[Sergio P. Del Bello]

Skille.comuni, 2018

Comuni e privacy: il nuovo Regolamento europeo

Il contributo di Matteo Copia, comandante di polizia locale, sulla nuova disciplina sulla privacy negli Enti locali, chiamati entro il 25 maggio 2018 ad adeguarsi al nuovo Regolamento europeo.
*

[Sergio P. Del Bello]

Cantieri della PAdigitale
04/04/2018, Michele Gorga, avvocato

GDPR, ECCO QUALI SONO I NUOVI DIRITTI DEGLI UTENTI

...
Ad oggi si stima che circa il 60 % dei soggetti obbligati siano ancora inadempienti nelle nomina del RPD (DPO) e che la percentuale sale ulteriormente se si pensa alla riprogettazione della organizzazione interna, alle necessarie modifiche da apportare agli assetti strutturali, di Enti ed imprese. Ciò richiederà la ricognizione e la valutazione delle misure di sicurezza normative, organizzative e tecnologiche delle Pubbliche Amministrazioni e delle Aziende, che ne evidenzieranno il grave ritardo all’adeguamento alle disposizioni del regolamento e certificheranno il ritardo dell’intero paese di agganciarsi alla locomotiva europea, guidata dalla Germania, già molto avanti nel processo di implementazione del RGPD.

Il Regolamento Europeo in materia di protezione dei dati attribuisce, infatti, agli interessati nuovi diritti, nuove facoltà e nuove prerogative.

imago193.JPG (17.38 KiB) Osservato 1370 volte

...
Il primo è il diritto di sapere per quanto tempo il titolare tratterà i dati conferiti.
...
Il secondo è il diritto dell’interessato di sapere da quale fonte hanno origine i dati personali trattati dal titolare, qualora questi li abbia raccolti da un soggetto diverso dall’interessato stesso.
...
Questi nuovi diritti, tra i tanti altri, costituiranno la piattaforma di verifica della capacità, della conoscenza e delle competenze del RPD in ordine alle misure da adottare in conformità con “……le prescrizioni del regolamento” e corrispondenti “……. misure tecniche e organizzative”. Solo all’esito positivo della verifica saremo in presenza di competenze e professionalità volta a rendere efficace la scriminante della responsabilità penale e amministrativa, anche se resterà sempre quella civile che si fonda sulla responsabilità ex art. 2051c.c., del danno cagionato dalle cose in custodia (dati). Quest’ultimi anche se saranno gestiti in conformità alle prescrizioni del regolamento e alle relative misure tecniche ed organizzative potrebbero sempre dare causa a responsabilità, salvo che si dia la prova ( con inversione dell’onere) che il danno è stato prodotto da caso fortuito e sarà questa la cifra finale delle competenze del nominato RPD.

Sui diritti se ne occupa anche Catia Maietta, autore di un approfondimento su Agenda Digitale, 16/05/2018.
Di seguito l’elenco dei 12 diritti oggetto di approfondimento nell’articolo:
● Richiesta del consenso
● Tutele sulla prestazione del consenso
● Divieto di trattare alcune categorie di dati personali
● Diritto di accesso dell’interessato
● Dovere di fornire le informazioni richieste
● Possibilità di proporre reclamo/ricorso
● Diritto di rettifica
● Revoca del consenso
● Diritto all’oblio
● Diritto di limitazione del trattamento
● Diritto alla portabilità dei dati
● Diritto di opporsi al trattamento dei dati.

[Sergio P. Del Bello]

Agenda digitale, 22/03/2018, Alessandro Longo

Gdpr, approvato lo schema di decreto: questi i punti sul tavolo

Approvato in via preliminare lo schema di decreto legislativo per adeguare il quadro normativo nazionale alle disposizioni del regolamento UE 2016/679 GDPR. Ecco perché è un passo importante e quali sono i principali dossier in esame

uone notizie per l’Italia, che si immette sulla via verso un quadro privacy nazionale coerente con le norme europee. Ieri è stato approvato in via preliminare lo schema di decreto legislativo per adeguare il quadro normativo nazionale alle disposizioni del regolamento UE 2016/679 GDPR.

La delega è stata data con legge 25 ottobre 2017 n.163.

A che serve l’adeguamento con il decreto
Nell’attesa del decreto definitivo, comunque già ora si può evidenziare che l’Italia sta facendo i passi giusti. L’adeguamento è necessario per due cose. Primo, per abrogare ufficialmente le norme italiane incompatibili col Regolamento; secondo, per definire le norme italiane in materia che il regolamento consente agli Stati membri di regolare, sempre ovviamente nel rispetto dei principi e delle norme del Regolamento stesso.

Tra queste materie ci sono quelle del Capo IX, relative ai trattamenti di dati nei settori della informazione, salute, lavoro, ricerca scientifica, statistica e storica.

Inoltre in base all’art.8 del GDPR, spetta agli Stati decidere se mantenere o introdurre sanzioni penali rispetto a determinati casi di comportamenti in materia di trattamento dei dati o di rapporti con le Autorità di controllo e fissare l’età (comunque non superiore a 16 anni e non inferiore a tredici) che consente ai minori di accedere a servizi della società dell’informazione senza consenso dei genitori (o di chi esercita la responsabilità parentale).

Importante sarà anche vedere le scelte fatte rispetto a dati genetici, biometrici e relativi alla salute nelle quali l’art. 9 u.c. lascia spazio significativo agli Stati in ordine alla definizione delle condizioni di legittimità dei trattamenti.

Secondo il comunicato stampa del Governo lo schema di decreto approvato ieri prevede anche la abrogazione esplicita del Codice privacy attualmente in vigore. Una scelta di chiarezza che aiuterà gli operatori a evitare i rischi di errori applicativi. In materia di tutela dei dati personali insomma varrà, per la parte di competenza italiana, solo quanto contenuto nel decreto delegato ...
*