Pubblicato il decreto di armonizzazione: quali novità in materia di privacy

Il 4 settembre 2018 è stato pubblicato nella Gazzetta Ufficiale il nuovo Decreto Legislativo (101/2018), in attuazione del Regolamento Europeo sulla Privacy 2016/679 (GDPR), relativo alla protezione, al trattamento e alla libera circolazione dei dati personali delle persone fisiche.

Il decreto armonizza la normativa nazionale al Regolamento Europeo, sostituendo quasi integralmente il Codice Privacy (D.Lgs 196/2003) ed introducendo i nuovi obblighi per le imprese previsti dal GDPR.

Le novità per le imprese

Queste le novità maggiormente rilevanti per le imprese, rispetto a quanto previsto dal vecchio codice della privacy:

• il Garante prevedrà modalità semplificate di adempimento degli obblighi per le piccole e medie imprese;
• nell’ambito dei rapporti di lavoro, il consenso del candidato al trattamento dei dati contenuti nel curriculum non è richiesto (nei limiti delle finalità previste dall’art. 6 paragrafo 1 lett. b del Regolamento europeo). L’informativa, in caso di ricezione di curriculum vitae spontaneamente trasmessi dai candidati, va fornita al momento del primo contatto utile successivo all’invio;
• l’età dei minori, valida per esprimere il consenso relativo all’offerta di servizi della società dell’informazione (iscrizione a social network o servizi di messaggistica), viene fissata a 14 anni. Al di sotto di tale soglia, il consenso va espresso da coloro che esercitano la responsabilità genitoriale;
• i codici deontologici, i provvedimenti e le autorizzazioni generali del Garante resteranno in vigore per un periodo transitorio e saranno oggetto di riesame ai fini della verifica della loro compatibilità con il GDPR, in quanto dovranno essere attualizzati dal Garante con provvedimenti da sottoporre a consultazione pubblica;
• il titolare e il responsabile del trattamento potranno delegare compiti e funzioni a figure intermedie, ossia persone fisiche operanti sotto la loro autorità e responsabilità.

La nuove disposizioni in materia di sanzioni

In riferimento alle sanzioni previste in caso di violazione della normativa sulla Privacy, il legislatore italiano ha ampliato e modificato le sanzioni penali, rispetto al previgente regime sanzionatorio, le quali vanno ad aggiungersi alle severe sanzioni amministrative previste dal Regolamento.

Le principali attività sanzionate penalmente sono:

• trattamento illecito di dati personali;
• acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala;
• comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala;
• false dichiarazioni rese al Garante;
• inosservanza dei provvedimenti del Garante;
• violazione del comma 1 dell'art. 4 Statuto dei Lavoratori (controlli a distanza).

In merito alle sanzioni amministrative, è stato disposto che, per i primi otto mesi dalla data di entrata in vigore del Decreto 101/2018, non ci sarà nessuna moratoria sulle ispezioni, contrariamente a quanto precedentemente paventato. Tuttavia il Garante non irrogherà solo sanzioni, ma tenderà ad avvalersi degli altri poteri a propria disposizione (art. 58 GDPR).

Le ulteriori innovazioni

Il legislatore, nel decreto di armonizzazione, ha operato ulteriori significative modifiche:

• il trattamento di dati genetici, biometrici e relativi alla salute, oggetto di specifica "riserva" della normativa nazionale, sarà subordinato al rispetto delle misure di garanzia che il Garante disporrà con provvedimento adottato con cadenza almeno biennale.Sempre in materia sanitaria è chiarito che non occorre più il consenso per il trattamento dei dati per finalità di diagnosi e cura, anche se occorrerà sempre rispettare le misure di garanzie stabilite dal Garante nel suddetto provvedimento, inoltre sono confermate le modalità semplificate per adempiere l’obbligo di rendere l’informativa al paziente;

• i diritti riconosciuti alle persone decedute possono essere esercitati da chi ha un interesse proprio, o agisce a tutela dell'interessato, in qualità di suo mandatario o per ragioni familiari meritevoli di protezione. L'esercizio dei predetti diritti non è ammesso quando ciò sia vietato per legge, o quando l'interessato lo abbia espressamente vietato con dichiarazione scritta ed inequivoca (limitatamente "all'offerta diretta di servizi della società dell'informazione"). L'eventuale divieto non potrà comunque produrre effetti pregiudizievoli per l'esercizio da parte di terzi dei diritti patrimoniali che derivano dalla morte dell'interessato nonché del diritto di difendere in giudizio i propri interessi.

Non resta dunque che attendere le ulteriori novità che saranno predisposte dal Garante, in primis le semplificazioni per le piccole e medie imprese.

(Avv. Riccardo De Mare)