Codice in materia di protezione dei dati personali

Codice della protezione dei dati personali e adeguamento al GDPR

Il provvedimento adegua l’ordinamento italiano al Regolamento (UE) 2016/679 e disciplina i profili nazionali ancora necessari in materia di protezione dei dati personali. Il trattamento deve svolgersi nel rispetto della dignità umana e dei diritti e delle libertà fondamentali della persona.

Ambito generale e autorità di controllo

Il codice integra il Regolamento e ne completa l’attuazione nell’ordinamento interno. L’autorità di controllo prevista dal GDPR è individuata nel Garante per la protezione dei dati personali.

Base giuridica per i trattamenti svolti per interesse pubblico o pubblici poteri

Per i trattamenti necessari all’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri, la base giuridica deve derivare da una norma di legge, di regolamento o da atti amministrativi generali. Per le pubbliche amministrazioni, incluse autorità indipendenti e taluni soggetti a controllo pubblico, il trattamento è consentito anche quando sia necessario per l’adempimento di compiti di interesse pubblico o per l’esercizio di pubblici poteri attribuiti.

La comunicazione tra titolari è ammessa solo nei casi consentiti dalla base normativa o quando necessaria nei limiti previsti. La diffusione e la comunicazione a soggetti che trattino i dati per altre finalità sono ammesse solo se previste dalla base normativa o necessarie secondo i criteri indicati; in quest’ultimo caso va data notizia al Garante almeno dieci giorni prima.

Ai fini della disciplina, “comunicazione” e “diffusione” sono definite in modo espresso, distinguendo tra conoscenza dei dati da parte di soggetti determinati e conoscenza da parte di soggetti indeterminati.

Regole deontologiche e trattamento dei minori

Il Garante promuove l’adozione di regole deontologiche per i trattamenti fondati sulle basi di liceità del GDPR indicate dal codice, ne verifica la conformità e ne assicura la diffusione. Lo schema è sottoposto a consultazione pubblica per almeno 60 giorni e le regole, una volta approvate, sono pubblicate in Gazzetta Ufficiale e inserite nell’allegato A. Il loro rispetto costituisce condizione essenziale di liceità e correttezza del trattamento.

Per i servizi della società dell’informazione, il minore che abbia compiuto 14 anni può prestare il consenso al trattamento dei propri dati. Se il minore ha meno di 14 anni, il consenso deve essere prestato da chi esercita la responsabilità genitoriale. Le informazioni rese al minore devono essere scritte con linguaggio chiaro, semplice e comprensibile.

Categorie particolari di dati e misure di garanzia

Il trattamento di categorie particolari di dati personali è ammesso quando previsto dal diritto dell’Unione o da legge, regolamento o atto amministrativo generale che specifichi tipi di dati, operazioni, motivo di interesse pubblico rilevante e misure di tutela.

Sono elencate numerose materie nelle quali l’interesse pubblico è considerato rilevante, tra cui accesso agli atti, anagrafi e stato civile, registri pubblici, immigrazione, elettorato, attività fiscali, controlli ispettivi, benefici economici, sanità, istruzione, lavoro, archiviazione e ricerca storica, previdenza e assistenza.

Per i dati genetici, biometrici e relativi alla salute valgono misure di garanzia disposte dal Garante, aggiornate almeno ogni due anni e sottoposte a consultazione pubblica. Tali misure possono riguardare anche cifratura, pseudonimizzazione, minimizzazione, accesso selettivo e modalità di comunicazione delle diagnosi; i dati non possono essere diffusi. È consentito l’uso di dati biometrici per procedure di accesso fisico e logico ai dati, nel rispetto delle garanzie previste.

Dati relativi a condanne penali e reati

Il trattamento dei dati relativi a condanne penali, reati o misure di sicurezza è consentito solo nei casi e con le garanzie previste da una norma di legge o, nei casi previsti, da regolamento. La disciplina contempla specifiche ipotesi, tra cui rapporti di lavoro, mediazione civile e commerciale, verifiche di onorabilità, attività assicurative, difesa in giudizio, accesso ai documenti amministrativi, investigazioni per conto terzi, antimafia, appalti, rating di legalità e antiriciclaggio.

Quando il trattamento avviene sotto il controllo dell’autorità pubblica, si applicano le regole generali previste per i trattamenti di interesse pubblico.

Limitazioni dei diritti dell’interessato

I diritti dell’interessato possono essere esclusi, limitati o ritardati quando il loro esercizio arrechi un pregiudizio effettivo e concreto a interessi specificamente tutelati, tra cui antiriciclaggio, tutela delle vittime di estorsione, commissioni parlamentari d’inchiesta, funzioni di politica monetaria e controllo finanziario, investigazioni difensive, tutela del segnalante e interessi tributari. Nei casi previsti, l’interessato può esercitare i diritti anche tramite il Garante. La comunicazione della limitazione deve essere motivata, salvo che pregiudichi la finalità della misura.

Per i trattamenti per ragioni di giustizia, i diritti e gli obblighi del GDPR sono disciplinati dalle norme di settore e possono essere ritardati, limitati o esclusi per salvaguardare l’indipendenza della magistratura e dei procedimenti giudiziari. Sono indicate come trattamenti “per ragioni di giustizia” quelli correlati alla trattazione giudiziaria, al trattamento giuridico ed economico del personale di magistratura e alle attività ispettive sugli uffici giudiziari.

Dati delle persone decedute

I diritti dell’interessato relativi ai dati di persone decedute possono essere esercitati da chi abbia un interesse proprio, agisca a tutela dell’interessato come mandatario o abbia ragioni familiari meritevoli di protezione. L’esercizio è escluso nei casi previsti dalla legge o se l’interessato lo ha vietato espressamente per i servizi della società dell’informazione. Il divieto può essere revocato o modificato in ogni momento e non può pregiudicare i diritti patrimoniali dei terzi derivanti dalla morte né il diritto di difesa.

Organizzazione interna, responsabilità e notifiche

Il titolare o il responsabile possono attribuire specifici compiti e funzioni a persone fisiche espressamente designate che operano sotto la loro autorità, e devono individuare le modalità più opportune per autorizzare il trattamento.

Per le microimprese con meno di cinque dipendenti è prevista una procedura specifica per la notifica delle violazioni di dati personali, disciplinata dal Garante con strumenti di autovalutazione guidata e canale di assistenza semplificata.

Il responsabile della protezione dei dati deve essere designato anche per i trattamenti effettuati dalle autorità giudiziarie nell’esercizio delle loro funzioni.

Inutilizzabilità dei dati e principi per gli organi costituzionali

I dati personali trattati in violazione della disciplina rilevante non possono essere utilizzati, salvo quanto previsto dalla normativa richiamata.

Le disposizioni sui dati particolari e sui dati relativi a condanne penali valgono, in conformità ai rispettivi ordinamenti, anche per i trattamenti disciplinati dalla Presidenza della Repubblica, dal Senato, dalla Camera e dalla Corte costituzionale.

Pubblicità degli atti giudiziari e tutela dei minori

Le questioni pendenti davanti all’autorità giudiziaria e le decisioni depositate sono rese accessibili anche tramite reti di comunicazione elettronica e siti istituzionali, osservando le cautele previste.

È consentito chiedere, per motivi legittimi e prima della definizione del grado di giudizio, un’annotazione sulla sentenza o sul provvedimento per impedire la pubblicazione delle generalità e di altri dati identificativi. In caso di diffusione devono comunque essere omessi i dati identificativi dei minori e delle parti nei procedimenti in materia di famiglia e stato delle persone, nonché i dati delle persone offese da violenza sessuale nei limiti previsti dal codice penale. Le regole si applicano anche ai lodi arbitrali.

È inoltre previsto il divieto di pubblicazione e divulgazione di notizie o immagini idonee a identificare il minore, anche quando sia coinvolto in procedimenti giudiziari diversi da quelli penali.

Sicurezza nazionale e difesa

Per i trattamenti effettuati dagli organismi informativi e dai soggetti pubblici per finalità di difesa o sicurezza dello Stato si applicano regole speciali e rinvii alla disciplina del decreto legislativo n. 51 del 2018. Le modalità di applicazione sono demandate a regolamenti o decreti del Presidente del Consiglio dei ministri, mentre per le Forze armate sono previste specifiche misure attuative con regolamento del Presidente della Repubblica.

Accesso ai documenti amministrativi e accesso civico

L’accesso ai documenti amministrativi contenenti dati personali resta disciplinato dalla legge n. 241 del 1990 e dalle altre norme di settore, anche per i dati particolari e per i dati relativi a condanne penali. L’accesso civico resta invece regolato dal decreto legislativo n. 33 del 2013.

Regime di obsolescenza normativa

Gran parte degli articoli originari del vecchio Codice privacy risulta espressamente abrogata a seguito dell’adeguamento al GDPR. Restano operative le disposizioni qui riassunte, insieme alle norme speciali ancora vigenti e alle previsioni di coordinamento con il Regolamento europeo.