Deliberazione n. 636 del 29/12/2023

Programmazione dell’attività ispettiva d’iniziativa per gennaio-luglio 2024

Il provvedimento definisce la programmazione dell’attività ispettiva d’iniziativa del Garante per la protezione dei dati personali per il periodo gennaio-luglio 2024. L’intervento individua i principali ambiti di controllo su cui l’Ufficio, anche tramite la Guardia di finanza, concentrerà gli accertamenti in loco e online.

Presupposti normativi e quadro organizzativo

La deliberazione richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018, gli artt. 157 e 158 del Codice e l’art. 58 del GDPR, relativi ai poteri di indagine. Sono richiamati inoltre i regolamenti interni del Garante n. 1/2000, n. 1/2019 e n. 2/2019, il protocollo di intesa con la Guardia di finanza del 30 marzo 2021 e la precedente deliberazione di programmazione n. 339 del 3 agosto 2023.

Criteri della programmazione ispettiva

Il Garante ritiene opportuno ridefinire periodicamente i princìpi e i criteri che guidano l’attività ispettiva d’iniziativa, anche in funzione delle risorse disponibili. L’attività viene intesa come accertamento in loco presso i luoghi in cui si effettuano i trattamenti o presso siti in cui siano possibili rilevazioni utili al controllo, nei confronti di soggetti non necessariamente individuati sulla base di reclami o segnalazioni.

Il provvedimento dà anche rilievo agli accertamenti online, da svolgersi con riferimento ai trattamenti di dati personali effettuati tramite siti Internet da titolari pubblici e privati.

Ambiti oggetto di accertamento

Per il semestre gennaio-luglio 2024, l’attività ispettiva è indirizzata a:

• trattamenti di dati personali svolti presso istituti scolastici attraverso piattaforme di registro elettronico e suite digitali;
• prosecuzione delle attività istruttorie sugli accessi abusivi a banche dati pubbliche, con particolare riferimento ad anagrafe tributaria e banca dati INPS;
• accertamenti verso titolari che trattano dati dei dipendenti, anche a fini valutativi, tramite sistemi informativi e dispositivi telematici installati su veicoli aziendali o presso centri logistici;
• prosecuzione delle ispezioni sui gestori dell’identità digitale SPID e sulla filiera dei soggetti utilizzati per il rilascio di servizi fiduciari, inclusi SPID e firma digitale;
• verifiche sulla corretta implementazione delle Linee guida in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021, anche mediante accertamenti online;
• accertamenti nel settore energetico, con particolare riguardo ad attivazione di contratti non richiesti e valutazione dell’affidabilità della clientela;
• accertamenti su società che gestiscono sistemi di allarme con possibilità di connessione audio/video da remoto;
• prosecuzione degli accertamenti sui trattamenti svolti per finalità statistiche e di ricerca scientifica presso uffici di statistica del SISTAN e IRCCS;
• programmazione del nuovo ciclo di supervisione sui trattamenti di dati personali nel VIS, ai sensi del Regolamento (CE) 767/2008;
• accertamenti su consenso al marketing, profilazione e campagne di telemarketing;
• ulteriori accertamenti su soggetti pubblici e privati, incluse istruttorie relative a reclami e segnalazioni formali già in carico all’Autorità.

Entità dell’attività e obblighi di reporting

La deliberazione prevede che, relativamente alle categorie indicate, vengano effettuati almeno 50 accertamenti ispettivi nel semestre, anche con l’ausilio della Guardia di finanza. Restano salvi ulteriori accertamenti istruttori di natura ispettiva avviati d’ufficio o in relazione a reclami e segnalazioni.

L’Ufficio deve informare mensilmente il Collegio sui soggetti ispezionati appartenenti alle categorie elencate e riferire, alla fine del semestre, sull’andamento complessivo delle attività ispettive e istruttorie svolte ai sensi dell’art. 9, comma 4, lettera e), del regolamento n. 1/2000, come modificato nel 2015.

Esito del provvedimento

Il provvedimento ha natura programmatica e organizzativa: non accerta una specifica violazione né irroga sanzioni, ma pianifica le priorità ispettive dell’Autorità per il semestre considerato.