Deliberazione n. 339 del 03/08/2023

Programmazione dell’attività ispettiva d’iniziativa del Garante per luglio-dicembre 2023

La deliberazione definisce la programmazione dell’attività ispettiva d’iniziativa dell’Ufficio del Garante per la protezione dei dati personali per il semestre luglio-dicembre 2023, anche tramite la Guardia di finanza. Il provvedimento ha natura organizzativa e individua le priorità di controllo, i settori oggetto di verifica e gli obblighi di monitoraggio interno.

Contesto normativo e finalità

Il Garante richiama il Regolamento (UE) 2016/679, il d.lgs. 196/2003 come modificato dal d.lgs. 101/2018, gli artt. 157 e 158 del Codice e l’art. 58 del GDPR, nonché la disciplina organizzativa interna dell’Autorità. Viene inoltre menzionato il protocollo di intesa con la Guardia di finanza del 30 marzo 2021 e la precedente deliberazione n. 23 del 26 gennaio 2023, relativa alla programmazione ispettiva per il primo semestre 2023.

Ragioni della nuova programmazione

L’Autorità ritiene opportuno individuare periodicamente princìpi e criteri che orientino l’attività ispettiva di iniziativa, anche per stabilire le priorità in relazione alle risorse disponibili. La nozione di attività ispettiva di iniziativa viene intesa come accertamento in loco svolto dal personale dell’Ufficio o delegato alla Guardia di finanza nei luoghi dove si effettuano trattamenti di dati, oppure in luoghi nei quali siano necessarie rilevazioni utili al controllo, anche nei confronti di soggetti non individuati sulla base di reclami o segnalazioni. Il Garante dà anche evidenza agli accertamenti online riguardanti trattamenti effettuati tramite siti internet da titolari pubblici e privati.

Ambiti prioritari di accertamento

Per il periodo luglio-dicembre 2023, l’attività ispettiva è indirizzata a:

• accertamenti nel settore della statistica e della ricerca scientifica, con specifico riferimento alle misure di cui all’art. 89 GDPR e alla pseudonimizzazione;
• accertamenti sui trattamenti di dati personali da parte di operatori del settore energetico, con particolare attenzione all’attivazione di contratti non richiesti e alle attività di telemarketing, nel contesto del superamento del c.d. mercato tutelato;
• accertamenti sui trattamenti di dati biometrici mediante riconoscimento facciale, anche nell’ambito del rapporto di lavoro;
• prosecuzione delle ispezioni sui gestori dell’identità digitale SPID e sui soggetti di cui essi si avvalgono per il rilascio di servizi fiduciari, nonché sui fornitori di servizi che utilizzano SPID e CIE nell’ambito di servizi online, anche tramite app;
• prosecuzione delle verifiche sulla corretta implementazione delle Linee guida sui cookie e sugli altri strumenti di tracciamento, anche mediante accertamenti online;
• altri accertamenti nei confronti di soggetti pubblici e privati, incluse le istruttorie su reclami e segnalazioni formali già proposti all’Autorità.

Dimensione dell’attività e controlli interni

La deliberazione stabilisce che l’attività programmata dovrà riguardare almeno 35 accertamenti ispettivi, eseguiti anche tramite la Guardia di finanza. Resta comunque fermo che l’Ufficio potrà svolgere ulteriori attività istruttorie di carattere ispettivo d’ufficio o a seguito di reclami e segnalazioni.

Monitoraggio e relazione al Collegio

L’Ufficio è tenuto a informare mensilmente il Collegio sui soggetti ispezionati appartenenti alle categorie indicate nei punti relativi a statistica/ricerca, energia, biometria e SPID. Inoltre, alla fine del semestre, dovrà riferire sull’andamento complessivo delle attività ispettive e delle attività istruttorie a carattere ispettivo, in base a quanto previsto dall’art. 9, comma 4, lett. e), del regolamento n. 1/2000, come modificato dalla deliberazione n. 374 del 25 giugno 2015.

Esito della deliberazione

Il provvedimento non contiene accertamenti di illecito né sanzioni, ma costituisce un atto di programmazione interna e di indirizzo dell’azione ispettiva dell’Autorità per il secondo semestre 2023.