Le nuove regole in materia di privacy della GDPR e principali novità per le Banche

Le opinioni sono espresse a titolo personale e non coinvolgono l’autorità presso cui lo scrivente lavora

Premessa

II Regolamento generale per la protezione dei dati personali n. 2016/679 (General Data Protection Regulation o, in breve, GDPR) è la normativa di riforma della legislazione europea in materia di protezione dei dati. Pubblicato nella Gazzetta Ufficiale europea il 4 maggio 2016 è entrato in vigore il 24 maggio 2016, ma la sua attuazione è avvenuta a distanza di due anni, quindi dal 25 maggio 2018, e fin dalla sua applicazione ha determinato un cambiamento senz’altro profondo nella modalità di gestione dei dati personali. In quanto Regolamento europeo esso è direttamente applicabile e, quindi, non si prevede una normativa italiana di recepimento quanto, piuttosto, dei chiarimenti in relazione ad alcuni aspetti, ad esempio sui poteri del Garante Nazionale per la protezione dei dati personali (c.d. Garante Privacy). Analizziamo qui di seguito le più importanti novità e gli adempimenti da seguire per l’adeguamento alla nuova normativa. Centrale nella gestione della nuova disciplina è la definizione di dato personale, identificato, in senso ampio, in qualsiasi informazione come ad esempio nome, codice fiscale, immagine, voce, impronta digitale o traffico telefonico concernente una persona fisica identificata o identificabile anche indirettamente[1]. Il Regolamento generale si applica ad ogni trattamento, ovvero, a qualsiasi operazione o insieme di operazioni, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, la diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione che ha ad oggetto dati personali, ed a tutti i titolari (controller) e responsabili (processor) del trattamento stabiliti nel territorio dell’Unione, ma anche in generale a quelli che, offrendo beni e servizi a persone residenti nell’Unione, trattano dati di residenti nell’Unione europea (art. 3 del Regolamento). In tal modo la sua applicazione non è limitata alle sole aziende che si trovano in Europa, ma tutela tutti gli interessati che risiedono nel territorio dell’Unione, indipendentemente da dove si attua il trattamento dei loro dati[2]. La persona fisica identificata o identificabile in modo diretto o indiretto cui si riferiscono i dati personali oggetto di trattamento viene definito Interessato[3]. Categorie particolari di dati personali sono i dati sensibili, i dati sanitari, i dati biometrici, i dati genetici ed i dati personali che rivelano l’esistenza di reati o di condanne penali o connesse misure di sicurezza quali, ad esempio i provvedimenti penali di condanna definitivi, la liberazione condizionale, il divieto od obbligo di soggiorno, le misure alternative alla detenzione[4]. Rilevano ai fini della normativa in esame le operazioni di trattamento dei dati, ovvero, le operazioni di raccolta o acquisizione, registrazione, organizzazione, strutturazione, conservazione, consultazione e visualizzazione, ma anche di elaborazione, selezione, estrazione, nonché utilizzo come la comunicazione (o cessione), il raffronto, l’interconnessione, il blocco e/o la diffusione. Hanno significato per la disciplina in esame, altresì, le operazioni di cancellazione, distruzione ed anonimizzazione (ovvero, il trattamento che ha lo scopo di impedire l’identificazione dell’interessato)[5].

A ben vedere – come rilevano i lavori preparatori ed i Considerando – l’intervento attuato con la normativa GDPR in materia di tutela dei dati personali, qualificati dalla stessa normativa come diritti fondamentali dell’uomo[6], si inserisce all’interno di una riforma assai più ampia attraverso la quale si persegue l’obiettivo di armonizzare le normative dei vari Stati Membri, garantendo una disciplina uniforme e omogenea in materia di tutela della Privacy, di rafforzare la protezione dei dati personali all’interno dell’Unione Europea, introducendo nuovi obblighi di trasparenza in capo ai Titolari del Trattamento e, di sviluppare il mercato unico digitale attraverso la creazione e la promozione di nuovi servizi, applicazioni, piattaforme e software. In ultima istanza, nelle intenzioni del legislatore europeo, come meglio vedremo di seguito, il regolamento costituisce con la direttiva (UE) 2016/680, lo strumento che consente di rimuovere gli ostacoli alla libera circolazione dei dati all’interno dell’Unione Europea, assicurare un livello omogeneo ed elevato di protezione delle persone fisiche in tutti gli Stati Membri e assicurare allo stesso tempo maggiori tutele, diritti e poteri di controllo ai Cittadini all’interno dell’Unione. [7]

1. Le fonti e le principali novità del GDPR

Il decreto legislativo 30 giugno 2003, n. 196, recante il Codice in materia di protezione dei dati personali (c.d. “Codice della Privacy”), attuativo della Direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, costituisce il principale corpus normativo di riferimento con riferimento ai diritti e delle libertà fondamentali dei cittadini in caso di trattamento dei dati personali da parte di soggetti pubblici e privati[8]. Il 24 maggio 2016, come premesso, è entrato ufficialmente in vigore il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, che abroga la citata direttiva 95/46/CE, che insieme alla Direttiva 2016/680[9] è parte del “Pacchetto protezione dati” adottato dal Parlamento europeo e dal Consiglio il 27 aprile 2016. In sintesi si possono individuare tre linee direttive: sanzioni ingenti e penalizzanti per le violazioni delle prescrizioni in materia di protezione dei dati e privacy; la garanzia agli operatori economici di una maggiore certezza del diritto e trasparenza; l’offerta agli interessati di nuovi diritti azionabili. Il GDPR ha previsto due anni per garantire l’allineamento fra la normativa nazionale e comunitaria ed adeguare i trattamenti già in corso ai nuovi principi e requisiti introdotti. Con la legge 25 ottobre 2017, n. 163 (Delegazione Europea 2017/2017) si sono dettati i criteri direttivi per l’attuazione del Regolamento (art. 13) e per il recepimento della sopracitata direttiva (art. 11) nell’ordinamento nazionale. Rispetto alla Direttiva 45/96/CE e relativo Codice della Privacy i principali commentatori hanno rappresentato che il Regolamento “GDPR” supera nella sostanza l’approccio essenzialmente formalistico che ha caratterizzato la Direttiva abrogata (appunto la 45/96/CE), per il quale i titolari e responsabili sono chiamati ad adempiere ad obblighi e formalità ed adottare le misure minime di sicurezza previste per esimersi da responsabilità, ma si pretende che titolari e responsabili, invece, adottino soluzioni adeguate al proprio caso concreto ed allo specifico livello di rischio dei trattamenti svolti[10]. Le principali novità prevedono, dunque, oltre ad un rafforzamento dei diritti degli interessati, con un più facile accesso alle informazioni riguardanti i loro dati e le finalità e le modalità di trattamento degli stessi, l’introduzione del diritto alla cancellazione ed alla portabilità dei dati[11], che consentirà di trasferire i dati personali tra i vari servizi online, ed il rafforzamento del diritto al reclamo. Sempre con riferimento ai diritti degli utenti, il Regolamento europeo identifica per i minori la necessità di una distinta protezione relativamente ai loro dati personali, in quanto meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia interessate nonché dei loro diritti in relazione al trattamento dei dati personali, specie nell’ambiente digitale come i social network[12].

In particolare, come cennato, la novità rafforzativa dei diritti individuali è costituita dall’istituzionalizzazione del diritto alla cancellazione dei dati, detto anche (impropriamente) diritto all’oblio[13], che consentirà di chiedere ed ottenere la rimozione dei dati quando viene meno l’interesse pubblico alla notizia, l’obbligo di notifica da parte delle aziende delle gravi violazione dei dati dei cittadini, nonché la previsione che le aziende dovranno rispondere alla sola autorità di vigilanza dello Stato nel quale hanno la sede principale (principio del “one stop shop” o sportello unico).

In particolare, l’art.17 del GDPR[14], che si intitola “Diritto alla cancellazione”, pone il dovere specifico a carico del titolare che riceva una richiesta di cancellazione quando i dati che ne sono oggetto siano stati “resi pubblici” dal titolare stesso, di provvedere in tal senso l’art. 17, paragrafo 2, impone al titolare non solo di cancellare i dati (sempre ovviamente che lo stesso ritenga la richiesta legittima) ma anche, “tenuto conto della tecnologia disponibile e dei costi di attuazione”, di adottare “misure ragionevoli, anche tecniche” per informare della richiesta che gli è pervenuta anche gli altri eventuali titolari che stanno utilizzando i dati a lui resi pubblici[15]. In tal senso, dunque, la novità che consiste nel dovere del titolare, che abbia reso pubblici i dati, di diventare un “tramite obbligato” anche verso gli altri titolari che, a sua conoscenza, stiano trattando i dati oggetto della istanza di cancellazione, allorquando, naturalmente l’istante chieda anche la delinkizzazione o la cessazione di ogni copia o diffusione. Si consideri, su quest’ultimo aspetto, in particolare, l’articolo 77 del Regolamento, titolato, “Diritto di proporre reclamo all’autorità di controllo” che prevede che “…Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione. 2. L’autorità di controllo a cui è stato proposto il reclamo informa il reclamante dello stato o dell’esito del reclamo, compresa la possibilità di un ricorso giurisdizionale ai sensi dell’articolo 78”. Il Considerando (141), a tale norma collegato, chiarisce “… Ciascun interessato dovrebbe avere il diritto di proporre reclamo a un’unica autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, e il diritto a un ricorso giurisdizionale effettivo a norma dell’articolo 47 della Carta qualora ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento o se l’autorità di controllo non dà seguito a un reclamo, lo respinge in tutto o in parte o lo archivia o non agisce quando è necessario intervenire per proteggere i diritti dell’interessato. Successivamente al reclamo si dovrebbe condurre un’indagine, soggetta a controllo giurisdizionale, nella misura in cui ciò sia opportuno nel caso specifico. È opportuno che l’autorità di controllo informi gli interessati dello stato e dell’esito del reclamo entro un termine ragionevole. Se il caso richiede un’ulteriore indagine o il coordinamento con un’altra autorità di controllo, l’interessato dovrebbe ricevere informazioni interlocutorie. Per agevolare la proposizione di reclami, ogni autorità di controllo dovrebbe adottare misure quali la messa a disposizione di un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere altri mezzi di comunicazione”.

Altre principali novità riguardano:

– la ridefinizione dei ruoli di Titolare e del Co-titolare e nella istituzione della figura del Responsabile Data Protection Officer (DPO) e dell’onere del Titolare e del Responsabile di ridisegnare ed a ripensare le proprie policy in materia di “data protection” in base allo specifico livello di rischio, ispirate a principi di rendicontazione ed accountability[16], anche con riferimento agli obblighi di segnalazione all’autorità di controllo dei casi di avvenuta violazione di dati personali, ovvero, in definitiva di adottare politiche di Privacy by design eby default[17], Privacy Impact Assessment (PIA), Procedure di data breach[18] e Registro delle attività di trattamento[19].

– l’obbligo per il Titolare e per il Responsabile del trattamento di designare un “Responsabile della protezione dati” (“RPD”), quando il trattamento è effettuato da un’autorità pubblica, o il trattamento abbia ad oggetto dati sensibili o giudiziari (cfr. articolo 37 del Regolamento) e nell’obbligo, per il titolare del trattamento, di effettuare, in presenza di determinati casi, di effettuare una “Valutazione di impatto” sulla protezione dei dati[20].

– il concetto di “legittimo interesse” del titolare quale base giuridica su cui valutare la liceità delle operazioni di trattamento di dati personali, e che consente di considerare legittimo il trattamento dei dati, oltre che nelle ipotesi già previste dal Codice per la protezione dei dati personali (d.l.vo n. 196/2003), anche qualora lo stesso sia effettuato per perseguire uno scopo legittimo del titolare sempre a condizione, tuttavia, che non siano prevalenti su tale scopo gli interessi o i diritti e le libertà fondamentali dell’interessato (art. 6, 1° comma, lett. f). In definitiva, il titolare che abbia un legittimo interesse può procedere al trattamento anche in assenza del consenso da parte dell’interessato, di un rapporto contrattuale (o di misure precontrattuali), di obblighi legali, di esigenze di salvaguardia di interessi vitali dell’interessato o di altra persona fisica, di esercizio di poteri pubblici[21]. Si tratta di un concetto nuovo per il nostro ordinamento che consente di considerare legittimo il trattamento dei dati oltre che nelle ipotesi già previste dal Codice per la protezione dei dati personali (d.l.vo n. 196/2003) anche qualora lo stesso sia effettuato per perseguire uno scopo legittimo del titolare a condizione che non siano prevalenti su tale scopo gli interessi o i diritti e le libertà fondamentali dell’interessato (art. 6, 1° comma, lett. f).

Più nel dettaglio, la valutazione d’impatto del trattamento (D.P.I.A., cioè del Data Protection Impact Assessment[22]) è un onere posto direttamente a carico del titolare del trattamento, col quale si assicura trasparenza e protezione nelle operazioni di trattamento dei dati personali, imponendo al titolare l’onere di una valutazione preventiva delle conseguenze del trattamento dei dati sulle libertà ed i diritti degli interessati. Il responsabile del trattamento deve assistere il titolare nella conduzione della DPIA fornendo ogni informazione necessaria[23]. Conformemente alla nuova disciplina la valutazione d’impatto deve contenere: (i) una descrizione dei trattamenti previsti e delle finalità del trattamento[24]; (ii) una valutazione della necessità e proporzionalità dei trattamenti in relazione alle finalità; (iii) una valutazione per i rischi per i diritti e le libertà degli interessati e le misure previste per affrontare i rischi. In ogni caso il titolare dovrà giustificare le sue valutazione e rendicontarle nel registro dei trattamenti. Il titolare deve consultarsi col DPO (art. 35) quando svolge la valutazione di impatto, il quale DPO ha il compito di fornire, se richiesto, un parere in merito alla valutazione di impatto e sorvegliarne lo svolgimento. La norma prevede che, nel caso in cui il titolare non dovesse trovare misure idonee a eliminare o ridurre il rischio, il DPO dovrà motivare e documentare il suo dissenso e se il dissenso non si risolve occorrerà consultare l’Autorità di controllo, che interviene solo ex post, sulle valutazioni del titolare, indicando le misure ulteriori eventualmente da implementare, fino ad eventualmente ammonire il titolare o vietare il trattamento[25].

2. Approfondimento: titolare, co-titolare e DPO

Circa la figura del titolare, va evidenziato che esso è, nella normativa in esame, individuato nella persona fisica o giuridica, sia essa autorità pubblica, servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità ed i mezzi del trattamento di dati personali[26]; più esattamente, il titolare del trattamento (o anche data controller) è colui che “da solo o insieme ad altri, determina le finalità e gli strumenti del trattamento di dati personali” (direttiva 95/46, art. 2 lett. d) e decide quali categorie di dati personali devono essere registrate o, anche, è “la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento dei dati personali ed agli strumenti utilizzati, ivi compreso il profilo della sicurezza” (Codice in materia di protezione dei dati personali, art. 4). In sostanza, come si ricava dalle disposizioni ricordate, è colui che tratta i dati senza ricevere istruzioni da altri, ovvero il soggetto che decide “perché” e “come” devono essere trattati i dati. Invero, è stato rilevato come l’introduzione del nuovo regolamento generale ha creato qualche problema nella traduzione dei termini, in quanto il termine data controller va tradotto, come stabilito dal Garante italiano, con titolare del trattamento, cioè colui il quale è responsabile per il trattamento medesimo. Questo ha creato qualche confusione col responsabile del trattamento che, invece, più correttamente è la traduzione di data processor. In definitiva, il titolare del trattamento non è, quindi, chi gestisce i dati, ma chi decide il motivo e le modalità del trattamento, ed è responsabile giuridicamente dell’ottemperanza degli obblighi previsti dalla normativa, sia nazionale che internazionale, in materia di protezione dei dati personali, compreso l’obbligo di notifica al Garante nei casi previsti. E’ pacifico che il titolare è sempre vincolato al dovere di riservatezza dei dati, inteso come dovere di non usare, comunicare o diffondere i dati al di fuori del trattamento. Quindi egli deve garantire che i dati non siano persi, alterati, distrutti o comunque trattati illecitamente. In tale prospettiva spetta a lui stabilire le misure adeguate di sicurezza.

A tale figura si affiancano il co-titolare, ovvero, quando il trattamento dei dati viene determinano da altro soggetto (appunto il co-titolare o jointes controllers) congiuntamente per le finalità ed i mezzi del trattamento ed il personale del titolare che effettua le operazioni di trattamento dei dati o parte del trattamento per conto di un titolare[27]. Il Data Protection Officer (DPO) o anche Responsabile per la Protezione dei Dati (RPD) è il soggetto che ha una funzione di informazione, consulenza e controllo della gestione del trattamento di dati e che può essere un soggetto interno all’organizzazione o un consulente esterno[28]. Per tale nuova figura il Regolamento europeo richiede che essa venga individuata in funzione delle qualità professionali e della preparazione specialistica della normativa e della pratica in materia di protezione dati (ex art. 37 comma 5 e 6)[29]. La funzione di RPD può essere attribuita ad un soggetto interno, ovvero, esterno alla società ed in tal caso esercitata in base ad un contratto stipulato con una persona fisica o giuridica esterna all’organismo titolare (ovvero, responsabile) del trattamento[30]. Il RPD è coinvolto, con funzioni consultive, di sorveglianza e monitoraggio, in tutte le questioni interne che riguardano la protezione dei dati ed è tenuto a stringenti obblighi di riservatezza. In merito, ai fini della designazione rilevano le “Linee Guida sui responsabili della protezione dei dati” (in breve, Linee Guida), pubblicate sul sito del Garante [31].

Ai sensi dell’art. 38, par. 3, del Regolamento europeo, il RPD “riferisce direttamente al vertice gerarchico del titolare del trattamento o del responsabile del trattamento” e, in effetti, tale rapporto garantisce che il vertice amministrativo sia a conoscenza delle indicazioni e delle raccomandazioni fornite dal RPD nel quadro della sue funzioni di informazione e consulenza a favore del titolare o del responsabile. Un esempio di tale rapporto diretto consiste nella redazione di una relazione annuale delle attività svolte dal RPD da sottoporre al vertice gerarchico. Tuttavia, il fatto di riferire non prevede alcun vincolo di subordinazione. In effetti, il RPD, nell’esecuzione dei compiti spettanti ai sensi dell’articolo 39 del Regolamento, non deve ricevere istruzioni sull’approccio da seguire, anche nel mero “caso specifico” che si dovesse presentare, né ricevere istruzioni sull’interpretazione da dare ad una specifica questione attinente alla normativa in materia di protezione dei dati. Tuttavia, l’autonomia del RPD non significa che quest’ultimo disponga di un margine decisionale superiore al perimetro dei compiti fissati nel medesimo articolo 39 del Regolamento[32]. Il titolare o il responsabile, infatti, mantenere la piena responsabilità dell’osservanza della normativa in materia di protezione dei dati.

L’assenza di conflitti di interessi è strettamente connessa agli obblighi d’indipendenza, che non confligge neanche con l’eventuale svolgimento di altre diverse funzioni nella stessa azienda, diverse funzioni che sono tuttavia sottoposte al vincolo che, l’affidamento di tali ulteriori compiti e funzioni, non diano adito a conflitti di interessi; ciò significa, in particolare, che un RPD non può rivestire, all’interno dell’organizzazione del titolare o del responsabile, un ruolo che comporti la definizione delle finalità o modalità del trattamento di dati personali. Si tratta dunque di un elemento da tenere in considerazione caso per caso guardando alla specifica struttura organizzativa del singolo titolare o responsabile. Peraltro, secondo quanto previsto dalle citate Linee Guida, possono sussistere situazioni di conflitto all’interno dell’organizzazione del titolare o del responsabile riguardo a ruoli manageriali di vertice (amministratore delegato, responsabile operativo, responsabile finanziario, responsabile sanitario, direzione marketing, direzione risorse umane, responsabile IT), ma anche rispetto a posizioni gerarchicamente inferiori, se queste ultime comportano la determinazione di finalità o mezzi del trattamento.

L’articolo 38, secondo paragrafo, del Regolamento, obbliga il titolare o il responsabile a sostenere il RPD “fornendogli le risorse necessarie per assolvere tali compiti e accedere ai dati personali e ai trattamenti e per mantenere la propria conoscenza specialistica”. Ciò secondo le “Linee Guida” si traduce in un’adeguata disponibilità di tempo (se il RPD è adibito ad altre mansioni), sia di risorse finanziarie che di infrastrutture (sede, attrezzature, strumentazione) e, ove opportuno, di personale.

Il DPD ed è obbligatorio in alcuni specifici casi, come quando: il titolare è un’autorità o un organismo pubblico (salvo il caso di autorità giurisdizionali), se le attività principali del titolare o del responsabile consistono in trattamenti che, per loro natura, ambito di applicazione e finalità, richiedono un monitoraggio regolare e sistematico dei soggetti interessati su larga scala; oppure, se le attività principali del titolare o del responsabile comprendono il trattamento, su larga scala, di dati particolari e di dati relativi a condanne penali e a reati. Al DPD compete l’istituzione del Registro delle attività di trattamento (l’articolo 30 del Regolamento)[33], della cui tenuta egli stesso è responsabile. Per avviare il registro è essenziale avviare la ricognizione dei trattamenti svolti e delle loro principali caratteristiche, ovvero, le finalità del trattamento, la descrizione delle categorie di dati e interessati, le categorie di destinatari cui è prevista la comunicazione, le misure di sicurezza adottate, da adottare e suggerite, i tempi di conservazione, ed ogni altra informazione che il titolare ritenga opportuna al fine di documentare le attività di trattamento svolte[34].

3. La notifica delle violazioni dei dati personali

Un’ulteriore novità introdotta dal nuovo Regolamento UE sulla Protezione dei dati (GDPR) nella gestione del fenomeno del data breach. Esso si sostanzia nelle ipotesi di incidenti di sicurezza in cui dati sensibili, protetti o riservati vengono consultati, copiati, trasmessi, rubati o utilizzati da un soggetto non autorizzato e si realizza con una divulgazione di dati riservati o confidenziali all’interno di un ambiente privo di misure di sicurezze (da esempio, su web) in maniera involontaria o volontaria. In pratica, tale divulgazione può avvenire in seguito ad una perdita accidentale come, ad esempio, lo smarrimento di una chiavetta USB contenente dati riservati, un furto di un notebook contenente dati confidenziali, o addirittura quando una persona interna (all’azienda o alla P.A.) che avendo autorizzazione ad accedere ai dati ne produce una copia distribuita in ambiente pubblico, ovvero, da accesso abusivo, che si realizza da un accesso non autorizzato ai sistemi informatici con successiva divulgazione delle informazioni acquisite. Tale evento è previsto all’art. 4, c. 12 del Regolamento europeo, che definisce il data breach “… la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati” e sancisce l’obbligo, con modalità e tempistiche differenti a seconda dei settori d’attività, di comunicare le citate eventuali violazioni di dati personali al Garante ed, in alcuni casi, anche ai soggetti interessati[35]. L’art. 33 del GDPR dispone, infatti, che in caso di violazione dei dati personali, il titolare del trattamento notifichi la violazione all’autorità di controllo competente ai sensi dell’articolo 55 del Regolamento europeo senza ingiustificato ritardo, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche. Qualora non sia effettuata entro 72 ore, la notifica all’autorità di controllo è corredata di una giustificazione motivata[36]. Ai sensi della norma richiamata, tale notifica deve come minimo:” … a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione; b) comunicare il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso cui ottenere più informazioni; c) descrivere le probabili conseguenze della violazione dei dati personali; d) descrivere le misure adottate o di cui si propone l’adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi”.

L’art. 34 prevede inoltre, la comunicazione di una violazione dei dati personali all’interessato, quando la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, senza ingiustificato ritardo. La predetta comunicazione deve descrive “con un linguaggio semplice e chiaro la natura della violazione dei dati personali e contiene almeno le informazioni e le raccomandazioni di cui all’art. 33 paragrafo 3, lettere b), c) e d)”. Nel caso in cui il titolare del trattamento non abbia ancora comunicato all’interessato la violazione dei dati personali, l’autorità Garante può richiedere, dopo aver valutato la probabilità che la violazione dei dati personali presenti un rischio elevato, che vi provveda o può decidere che non ve ne sia bisogno in quanto una delle condizioni richieste dalla normativa sia da ritenere soddisfatta. Il Regolamento europeo si premura anche di stabilire le possibili ipotesi di esenzione dall’onere di comunicazione. Infatti, detta comunicazione non è dovuta quando: “a) il titolare del trattamento ha messo in atto le misure tecniche e organizzative adeguate di protezione e tali misure erano state applicate ai dati personali oggetto della violazione, in particolare quelle destinate a rendere i dati personali incomprensibili a chiunque non sia autorizzato ad accedervi, quali la cifratura; b) il titolare del trattamento ha successivamente adottato misure atte a scongiurare il sopraggiungere di un rischio elevato per i diritti e le libertà degli interessati di cui al paragrafo 1; c) detta comunicazione richiederebbe sforzi sproporzionati. In tal caso, si procede invece a una comunicazione pubblica o a una misura simile, tramite la quale gli interessati sono informati con analoga efficacia”.

Infine va rilevato che il titolare del trattamento ha l’onere di documentare qualsiasi violazione dei dati personali, incluse le circostanze in cui si è verificata, le sue conseguenze ed i provvedimenti adottati per porvi rimedio e che la documentazione in discorso deve, oltre ad essere a disposizione, consentire all’autorità di controllo di verificare il rispetto dell’art. 33 (del Regolamento).

Va osservato, peraltro, che il Regolamento disegna un quadro normativo di principio che lascia spazio a norme di dettaglio ed a semplificazioni differenziate per settore e attività. In particolare, l’articolo 40 GDPR favorisce l’elaborazione di codici di condotta destinati a contribuire alla corretta applicazione del Regolamento. Prevede, infatti, la citata norma “Gli Stati membri, le autorità di controllo, il comitato e la Commissione incoraggiano l’elaborazione di codici di condotta destinati a contribuire alla corretta applicazione del presente regolamento, in funzione delle specificità dei vari settori di trattamento e delle esigenze specifiche delle micro, piccole e medie imprese”. I soggetti deputati sono le associazioni e gli altri organismi rappresentanti le categorie di titolari del trattamento o responsabili del trattamento che, alla bisogna, possono “… elaborare i codici di condotta, modificarli o prorogarli, allo scopo di precisare l’applicazione del presente regolamento”. In particolare, ai sensi del citato articolo 40, comma 2, le materie oggetto di elaborazione di codici di condotta, possono riguardare il “… trattamento corretto e trasparente dei dati, gli legittimi interessi perseguiti dal responsabile del trattamento in contesti specifici, la raccolta dei dati personali, la pseudonimizzazione dei dati personali, l’informazione fornita al pubblico e agli interessati, l’esercizio dei diritti degli interessati, l’informazione fornita e la protezione del minore e le modalità con cui è ottenuto il consenso dei titolari della responsabilità genitoriale sul minore, le misure e le procedure di cui agli articoli 24 e 25 e le misure volte a garantire la sicurezza del trattamento di cui all’articolo 32[37], la notifica di una violazione dei dati personali alle autorità di controllo e la comunicazione di tali violazioni dei dati personali all’interessato, il trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, o le procedure stragiudiziali e di altro tipo per comporre le controversie tra titolari del trattamento e interessati in materia di trattamento, fatti salvi i diritti degli interessati ai sensi degli articoli 77 e 79”.

4. Principali riflessi nella disciplina per banche e intermediari

La protezione dei dati personali è un tema di cruciale importanza per gli istituti bancari atteso che assicurare la riservatezza e la sicurezza dei dati bancari, inclusi i dati personali, oltre ad evitare di incorrere nelle sanzioni previste dalla passata e dalla nuova disciplina, è certamente elemento di capacità concorrenziale. La questione relativa alla circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie già affrontata con provvedimenti del Garante n. 192/2011 e n. 357/2013[38], dovrà essere aggiornata con le modifiche previste nel Regolamento. In merito, di prezioso aiuto è la su richiamata “Guida all’applicazione del Regolamento UE 2016/679 in materia di protezione dei dati personali”. Il Garante individua sei questioni principali, specificandone gli elementi di novità e di continuità rispetto agli elementi del Codice Privacy ed offrendo consigli pratici sui possibili approcci da adottare in vista della piena applicazione del GDPR. Al fine di chiarire alcune delle ambiguità contenute nel Regolamento europeo, un ulteriore supporto certamente verrà dal Gruppo dei Garanti Europei[39], che già si è attivato per realizzare delle linee guida all’applicazione pratica del nuovo dettato normativo[40].

L’analisi condotta nei precedenti paragrafi ha messo in evidenzia come, rispetto all’attuale disciplina di riferimento, il Regolamento si incardina sugli obblighi e sulla responsabilizzazione del titolare (e del co-titolare) e del responsabile del trattamento[41]. Tale principio di accountability, come già più sopra rilevato, si traduce nell’adozione di misure tecniche e di modelli organizzativi atti a garantire che la gestione e la conservazione dei dati avvenga in maniera conforme ai principi di protezione dei dati personali. In adempimento, dunque, il titolare del trattamento sarà tenuto a svolgere un’analisi preventiva dell’impatto del trattamento (Data Privacy Impact Assessment) che consenta d’individuare ed applicare, sin dalla progettazione del servizio o prodotto, i correttivi opportuni per la prevenzione del rischio[42]. Quanto alle misure di sicurezza, il GDPR richiede che le stesse siano in grado di garantire un livello di sicurezza “adeguato al rischio”, offrendo una lista aperta di misure applicabili. Gli istituti bancari, nell’implementare il sistema, non potranno non tener conto sia delle singolarità previste dalle varie disposizioni di vigilanza della Banca d’Italia, che delle disposizioni contenute nelle prescrizioni in materia di tracciamento degli accessi ai dati bancari dei clienti, tempi di conservazione dei relativi file di log e implementazione di alert di rilevazione di intrusioni o accessi anomali ai dati bancari. Al Data Protection Officer, dunque, è demandato il compito di valutare, organizzare e governare la gestione del trattamento dei dati nel rispetto della nuova normativa. Più nello specifico, circa il trattamento di dati personali in rispetto alla normativa precedente, il GDPR non richiede né la forma scritta né la documentazione per iscritto del consenso al trattamento, ma prevede che il titolare del trattamento sia “in grado di dimostrare che l’interessato ha acconsentito a tale trattamento[43]. Sarà, dunque, necessario – in relazione ad uno specifico trattamento – tenere idonea traccia del consenso accordato. Quanto al legittimo interesse, modalità in un certo senso alternativa al consenso per il trattamento dei dati, la novità del GDPR consiste di rimuovere il limite ai casi indicati dal Garante[44], con il che, tuttavia, resta rimessa al titolare del trattamento la valutazione circa la prevalenza del legittimo interesse del titolare (o del terzo rispetto) ai diritti ed alle libertà dell’interessato.

I contenuti dell’informativa da fornire al trattato elencati nel GDPR sono più estesi rispetto al Codice Privacy[45] e vanno forniti per iscritto; tuttavia, per i servizi resi tramite sito web, l’informativa può essere anche provvista in formato elettronico, anche con “icone”, che richiamino, tuttavia, per esteso gli elementi informativi necessari. Circa, inoltre, il diritto dell’interessato di ottenere la cancellazione dei dati personali senza ingiustificato ritardo, si tratterà certamente d’implementare quelle possibili soluzioni tecniche che siano in grado di assicurare la cancellazione automatica dei dati e, si badi bene, non solo sul singolo sistema aziendale tramite il quale i dati sono stati raccolti, ma anche su tutti gli altri sistemi all’interno dei quali tali dati sono eventualmente transitati. L’anzidetta innovazione si accompagna al diritto alla portabilità; in effetti, l’onere di dar corso alle richieste di cancellazione, come a quelle di portabilità, impone sia l’adeguamento delle politiche interne quanto la mappatura dei dati e dei flussi di dati trattati da parte del titolare del trattamento, in modo tale che si rispetti sia la norma che la volontà dell’interessato richiedente, ma anche che sia garantito una maggior controllo dei dati di modo da limitare o evitare la divulgazione di notizie ulteriori, come informazioni confidenziali o segreti industriali, ad altri titolari eventualmente concorrenti. Peraltro, nel caso in cui la banca elabori essa stessa i dati dei clienti, cioè, risulti unico titolare del trattamento, si dovrà procedere a nominare formalmente il responsabile del trattamento con specifica indicazione della natura, durata e finalità del trattamento o dei trattamenti assegnati, nonché delle categorie di dati oggetto di trattamento, delle misure tecniche e organizzative adeguate a consentire il rispetto delle istruzioni impartite dal titolare e, in via generale, delle disposizioni contenute nel regolamento, anche ai fini dell’adempimento degli obblighi in caso di data breach e della cancellazione dei dati al termine della fornitura dei servizi. Per altro verso, qualora la banca sia co-titolare del trattamento dei dati assieme alla società di gestione dei sistemi informativi, dovrà essere definito specificamente il rispettivo ambito di responsabilità ed i rispettivi compiti con riferimento all’esercizio dei diritti degli interessati, fatta salva, naturalmente, la responsabilità solidale dei contitolari nei confronti degli interessati, e ciò indipendentemente da tale ripartizione di compiti e obblighi.

Si segnala che il GDPR ha confermato l’approccio attualmente vigente in materia di flussi di dati al di fuori dell’Unione europea, prevedendo, in linea di principio, che tali flussi sono vietati, a meno di specifiche garanzie, quali ad esempio una decisione di adeguatezza del Paese terzo coinvolto riconosciuta tramite decisione della Commissione europea, ovvero, l’esistenza di garanzie adeguate di natura contrattuale o pattizia. Su punto, l’allineamento fra la normativa nazionale e le disposizioni del Regolamento richiederà evidentemente un grande sforzo, sia per le banche italiane che per quelle europee. In effetti, ed in particolare, come hanno già evidenziato attenti commentatori[46], il venir meno del requisito dell’”autorizzazione nazionale”, nel senso che il trasferimento verso un Paese terzo “adeguato” in base alla decisione assunta dalla Commissione europea, ovvero, a delle clausole contrattuali modello o di norme vincolanti d’impresa potrà avere inizio già a partire dall’entrata in vigore del Regolamento e senza attendere l’autorizzazione Garante[47].

Infine, a parere di chi scrive, novità degna di segnalazione è la possibilità per i gruppi bancari di individuazione di un’unica autorità di controllo di rifermento a livello comunitario, che funge da “sportello unico” per i trattamenti transnazionali, laddove, il titolare o il responsabile tratti dati personali in più stabilimenti nell’UE offra prodotti o servizi in più Paesi Ue[48].

5. Regime sanzionatorio

Il mancato o ritardato adempimento della comunicazione espone, naturalmente, alla possibilità di sanzioni amministrative.

Nel caso di trattamento in violazione delle norme del regolamento europeo, il titolare risponde per il danno cagionato all’interessato, secondo quanto previsto dall’articolo 82 e dal Considerando (146). Il titolare risponde in caso di violazione delle disposizioni del GDPR, ma anche delle norme attuative, degli atti delegati, delle norme esecutive e di tutte le altre disposizione degli Stati membri. Se più titolari o responsabili sono coinvolti nello stesso trattamento e sono responsabili del danno causato, ne rispondono in solido per l’intero danno, al fine di garantire l’intero risarcimento. Ovviamente chi paga l’intera somma avrà diritto di regresso nei confronti degli altri responsabili per la quota. Il titolare ed il responsabile saranno esonerati da responsabilità se dimostrano che l’evento dannoso non è imputabile alla loro condotta, o se dimostrano di aver adottato tutte le misure idonee per evitare il danno stesso. La previsione di un apposito regime sanzionatorio per le violazioni delle disposizioni del Regolamento che recano obblighi in capo al titolare del trattamento ed al responsabile del trattamento sono previste all’art. 83, par. 4 e 5, del Regolamento. La violazione prevede regime che immagina due livelli di infrazione, che considerano come sanzioni multe fino a 20 milioni di Euro ( o al 4% fatturato di gruppo) per il primo livello di infrazioni e fino a 10 milioni di Euro o al 2% fatturato per il secondo livello d’infrazioni. Il primo livello d’infrazioni, soggette a sanzioni più pensanti, riguardano i principi di base del trattamento, comprese le condizioni relative al consenso, i diritti degli interessati, gli ordini o limitazioni del Garante, la Normativa speciale nazionale e il Trasferimento dati extra UE. Il secondo livello d’infrazioni, riguarda, invece, la sicurezza e data breach, i principi di privacy by design e by default, il consenso dei minori (16 anni), il registro delle attività e PIA, la cooperazione con il Garante e la governance interna.

6. Conclusioni. Cosa si deve fare ?

Ciò premesso, nell’attuale contesto caratterizzato da una crescente minaccia alla sicurezza dei sistemi informativi, appare fondamentale la pronta attuazione delle nuove misure relative alle violazioni dei dati personali, tenendo in particolare considerazione i criteri di attenuazione del rischio indicati dalla disciplina europea e individuando quanto prima idonee procedure organizzative per dare attuazione alle nuove disposizioni (art. 33 – 34 del Regolamento). Risulta, dunque, da quando cennato che uno dei punti centrali della nuova disciplina europea è rappresentato dalla necessità di garantire che i dati personali siano trattati in modo da garantirne l’adeguata sicurezza e riservatezza, anche per impedire l’accesso o l’utilizzo non autorizzato degli stessi dati. Infatti, presupposto essenziale del principio di accountabilty (responsabilizzazione) del titolare del trattamento è rappresentato dal dovere di adottare “misure tecniche e organizzative adeguate” al fine di evitare il rischio che si verifichino trattamenti non autorizzati o illeciti, nonché la perdita o la distruzione dei dati personali e delle attrezzature impiegate per il trattamento. Con riguardo a queste misure “di sicurezza”, il Regolamento richiama, con valore esemplificativo e non esclusivo (l’art. 30), la pseudonimizzazione e la cifratura, chiaramente ispirate a un tipo di trattamento realizzato con l’ausilio di strumenti elettronici[49]. Risulta dunque opportuno che le soluzioni di sicurezza (tecnologica, organizzativa e logistica) in tema di strutture informative risultino quanto più armoniche ed omogenee possibile con quelle da assumere in materia di protezione dei dati personali al fine di rendere il sistema flessibile ed idoneo per gli scopi assegnati.

Nella sostanza, in sequenza logico temporale, dovranno essere compiuti vari adempimenti ed attività di verifica da svolgersi a cominciare dall’attività di assessment (ovvero valutazione) per verificare appunto lo stato dell’arte in materia di trattamento dei dati (che devono essere auditati tutte le aree preposte al trattamento). Va dunque verificato si per l’azienda corre l’obbligo o meno di nomina del DPO (o consulente di supporto per transizione GDPR) e vanno di conseguenza, eventualmente, ridefiniti i ruoli interni e predisposti gli atti conseguenti alle nomine. Vanno da se, la riscrittura degli organigrammi di privacy, la verifica di “compliance” al GDPR del sistema aziendale di videosorveglianza, e dei rapporti contrattuali con fornitori esterni nominati responsabili del trattamento nonché la verifica delle competenze (eventuale ricollocazione dei server). Va, quindi, redatto il registro dei trattamenti effettuati in qualità di titolare (anche se in outsourcing) del registro dei trattamenti effettuati in qualità di responsabile (per conto terzi) e si dovrà verificare la conformità delle informative e dei consensi già acquisiti rispetto al GDPR, la redazione nuove informative e consensi per la compliance al GDPR, nonché la verifica di compliance rispetto al GDPR del sito internet.

Altre questioni riguardano la definizione o l’adeguamento delle procedure per gestire le richieste degli interessati di modificare, cancellare, accedere, portare i dati, implementate politiche privacy by design e privacy by default, la definizione o l’adeguamento delle procedure di monitoraggio dei sistemi ICT e di notifica dei data breach, nonché la conformità rispetto al GDPR delle misure di sicurezza informatiche. La definizione della procedura di svolgimento del Data Protection Impact Assessment e del fabbisogno formativo di ciascuna “tipologia” di ruolo e, inoltre, della Programmazione audit di mantenimento di raccolta di tutte le procedure interne e del registro dei trattamenti (Sistema Gestione Privacy), costituisco ulteriore elemento d’implementazione.

Dunque, da quanto sopra osservato, ne consegue che il Regolamento europeo impone di necessità la nomina di un consulente in grado di adeguare il “sistema azienda” alle nuove modalità di gestione del dato ed al principio di accountability , capace di valutare l’adeguatezza o meno dei propri processi di compliance. Per tale incarico, che non può essere assegnato solo ad un professionista del settore legale, ma neanche esclusivamente ad una società informatica, si pone il problema di individuare un soggetto che possegga ambedue le professionalità. Inoltre, si pone il problema di nominare, per le società che devono avere tale figura professionale, un DPO, che può anche essere individuato all’interno dell’azienda, salvo che non vi sia un soggetto con una competenza specifica in materia, nonché di dare corso ad un investimento in infrastrutture IT. Le osservazioni fatte lasciano intendere che il GDPR rappresenta un costo (di non poco conto) per le aziende ma anche un’opportunità per i consulenti in materia[50].

Fino ad ora abbiamo evidenziato e sommariamente trattato gli elementi di novità del Regolamento europeo, cioè, in definitiva, quello che cambia. Trovano, invece, conferma nel GDPR i principi generali già delineati dal previgente quadro normativo che sommariamente potremmo definire di rispetto delle norme (liceità) e rispetto delle reciproche esigenze dell’interessato e del titolare (correttezza), nonché di trasparenza verso l’interessato affinché possa legittimamente fondare il proprio consenso al trattamento dei dati personali. Inoltre, trova conferma il principio che i dati personali devono essere trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione e devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati. In particolare, il principio secondo il quale i dati personali devono essere raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità o con il legittimo interesse del titolare. Per ogni diversa finalità deve essere richiesto uno specifico consenso. I dati raccolti devono essere esatti e, se necessario, aggiornati anche prevedendo misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità per le quali sono trattati. Permane, infine, il principio della limitazione della conservazione; i dati personali, infatti, continuano a dover essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati[51].