Il nuovo regolamento UE in materia di protezione dei dati personali. Sviluppi e impatti per i soggetti pubblici. Il Garante incontra la Pubblica Amministrazione

Beh anche se alcuni di voi sono in piedi io do inizio a questo incontro buongiorno buongiorno a tutte e da tutti grazie per aver accettato di essere qui questa mattina per partecipare a questo incontro sul nuovo Regolamento generale dell'Unione europea in materia di protezione dei dati personali
Un incontro organizzato e fortemente voluto dalla garante per la protezione dei dati personali dalla Regione Puglia dall'Associazione Nazionale Comuni Italiani dalla città metropolitana e dal Comune di Bari e da Puglia promozione credo anche con insomma il patrocinio dell'ordine dei dottori commercialisti e degli esperti contabili di Bari
è un tema importante quello che affrontiamo questa mattina è un tema che riguarda naturalmente non solo le pubbliche amministrazioni ma anche gli enti partecipati
è un tema che riguarda anche le aziende
Naturalmente hanno a che fare a che vedere con i dati personali e che hanno anche delle attività europei perché la cosa bella di questo nuovo regolamento che entrerà in vigore da maggio due mila diciotto che sarà uguale per tutti gli stati europei quindi garantendo una privacy su tutto quello che il nostro continente perlomeno come espressione politica prima di cominciare io vorrei strapperà lei a tutte e a tutti quanti voi un applauso per ringraziare
L'autorità garante perché durante il due mila diciassette tante sono state le attività portati a termine ma particolarmente una ha colpito il semplice consumatore e cittadino che una regolamentazione sul telemarketing quello telefonico beh insomma c'è questa nuova legge grazie all'autorità che ci consente di pranzare in pace grazie
Grazie veramente di cuore
Contro il telemarketing selvaggio questa bestia nera che attanaglia creando sì alla nostra quotidianità cominciamo naturalmente con i saluti istituzionali nel corso del convegno poi ci saranno varie relazioni avremo una pausa a metà mattinata poi ci sarà una pausa un po'più estesa dalle tredici alle quattordici ed infine intorno alle ore sedici
Ci sarà anche uno spazio dedicato ai quesiti e alle domande che avrete necessità di porre ai relatori per ora cominciamo con i saluti di Antonio Decaro che qui in una veste come posso dire qui è il punto è uno e trino perché e qui come presidente dell'ANCI della Città metropolitana è del Comune di Bari prego
Intanto che regoliamo questo microfono potrei darle il mio
Vediamo su quello funziona funziona presto grazie grazie grazie buongiorno a tutti e benvenuti nella città di Bari particolare Benvenuti nel teatro Petruzzelli
Che il tempio dalla bellezza per noi e rappresenta anche un simbolo rappresenta il simbolo della intraprendenza il simbolo della tenacia
Della determinazione dei baristi l'intraprendenza della borghesia che ai primi del Novecento l'ha voluto costruire e la determinazione e la tenacia degli amministratori che dopo diciotto anni da l'incendio doloso l'hanno voluto ricostruire esattamente com'era prima ringrazio
Antonello Soro e tutti i componenti dell'ufficio del Garante per la protezione dei dati personali per avere scelto Bari tra le tappe di questo percorso nazionale di incontri tra il garante
La pubblica amministrazione
Presidente non è un ringraziamento di circostanza ne parlavamo prima di salire su questo palco
Per noi la tua presenza e la possibilità di un confronto con molta con noi amministratori è un momento importante
Momento in cui ci dobbiamo confrontare con l'applicazione di un sistema complesso di norme è questa secondo noi una occasione unica per capire anche come orientarci districarci magari è il termine più appropriato nel groviglio normativo lo dico anche
Da presidente dell'Associazione nazionale dei comuni per noi è importante è fondamentale trovare delle sinergie tra gli enti locali gli organismi nazionali per individuare forme di collaborazione
Che ci Erwitt no per esempio di appesantire l'organizzazione amministrativa delle attività dei comuni che rappresento da qualche mese la sfida secondo noi in questa delicatissima partita
Della privacy è proprio quella di trovare un equilibrio tra il legislatore che scrive le norme e chi come noi sindaci per esempio deve tradurre quelle norme i sistemi di garanzia
Di tutela dei cittadini rispetto ai molti dati moltissimi dati dei cittadini dati personali che noi siamo costretti a trattare un equilibrio tra l'esigenza di chi possiede le informazioni e di chi invece ha il diritto legittimo alla riservatezza
Oggi per esempio abbiamo tutti un compito fondamentale allora richiamava nell'intervento di presentazione
Antonio Storm Maiolo e quello di evitare che i cittadini diventino dei bersagli umani
Delle azioni di marketing da parte delle aziende che utilizzano anche strumenti di tipo innovativo strumenti moderni penso agli annunci mirati al telemarketing era la cosiddetta profilazione
No con le telefonate ciò orsono Lucca Antonio tu sei
Sono della linea quattro tu hai il gestore rosso c'è un'opportunità è che tu gli rispondi saranno pure problemi miei perché mi sta chiamando
Si arrabbiano anche quando dici che non sei interessato ricevuto una telefonata mantennero porto mi diceva come fai a Antonio a dire di non essere interessato stop proponendo son facendo una proposta interessante ho capito sto prendendo l'aereo devo entrare sto facendo il check-in rischia di perdere l'aereo però continuava a parlare mio qualche giorno fa vi sarà sarà capitato anche a voi noi sistemi moderni cercavo il nome non farò i nomi sono faccio pubblicità occulta cercavo il nome di un vecchio allenatore
Di pallavolo
La pallavolo dalla nostra nazionale per capire su Wikipedia che fine avesse fatto e da quel giorno son passati Nisi ogni giorno che vado sulla mia pagina Facebook mi appare la pubblicità attraverso dei poster di un'azienda
Che produce scarpe e che ha diciamo lo stesso nome del cognome del mister della pallavolo ecco ed è continuerà a ciclo continuo ogni tre post che leggo ce ne sta uno
Di questa azienda ecco io credo che sia importante difendere il cittadino
Dalle continue telefonate dagli spamming dell'imene al monitoraggio continuo rispetto a quelli che sono i nostri stili di vita gusti le nostre abitudini
L'altra faccia della medaglia quando parliamo di privacy
E la tutela dei soggetti più deboli con i quali spesso i sindaci noi amministratori locali abbiamo a che fare l'equilibrio tra la riservatezza e la sicurezza ne parlavo prima col presidente solo un tema in discussione tra i sindaci a livello nazionale il caso delle telecamere per esempio negli asili che ci hanno permesso di venire a conoscenza
Di all'interno degli assegni di casi di maltrattamento nei confronti dei bambini nello stesso tempo però il legislatore tutti i la il diritto degli educatori che non devono essere sottoposti a quella che veniva chiamata la la pratica collettiva dei due minuti di odio non so se li li ricordiamo quella che veniva esercitata dal Governo del Grande Fratello così come veniva ha raccontato nel mille novecentottantaquattro da George Orwell ecco qual è il punto di equilibrio
Parlavamo di equilibrio e difficile individuare il punto di equilibrio soprattutto in questo momento storico particolare nel mondo in cui la dimensione privata e la dimensione pubblica si fondono in una sorta di piazza virtuale torniamo ai social network di cui parlavo prima e per fortuna di cui il Regolamento tratta la piazza virtuale è diventata una piazza reale e viene anche amplificata con i pregi e i difetti è perché ci sono anche dei pregi rispetto all'amplificazione della piazza virtuale l'esposizione nel bene e nel male e il rispetto dei dati personali è arrivato ai minimi storici utilizzando i social network dobbiamo pensare ai soggetti più fragili che rischiano di pagare questa situazione penso cyberbullismo penso alla fragilità dell'identità degli adolescenti che si misurano con una realtà che viene aumentata amplificate può diventare pericoloso ecco questo è la sfida vera proteggere non solo i dati personali ma le persone in carne e ossa
Da questo mercimonio di nomi cognomi è date di nascita senza però fare passi indietro rispetto alla trasparenza all'accesso all'informazione che in questi anni c'ha permesso da un lato di controllare quello che abbiamo attorno dall'altro lato di crearci una sorta di coscienza critica grazie grazie presidente per questa occasione di confronto buon lavoro a tutti voi
Grazie grazie ad Antonio Decaro e cediamo il microfono per un saluto alla Presidente della Regione Puglia Michele Emiliano
Tutte le persone quindi giunte davvero grazie ad Antonello Soro per avete scelto la città di Bari e in particolare per essersi sottoposto a questo Grand Tour perché stiamo illustrando un atto di diretta applicabilità nell'ordinamento giuridico italiano di grandissima importanza emesso dall'Unione europea quindi
Una di quelle espressioni di questa di questo Unicom costituito appunto dall'ordinamento giuridico
Europeo che pure in presenza di Stati sovrani consente alle organizzazioni
All'organizzazione unitaria all'emissione di provvedimenti aventi valore di legge che entrano direttamente nell'ordinamento giuridico e quindi necessitano di una immediata esplicazione
E la circostanza che il garante che il soggetto che deve sorvegliare sull'applicazione di questa regola
Si esponga anche diciamo con qualche rischio alla illustrazione del contenuto delle modalità perché è un anche questo enormemente innovativo un tempo che sorvegliava non dava spiegazioni sulla legge si limitava ad applicarla al momento opportuno invece l'Autorità garante è un soggetto permanentemente collaborativo questa è la rivoluzione che prende atto dei limiti del sistema
Nel senso che ragione sindaco Decaro difficile trovare il punto d'equilibrio poi per una vita onestamente fatto mestiere in cui la privacy non era mai un problema ma a adesso evidente che mi rendo conto che per il nostro progetto del tecnopolo vi di Lecce dove cominceremo a studiare
Nanotecnologie in funzione della medicina personalizzata i dati che di cui disponiamo è ormai abbiamo un sistema informatico in sanità pugliese che ha dati straordinari di straordinario valore dal punto di vista scientifico ma e come si concilierà con credo l'articolo trentacinque o trentasei
Nel quale ovviamente si raccomanda in maniera particolare di fare ogni sforzo possibile per ottenere il consenso da parte del soggetto che ha prodotto quei dati perché e e qual è il punto di equilibrio è un un dramma alle volte assai rilevante perché se disponessimo permanentemente nell'epoca dei Big Data di di della della possibilità di esaminare ogni tipo di dato sì tutelando però l'identità della persona questo ovviamente è un estremo probabilmente irrealizzabile ma se riuscissimo in questo passaggio per me il massimo dell'utile nella gestione di questi dati che peraltro sono un valore economico rilevantissimo perché li custodisce ed è per questo che la Regione Puglia
Ovviamente favorisce la la la l'open source la la la la disponibilità Berta
Di questi dati l'open data tentare in tutti i modi di fare in modo che come l'acqua come altri servizi pubblici essenziali dati che si ricavano dall'attività della pubblica amministrazione non diventino merce di scambio non diventino oggetto di appropriazione e di mercimonio questo ovviamente
è un'operazione molto difficile
Nel video presiedo il consorzio delle regioni
Nel dell'aereo spazio e ci siamo resi conto di quanto i satelliti in questo momento possono fare per migliorare nella nostra sicurezza strada Ale nel la capacità di di coltivazione delle terre per fare le previsioni meteorologiche insomma infinite applicazioni di qualunque tipo
Dal dalle più semplici alle più complesse e però contemporaneamente ci rendiamo conto che con un bel satellite made in Puglia perché li costruiamo un mai è un mini satellite potrà smettere tantissima informazione sui nostri movimenti certo diceva mia nonna fai sono le cose che poi raccontare a tutti era una bella regola devo dire ma anch'io non mi non mi sono attenuto sempre a questa regola anch'io i miei piccoli segreti quelle cose che non mi va di di di di di di confessare come tutti noi
E e quei piccoli segreti quelle piccole questioni individuali che poi sono la nostra identità personale vanno tutelati non si può non scendere in prima linea non si possono tutelare quei piccoli diritti alla riservatezza piccole e grandi esclusivamente esercitando l'autorità dal luogo e centralizzato bisogna andare a conoscere il mondo per come evolve tenerlo continuamente sotto controllo mobili nell'aspetto
Diciamo così della mera vigilanza ma anche per capire come la vita di ciascuno di noi viene continuamente cambiata dai mutamenti tecnologici quindi un ringraziamento particolare ovviamente alla all'autorità su e i collaboratori a tutti i devo dire anche i i miei collaboratori che hanno dato sono impegnati moltissimo al punto che insomma per qualche settimana li ho li ho persi di vista erano tutti dietro d'organizzazione di questa vicenda che li ha presi anche molto dal punto di vista emotivo vi ringrazio perché insomma questa bellissima squadre che ho l'onore di coordinare alle volte sollecita il Presidente inevitabilmente distratto da dalle cose urgenti
Mi distrae sulle cose importanti questa forse non è una cosa urgentissima da fare però certamente una cosa importante quindi grazie in particolare per tutti al dottor venne che ha coordinato all'avvocato Silvia Piemonte che hanno coordinato questa questa giornata ovviamente ne siamo pronti a ripeterla quando vorrete buona giornata buon lavoratore grazie grazie presidente emiliano
Prolungate prolunghiamo questo applauso allora per tutti gli staff che quotidianamente lavorano nell'ombra per garantire nella pubblica amministrazione e un ottimo servizio fate di un applauso perché sappiamo che siete in tante in tanti questa mattina che operate in questo modo quindi è stata un'ottima idea quella di ringraziarvi adesso entriamo un po'nel vivo di questo nuovo regolamento sino ad ora abbiamo parlato anche con un po'di soddisfazione di questi avvoltoi
Che sia telefonicamente che in Rete un po'ci perseguitano però è anche vero che noi cittadini spesso siamo molto leggeri e superficiali con questi mezzi perché
Come posso dire abbiamo i sogni rilasciamo nel cassetto gli scheletri di mettiamo nell'armadio
Ma tutto quanto il resto lo diffondiamo sui sociale e sulla Rete raccontando di noi tutto ma veramente tutto questo è un rischio
Che porta poi a tristi realtà ed è per questo che cominciamo a ragionare di questo nuovo Regolamento europeo ringraziandolo per essere qui con noi a Bari al presidente Antonello Soro
Io ringrazio ringrazio molto il sindaco le Carré presidente emiliano e tutti gli amministratori presenti le amministrazioni presenti per l'ospitalità in questa magnifica sede
Che renderà difficile per noi continuare fare
Processo di informazione nelle città italiane nelle aree italiane
Non se ne trova
Non lo so meno che il sindaco il presidente della Regione il nonno ci ospitano in modo permanente trasferiamo l'autorità a Bari ma a parte gli scherzi io ringrazio li ringrazio molto perché hanno condiviso l'idea a pochi mesi dall'applicazione del Regolamento
Che sia indispensabile promuovere una consapevolezza più diffusa dei diritti e degli obblighi che discendono dalla Regolamento dal nuovo pacchetto di riforme che comprende regolamento generale per la protezione dei dati e la direttiva seicentottanta sui trasferimenti per i fini di pulizia e giustizia penale che rappresenta la cornice normativa
In cui si giocherà una delle sfide più importanti per i prossimi decenni quella dell'effettività del diritto fondamentale alla protezione dei dati personali
Diritto che rappresenta sempre di più
Una garanzia ineludibile di libertà nella società digitale
E che vive in dialettica costante con una realtà in evoluzione continua perché sposta agli incessanti mutamenti delle nuove tecnologie
Alla base della scelta di rivedere il quadro giuridico in materia di protezione dati die
Proprio l'esigenza di adeguare il diritto a una realtà così profondamente mutata dalla sostanziale trasposizione inimmaginabile fino a qualche tempo fa
Dello frullare in sull'on line
Che ha finito per costituire lo diceva il sindaco De Caro
Una dimensione reale forse la più effettiva delle dimensione reale quella in cui si svolge la parte prevalente della nostra vita
Sia della vita pubblica che di quella privata
Questa riforma nasce dall'esigenza di superare attraverso la scelta di fonte regolamentare quindi immediatamente applicabile in tutti i Paesi dell'Unione di superare le asimmetrie nell'applicazione della direttiva madre la direttiva precedente che avevano impedito a livello europeo una tutela davvero omogenea per i cittadini europei
All'istanza di armonizzazione
Vanno del resto ricondotte le modifiche inerenti il sistema di può decisione in sede europea rafforzamento dal bordo delle autorità nazionali di protezione dati che sarà chiamato a svolgere funzioni non solo più consultive
Insieme a queste il meccanismo di coerenza significativa è di questo Regolamento
Forse una di quelle più immediatamente percepite credo nelle prossimi mesi la prevista applicabilità del Regolamento ai titolari stabiliti al di fuori del territorio dell'unione qualora il trattamento concerna l'offerta di beni e servizi interessati a interessati che si trovino nell'Unione fino a ora
Per la verità da un anno a questa parte già c'è stata un'evoluzione nell'atteggiamento dei grandi giganti della Rete ma veniva negata alla farà competenza di giurisdizione delle autorità nazionale di protezione dati rispetto a soggetti che come è noto hanno sede negli Stati Uniti o in altre parti del mondo credo che questa innovazione sia una di quelle che dal punto di vista della effettività rappresenterà un punto di snodo molto molto importante
E d'altra parte il superamento del criterio della cittadinanza quale parametro per il riconoscimento e l'esercizio
Del diritto alla protezione dei dati è chiarissimo
Quale diritto fondamentale pertiene alla persona in quanto tale al di là della cittadinanza e si tratta di uno sviluppo importante della giurisprudenza che ha tentato di superare lo schermo dei confini nazionali
Per garantire un'adeguata tutela ai diritti di cittadini in una realtà qual è quella digitale naturalmente refrattaria
Ai principi della territorialità
Questi due aspetti evidenziamo già di per sé soli il processo di progressiva trasformazioni universale che ha segnato l'evoluzione del diritto alla protezione dei dati personali
Con il regolamento emancipato dalla dimensione riduttiva del mercato interno qual era quello della vecchia direttiva in favore del più ampio approccio di tutela di un diritto fondamentale sancito come tale dai trattati dalla Carta di Nizza e definitivamente autonomia Ytzhak rispetto al diritto all'intangibilità della vita privata
La protezione dei dati non è fine a se stessa ma è presupposto per altri diritti e libertà
Come dimostra la connessione storica e giuridica con quel diritto alla dignità che apre la Carta di Nizza i dati io lo ripeto sempre un po'anche modo noioso opere chi ha avuto modo già ad incontrarci i dati personali non sono una cifra astratta non sono una categoria della
Della tecnica i dati corrispondono alle nostre persone e se noi non sappiamo in questa nuova dimensione della vita
Che è così importante la dimensione digitale se non sappiamo difendere e proteggere i dati personali noi non proteggiamo le nostre persone
E non è rilevante il salto dal diritto alla riservatezza
Che pure rappresenta ancora un elemento straordinariamente importante nelle relazioni e nella esperienza di vita di ognuno di noi ma nella direzione della protezione della nostra vita
Declinata nella dimensione digitale
In carne e ossa che rischiamo tutte le volte che i nostri dati non vengono protetti e quindi
Tutelare la protezione dei dati non solo e non tanto in funzione al mercato interno
Come era prima con la direttiva quanto perché diritto fondamentale a sua volta presupposto dei diritti di libertà
Costitutivi della cittadinanza europea ha implicazioni importanti determina in primo luogo la scelta di un modello giuridico e istituzionale
Di tutela fondato sul ruolo di garanzia in condizioni di terzietà di autorità indipendenti che in quanto su Rodi
Della di una rete dell'unione sono parti di un comune progetto costituzionale
Europeo
Da questo deriva l'esigenza di assicurare ai cittadini europei un livello di tutela davvero omogeneo così da poter costituire un modello su cui gli altri ordinamenti potranno via via convergere non in virtù di un presente presunto euro centrismo
Ma di un universalismo giuridico
Della persona
Sono centoventuno nel mondo gli ordinamenti che hanno scelto di disciplinare questa materia vincendo la tentazione della self regulation
E Pippi più importanti dal Canada all'Australia
All'India molti paesi del Sudamerica stanno individuando il regolamento europeo come modello di riferimento è questa è per noi una ragione ulteriore di fiducia nella prospettiva che una nuova disciplina
Forte efficace effettiva della protezione dei dati possa essere la bussola per tutelare i diritti e per muoverci per vivere l'esperienza della società digitale
Senza angoscia ma con la la convinzione che il presidi che nella vita
Materiale abbiamo cristallizzato nei secoli e che consideriamo conquista irreversibile
Quei diritti diventino tali anche nella dimensione digitale
Che sicuramente meno presidiata in questa fase si faceva riferimento al cyberbullismo ma si potrebbe dire di tutto quello che oggi è sono i fenomeni distorsivi dall'esperienza dalla rette da
Lei è così di moda Fake music ma anche processi di furto di identità che producono
Danni irreversibili a volte nella vita delle persone e quindi in questa dimensione la prospettiva che si apre quella di introdurre progressivamente misure di Garanzia per i diritti delle persone
Che siano allo stesso livello di quelli che la civiltà giuridica ha guadagnato nel corso dei secoli è un'impresa
Bella ambizioso affascinante che in qualche modo da ognuno di noi
Loda in modo speciale a chi vive l'ufficio del garante in Italia è un'esperienza nuova
Rispetto a tante cose nuove belle che già si sono fatte nei vent'anni precedenti di vita di questa autorità Air l'esperienza dei vivere con un ruolo primario in una dimensione nuova della vita sapendo di poter contare
Su riferimento fortissimo quale il Regolamento perché il Regolamento ecco prevalente rispetto alle leggi
Del nostro Paese e degli altri Paesi dell'Unione quindi le incursioni che qualche volta hanno indebolito il sistema di protezione dei dati in Italia finiranno perché non saranno più possibile questa è una delle gli aspetti che verrà valutato ancora di più da ognuno di noi nei prossimi anni questa prospettiva
Sarà favorita questa del riconoscimento universale del diritto la protezione dei dati da parte per la crescente domanda da parte dei cittadini sempre più consapevoli del valore dei propri dati ma anche della capacità per formativa della norma
Che attribuisce a questo diritto tanto lo status di diritto fondamentale della persona
Quanto una funzione sociale rilevante a quel punto da divenire principio essenziale anche del diritto pubblico europeo
Ciò cambia di riflesso anche la natura
Delle autorità di protezione dati che oltre a rafforzare una funzione di garanzia di un diritto fondamentale assumono anche un ruolo regolatori io di questo interesse generale
Interesse necessario a sua volta per tutelare altri beni giuridici primari la sicurezza pubblica nazionale e soprattutto cibernetica
Un'iniziativa economica libera tanto quanto rispettosa dalla dignità nel rispetto all'articolo quarantuno dalla costituzione un mercato concorrenziale l'equilibrio fra l'autotreno l'autodeterminazione del lavoratore
E le esigenze datoriali la rivisitazione del della controllo a distanza dei lavoratori è uno dei temi che più hanno interrogato in questo tempo di transizione anche la responsabilità di una giurisprudenza aggiornata
Da parte del Garante una trasparenza non così eccessiva da risultare paradossalmente opaca ci siamo confrontati con anarca
Con un dibattito robusto in questi anni per trovare un equilibrio e le recenti
Espressioni da parte della segnalazione
Esplicita da parte della anarca
Rivolte al al Governo e al Parlamento in qualche modo ci confortano dell'idea che noi avevamo manifestato all'atto della avvio
Della esperienza del Foglia è delle linee guida che insieme abbiamo condiviso perché l'equilibrio fra i diritti
è uno degli impegni più difficili ma anche più affascinanti e anche più necessari nella governo dei processi legislativi e dell'attuazione dei processi legislativa
Allora questo interesse di tutelare i beni giuridici
Sono parata di Matteucci
I primi considerando del nuovo regolamento dove si auspica che il trattamento dei dati sia posto al servizio dell'uomo
E che il relativo diritto nella sua funzione sociale sia contemperato con altri diritti fondamentali è esattamente questa la sfida il bilanciamento dei diritti delle presidente il sindaco facevano riferimento ad esempio il tema sempre un po'controverso della tutela dei minori negli asili nido è stato uno dei temi che c'era
Che ci ha esposto anche a un'attenzione critica diciamo con alcune parti
Del Parlamento ma
Perché anche lì il bilanciamento e la e la bussola mai cedere all'idea che ci sia un diritto che da solo prevale su tutti gli altri
Nel costituzione del nostro paese ma ormai anche nell'ordinamento europeo non c'è un diritto
Che che supera tutti i diritti sono Illy i riferimenti che vanno bilanciati perché fra di loro devono convergere per trovare il punto di equilibrio
Migliore
Questa esigenza
Emerge peraltro questa esigenza di bilanciamento
Nelle riserve al legislatore nazionale che Regolamento al quale regolamento demanda la specificazione o la limitazione delle norme stesse in settori di particolare complessità quali il diritto
Di informazione
La ricerca scientifica storica statistica la libertà religiosa il diritto del lavoro il diritto di accesso agli atti amministrativi anche con riferimento a riutilizzo dei dati acquisiti ne parlava il presidente emiliano in questo settore in particolare ci dovrà fare tesoro dell'esperienza maturata in questi anni nel rapporto fra riservatezza dei controinteressati e diritto di accesso
Anche nella forma del più recente dicevo di accesso civico classico o generalizzato funzionale all'esigenza di trasparenza dell'azione amministrativa
L'imitazione agli obblighi del titolare sono poi ammesse mediante norme legislative proprio per la tutela di interessi pubblici primari la sicurezza nazionale pubblica la difesa ma prevenzione l'accertamento dei reati la salvaguardia dell'indipendenza della magistratura la tutela dei diritti e delle libertà altrui
Altri importanti obiettivi di interesse pubblico generale dell'Unione o di uno stato membro anche in materia monetaria di Bilancio tributaria di sanità pubblica di sicurezza sociale tutti i temi
Per i quali la tutela gli interessi pubblici primari trova una definizione del nuovo quadro giuridico molto puntuale
La categoria degli interessi pubblici
La cui tutela mette le imitazioni dagli obblighi del titolare o ai diritti ad esempio la portabilità tema
Che ci impegnerà molto nei prossimi anni sanciti dal Regolamento UE sufficientemente ampia da volo Ruiz are la funzione
Sociale della protezione dati questo si evince dalla previsione dell'esercizio dei pubblici poteri di compiti di pubblico interesse normativamente previsti quale presupposto generale di liceità
Dall'approccio orientato ai diritti che anima l'intero Regolamento come anche la direttiva
Deriva Paul passaggio di una tutte la chiave prevalentemente al re mediale riparatoria qual è quella della direttiva e dunque successiva a una di tipo essenzialmente preventivo
Fondata come tale
Sulla minimizzazione del rischio di violazione attraverso tecniche di protezione fin dalla progettazione per impostazione predefinita
Ma anche sul ricorso alla limitazione del trattamento e la pace autonomizzazione particolarmente utile ad esempio nel campo della ricerca scientifica il presidente emiliano faceva riferimento specifico a uno degli aspetti
Più esigenti di attenzione che posto certamente dal campo
Di cui presidente emiliano adesso
Faceva riferimento ma noi sappiamo che in queste settimane scorse c'è stato un grande tema anche di dibattito pubblico sull'utilizzo dei dati sulla salute
Riuso dei dati sulla salute per motivi di ricerca scientifica ecco anche lì si tratta di trovare la corretta forma di trattamento dei dati personali che consenta di bilanciare perfettamente si può fare
La ricerca scientifica la finalità altissima della ricerca scientifica e io penso alla genomica
Penso alla medicina di precisione che la prospettiva per l'umanità più importante
Con la tutela dei dati degli interessati che esse opportunamente sia economico Zaki può consentire di fare il punto di equilibrio di trovarlo senza la pretesa che anche qui ci sia uno delle due finalità che prevalga sull'altra bisogna ricercarla volte faticoso a volte può sembrare
Che il ruolo di chi esige questo bilanciamento sia un fastidio per gli uni o per gli altri ma invece quella il punto di equilibrio che dobbiamo ricercare sul quale io credo che sia possibile
Fondare una nuova stagione della esperienza
Dell'umanità che vive nella dimensione digitale che utilizza il trasformò la trasformazione di parti sempre più importanti dall'organizzazione della pubblica amministrazione della vita privata in questa dimensione che trasforma le nostre persone per un momento o per più di un momento in una espressione digitale il tema il tema del nostro tempo e d'altra parte il ricorso a strumenti di tutela preventiva
E particolarmente rilevante ragione del rischio dalle garanzie tradizionali
Che con le garanzia tradizionale di consenso informativa sì relativizza hanno nel contesto di una organizzazione digitale della vita
Pubblica e privata
Segnata da enormi flussi di dati dalla velocità degli scambi per la stessa struttura delle
Retti che hanno anelli sempre più estesi che a volte rendono impossibile seguire il percorso di quel consenso che noi abbiamo espresso l'espressione
Dell'impostazione preventiva del Regolamento è anche la complessiva responsabilizzazione dei titolari
Unitamente alla sostituzione delle misure minime di sicurezza con misure idonee riflette un approccio più sostanzialistica o valorizzando non tanto la formale osservanza di regole puntuali quanto l'adozione sul modello del decreto duecentotrentuno due mila e uno sulla responsabilità dare atto degli enti di una complessiva strategia aziendale fondata sulla protezione dei dati così da non lasciare un aspetto così importante alla contingenza dell'iniziativa occasionale
E poi c'è il quadro sanzionatori o che si articola i criteri di commisurazione della sanzione fungono
Anche da parametri per la decisione in ordine all'anno dell'irrogazione della sanzione che può giungere sino a venti milioni di euro o al quattro per cento del fatturato annuo
E che noi è che il legislatore deve stabilire in che misura si applica agli enti pubblici sotto questo profilo la scelta legislativa che noi auspichiamo nel segno della continuità con la disciplina vigente che Como noto sottopone a sanzione anche gli Enti pubblici diversamente da quanto previsto per la responsabilità da reato
Contribuirebbe a elevare gli standard dei garanti sia del diritto alla protezione dei dati rispetto a trattamenti
Quali quelli svolti dai soggetti pubblici spesso caratterizzati da particolare invasività o ampiezza in quanto inerenti una quantità di dati elevatissima e un numero consistente di interessati tendenzialmente l'intera popolazione
Penso
Alla agenzia delle entrate
Per citare un caso a caso
Lì l'idea che si possa sottrarre da responsabilità in quanto ente pubblico
La immediata
Riferimento per capire che non si può sottrarre che non è giusto sottrarre la responsabilità proprio perché più forte la capacità di raccolta più grande è la raccattati cita i raccolta che legislatore in questo momento in questi giorni con uno un percorso sul quale noi abbiamo una qualche riserva tende ad estendere ulteriormente concretizzando in banche dati sempre più larga sostanzialmente l'intero patrimonio di dati della pubblica amministrazione dentro un'unica piattaforma
Beh chi gestisce questa piattaforma non può essere sottratto alle grandi responsabilità che invece giustamente pretendiamo anche per i privati e quindi io auspico che del decreto legislativo in corso di definizione
Venga confermata diciamo la continuità con questo approccio
La protezione dati muta dall'essere come è stata il Retrone mente ritenuta un costo per divenire risorsa essenzialmente ma non solo reputazionale fattore di competitività per le imprese
Di ulteriore legittimazione per le pubbliche amministrazioni
è se nel complessivo disegno normativo da un lato i titolari assumono un ruolo di primo piano in virtù della loro responsabilizzazione operata dal Regolamento dall'altro fortemente accresciuto ruolo delle autorità di protezione da e se pur non dismettendo
Le vesti di istituzione di prossimità vicini alle esigenze di tutela del cittadino in qualsiasi ambito si proiettano ancora di più
In una dimensione sovranazionale divengono infatti gli snodi essenziali di un sistema europeo di protezione della libertà dei cittadini
Rispetto ai rischi connessi alle nuove tecnologie
Il Garante svolgerà un ruolo di cerniera con le realtà europea in quanto presidio
Per i cittadini imprese amministrazioni e per lo stesso legislatore il parere obbligatorio
Del garante sulla legislazione
Primaria è uno degli aspetti
Rispetto al quale dovremmo richiamare con più forza
In questo prossime settimane il legislatore nel senso legislatore nel senso degli uomini e delle donne che in Parlamento
Hanno la responsabilità di fare alle norme primarie perché estendere l'obbligo
Di parete del Garante per noi diventa un impegno diventerà un impegno
Straordinariamente rilevante ma sarà per il legislatore una responsabilità nuova finora riferito al solo e occasionalmente
Alle norme secondarie
Questo impegno
In qualche modo sarà informato al rispetto di quel principio di proporzionalità
Che la corte di giustizia sulla quale la Corte di Giustizia fondato una giurisprudenza tra le più garantiste importante anche il ruolo di promozione della consapevolezza del pubblico su questo anche le iniziative come quella di questa mattina
Si rivolgono a conti non hanno rivolgersi perché le informazioni e la consapevolezza diventi un punto di forza per noi la consapevolezza da parte dei cittadini da parte delle amministrazioni
Come dimostrano le specifiche competenze delle autorità di protezione dati dalla ricezione del data British da comunicare se agli interessati agli alle certificazioni al monitoraggio Della l'approvazione dei codici di condotta assumono anche un ruolo regolatorio
Nell'interesse generale
Della alla correttezza e trattamenti
Il nuovo quadro giuridico in materia di protezione dati rappresenta dunque un grande passo avanti nella direzione di un governo equilibrato delle innovazioni tecnologiche che hanno modificato profondamente la nostra società
Ma ciò che più di ogni altra misura garantirà l'effettività dei diritti sanciti dal Regolamento sarà
La diffusione di quella cultura della protezione dei dati chiamiamola così una cultura della privacy rischia qualche volta di orientare verso possedimento minore la cultura dalla protezione dei dati
Perché questa o promuovere sviluppo economico e libertà efficienza amministrativa e dignità della persona
La reale efficacia della innovatività di questa riforma dipenderà in larga misura dalla sua tenuta sociale dalla capacità cioè di divenire forma irregolare dell'agire delle amministrazioni imprese e cittadini e per questo che noi abbiamo una grande fiducia con tutti quelli che oggi ci hanno voluto onorare della loro presenza grazie
Grazie a lei presidente Soro
Ed è necessario dunque riflettere sulla capacità di gestire questo afflusso di Big Data ma anche noi insomma potremmo proteggerci di nostro pensata che alcuni sociale addirittura propongono dentista equamente a tutti quanti noi anzi lasciare in eredità le nostre pagine
Dei nostri profili proprio per poter fare in modo che questo insomma posso continuare questa conservazione dei nostri da dire per poter fare in modo
Di poter continuare in fondo assorbe tagliarci nel novantanove potere dell'arte ci furono insomma dei grandi sceneggiatori che scrissero la sceneggiatura di un film che era metri x che raccontava di questa matrice capace di succhiare la linfa sfide vitali di noi umani ci mettevano stessi con un tubo collegato al collo
Dopo cinque anni e con l'avvento del primo socio al la posizione più sdraiata ammettere Gata in avanti verso i telefonini e in questa situazione il loro davvero prendono tutto quello che gli serve Dinoi
Questa la riflessione profonda intanto voi senza insomma facendo i debiti scongiuri provate immaginaria chi lascerete i vostri selfie
Che sono ormai patrimonio dell'umanità e io cedo la parola al dottor Modafferi
Dirigente dell'autorità del Garante che ci racconterà finalmente il rapporto grazie al quale questo nuovo regolamento potrà essere applicato nelle pubbliche amministrazioni anche come interagire con l'autorità prego
Grazie
Iniziamo
Oggi siamo qui non per caso
Questo è la terza tappa di questi incontri dell'autorità dedicate la pubblica amministrazione è un'iniziativa che è partita a maggio con una lettera
Che il presidente dell'autorità ha inviato ai ministri e i presidenti delle Regioni ai vertici dei grandi enti pubblici all'ANCI per quanto riguarda gli enti territoriali un'iniziativa faceva cenno prima il presidente emiliano sicuramente non tipica atipica
Inconsueto che è un'autorità di vigilanza
Scenda in campo così in maniera attiva in un momento di grande cambiamento come quello che stiamo attraversando
Questa atipicità non è per così dire estemporanea ma parte di una strategia per le ragioni che prima indicava il presidente Soro la protezione dei dati personali i dati personali la gestione dei dati personali
è parte ormai della nostra vita è una condizione di vita per ognuno di noi
è una condizione di vita per tutti i cittadini italiani le pubbliche amministrazioni gestiscono enorme quantità di dati
Questa situazione impone quindi che si realizzi il prima possibile più di quanto è stato in passato
Una rete di competenze che sia diffusa l'autorità da sola non basta
Al svolgerà un'attività di protezione a svolgerà un'attività di vigilanza se negli enti pubblici cioè laddove i dati risiedono laddove in dati vengono scambiati là dove i dati vengono realizzate da dove partono le mille iniziative della digitalizzazione della pubblica amministrazione non ci sono persone che sanno ragionare con le categorie delle protezione dei dati personali è una guerra versa in partenza ecco perché siamo qui ecco perché è partita questa iniziativa in questa iniziativa del ventiquattro maggio l'Autorità non sia limitata a inviare una lettera ai vertici delle istituzioni per
Indicare che all'epoca mancavano trecentosessantacinque giorni alla definitiva applicazione del regolamento europeo ma ha indicato anche delle priorità anche qui come dire con un comportamento atipico
Ci sono tante cose da fare il cambiamento imporrà una serie di attività ma da dove cominciamo ecco il garante ha dato delle indicazioni non ha lasciato da solo chi nei vari enti ogni varco tra i soggetti le aziende dei privati
Dovevano accingersi ad affrontare questo cambiamento ha indicato delle priorità ha detto la prima cosa individuiamo rapidamente i responsabili per la protezione dati personali
Mettiamoci all'opera per realizzare un registro delle opere o i registri delle operazioni di trattamento
Cominciamo a pensare a realizzare un'efficace gestione delle violazioni di sicurezza
Bene queste sono le tre priorità che il in un documento allegato alla lettera e poi reso pubblico sul sito dell'Autorità il Garante ha dato a tutti i soggetti soprattutto ai soggetti pubblici per avvicinarsi a questo cambiamento
Perché queste priorità tra le tante cose che si sarebbero potuto dire bene queste priorità rispondevano allora consapevolezza di una quattro regolatorio ancora incompleto
Il Regolamento infatti è direttamente applicabile ma a una serie di cosiddette clausole di flessibilità cioè ci sono parti del Regolamento che per diventare veramente attuative o comunque posso consentono agli Stati membri
Di poter definire regole s'più specifica a livello nazionale
Le ha raccolte ricordati anche questo il presidente Soro il tema per esempio
Della ricerca scientifica della statistica e ricerca storica nell'ambito sanitario sono temi e ambiti molto importanti
Nel nei quali per avere un quadro preciso di quello che sarà l'impatto del cambiamento dovremmo attendere le decisioni del legislatore nazionale
Detto questo quindi fermo restando che ci sono dei margini di flessibilità tuttavia alcuni assistetti alcune parti Regolamento sono intangibili per i legislatori nazionali
Ed è proprio su queste parti che noi abbiamo fondato questa attività abbiamo dettato queste priorità cioè indipendentemente dalle scelte che farà il legislatore quelle cose che noi abbiamo indicato come priorità si potevano fare da subito e per questo appunto è partito il percorso
Cosa è successo nel frattempo dal ventiquattro maggio da ventiquattro maggio è successo che il Parlamento ha delegato il Governo a dare corpo a queste norme nazionali in materia di protezione dati personali con una tecnica con la quale il Governo è stato appunto delegato ad abrogare le norme del Codice incompatibili con il Regolamento a modificare per quanto necessario il codice per renderlo conforme appunto alle disposizioni del Regolamento e a a prevedere anche un ruolo dell'Autorità Traverso che attraverso i propri atti propri provvedimenti Possa andare a integrare quelle parti
Di regolamentazione che possono avere appunto un tipo di definizione non sempre necessariamente di tipo normativo in senso proprio e ovviamente anche ad adeguare il quadro sanzionatorio quadro sanzionatorio che per quanto riguarda le sanzioni amministrative eh già previsto e definito all'interno del Regolamento ma per quanto riguarda per esempio la parte penale
Richiederà invece un intervento del legislatore per mantenere o modificare quelle fattispecie penali che sono inserite nel codice
Quindi alla fine di quest'opera se tutto andrà bene adesso spiegherò perché
Avremmo da una parte il Regolamento europeo il regolamento due mila sedici sei sette nove con le sue con i suoi novantanove articoli e i suoi oltre centosettanta considerando cioè questo corpo normativo
Identico in tutti i Paesi dell'Unione questa è la grande novità intrinseca dello strumento scelto dal legislatore europeo
Ma avremo in accompagnamento anche un decreto legislativo che verosimilmente sostituirà l'attuale codice in materia di protezione dati personali nel quale saranno stabilite tutte quelle disposizioni che a livello nazionale andranno ad integrare il Regolamento laddove lo stesso Regolamento appunto consente questa possibilità quindi avremo un diciamo due strumenti di riferimento dal punto di vista normativo
Tra le cose che sono successe dal ventiquattro maggio
C'è il grande lavoro che anche la
L'autorità
Ha fatto in questi mesi a livello europeo
All'interno di quello che si chiama il gruppo articolo ventinove il gruppo che raccoglie tutti i vertici delle autorità di protezione dati nazionale del protezione dati nazionale
E che sta facendo farà fino al giorno ventiquattro maggio
Un'azione suppletiva rispetto al nuovo osso oggetto istituzionale che il regolamento ha creato cioè il Comitato europeo di protezione dei dati che essi materialmente insedierà il venticinque maggio di quest'anno ma fino a quel momento il gruppo articolo ventinove
Svolge svolge tutte quelle funzioni di supporto di orientamento che saranno proprie poi appunto del Comitato europeo
E si traducono in atti di Indirizzo di cui vedete riportate in questa slide inciso le le slide che diciamo saranno utilizzate oggi delle presentazioni saranno rese disponibili ai partecipanti saranno comunque pubblicate sul sito dell'Autorità
E quindi dicevo cinque sono già alle linee guida approvate ce ne sono altre quattro persone a vario livello di Conso in consultazione e che vanno a coprire quindi e vanno a integrare sono ulteriori strumenti che sono andati che per l'interprete perché deve applicarlo di approfondimento per nei vari settori considerati
Diciamo altro contributo che l'autorità ha dato in questi mesi al percorso di avvicinamento alle nuove regole europee
Questo o Atto di Indirizzo proprio sul responsabile della protezione dati personali pubblico nella pubblica amministrazione abbiamo pubblicato sul sito le fatte il quindici dicembre
Che vanno a rispondere a quelli che erano i cui esiti maggiormente frequenti che le pubbliche amministrazioni ci hanno rivolto in questi mesi di colloquio di dialogo con la pubblica amministrazione su questa funzione e questo disponibile on line e quindi e nelle presentazioni che seguiranno verrà anche citato approfondito quindi in sostanza la grande grande difficoltà che ciascuno di noi sta sperimentando ciascuno
Ti colui di coloro che si applicano a nelle varie situazioni in all'interno delle ASL all'interno degli enti dei ministeri rispetto a questa novità
A questo cambiamento è che siamo tutti costretti a un grande cambiamento ma non possiamo nessuno si può permettere di fermare le macchine da una parte e l'altra complessità è che questo grande cambiamento diciamo avviene in un quadro che non è ancora completamente definito che in progressivamente si va definendo quindi è una difficoltà straordinaria quindi da questo punto di vista nessuno credo meglio Dinoi
Colleghi dell'autorità può essere vicino a a voi che siete appunto interessati ad applicare queste regole perché è un è una veramente uno sforzo notevole
Qual è il programma di oggi
Alle abbiamo un programma di lavoro molto intenso i tempi sono stretti siamo anche leggermente in ritardo cercheremo di recuperare la volontà nostra è quella di ad cogliere questa occasione per darvi il massimo di informazioni consapevole ovviamente che non si può trattare qualunque aspetto qui vedete portato riportato in sintesi il programma e i colleghi che seguiranno lo svilupperanno
L'ultima nell'ultima parte compatibilmente con i tempi daremmo avremo la possibilità anche di rispondere ad alcuni quesiti alcuni ce li avete già mandati dico subito che molti quesiti andando avevano che abbiamo ricevuto avrà natura molto specifica qui non non possiamo diciamo qui cogliere quest'
Sto occasione per discutere il caso specifico di applicazione della protezione dei dati in quel spetta in quel determinato ambito la logica qui
Più
Diciamo di rispondere ai dubbi su le questioni che sono oggetto dell'incontro di oggi sull'applicazione del Regolamento più che sulla privacy in generale perché non non è questo chiaramente il contesto per farlo
Allora siccome diversi quesiti appunto avevano quell'altra il taglio avete un'altra possibilità d'all'intervallo presso l'ingresso dove avete effettuato registrazioni sono disponibili dei moduli che potete compilare con eventuale eventuali quesiti
Che verranno ritirati
C'è
Da qualche parte Stefano Brighi che mi piace nominare che limpide si diceva prima si faccia riferimento alle persone della Regione Puglia che hanno lavorato per per rendere possibile questo evento e che ringrazio dottoressa Piemonte dottoressa martire
Sono diventati negli ultimi mesi è parte della mia vita con con contatti diciamo costanti per organizzare questo evento anche il dottor Bridi
Dal lato del Garante ha dato una mano importante raccoglieremo questi quesiti li leggeremo durante la pausa e proveremo a rispondere
Alle vostre domande
Per entrare adesso nel vivo del tema di quello che quindi questo era un po'il il legame il perché siamo qui adesso entriamo veramente sul tema del Regolamento e il mio compito è tardi
è un po'di indicazioni su uno dei termini nuovi che sono un po'come posso dire trasversali nel nuovo regolamento è che questo tema della accountability
Tema che al una sua complessità è intrinseca perché tradotto nel regolarmente in italiano come principio di responsabilizzazione
Con una traduzione che però non rende in maniera efficace quello che è l'intrinseco significato della parola accountability che nel contesto anglosassone come vedremo
Ha un significato Complesso che ormai di senso comune
Allora per questo
Devo dire in via eccezionale in questo caso preferisco Cuts CRIF armi al termine anglo sassone anziché parlare i principi responsabilizzazione che in Italia in in Italia
Secondo me rischia di non rendere perfettamente il significato che a questo concerto
I principi del trattamento dei dati previsti dal nuovo Regolamento
Sono grosso modo gli stessi che già conoscete chi si è occupato di protezione dei dati in questi anni ha imparato a interpretarli ad applicarli
Il principio di liceità e correttezza del trattamento la limitazione delle finalità la minimizzazione dei dati l'esattezza del trattamento eccetera sono principi
Che nel nel nella nostra disciplina nel Codice Privacy erano contenuti nell'articolo undici del del codice
E che fanno parte ormai della
Come possiamo dire del senso comune di chi si è occupato di protezione dati quest'anno la novità quindi da questo punto di vista nel Regolamento possiamo dire non c'è il Regolamento
Introduce diverse novità ma è anche in continuità rispetto alla disciplina della direttiva novantacinque quarantasei quindi
Non è tutto completamente nuovo dobbiamo però un po'facilmente a comprendere meglio che cos'è cosa si intende cosa intende il Regolamento con il termine accountability e qui diciamo che il punto veramente quello di passare dalla forma la sostanza il titolare del trattamento dice l'articolo cinque paragrafo due del il Regolamento il titolare del trattamento è competente per il rispetto dei principi applicabili al trattamento che sono quelli di cui parlavamo prima ma non solo deve essere sempre in grado di comprovarlo
Questa è la vera novità del principio di accountability cioè non basta più solo
Essere conforme a rispettare le regole e i principi ma è necessario mettersi in condizione di poter dimostrare di averli rispettati
Infatti per questo dico che quando parliamo di accountability eccome essendo il coniugarsi mo'il verbo dimostrare provare una verità con un ragionamento logico o con prove di fatto questo è quello che viene richiesto dal Regolamento al titolare del trattamento ha un impatto forte
E lo vedremo dal punto di vista organizzativo da un punto di vista tecnico è come come possiamo dire una filosofia che va si parlava prima di cultura della protezione dati personali questo significa cultura la protezione dei dati personali
Non è un principio che cade come dire gli all'improvviso
Se noi recuperiamo questo provvedimento questo parere del due mila dieci del gruppo articolo ventinove il parere numero tre del due mila dieci estivi il gruppo articolo ventinove era quello che dicevo prima
Il gruppo che raccoglie
I vertici delle autorità di protezione dati sono state le autorità di protezione dati europea chiedere al legislatore europeo di affermare nella nuova regolamentazione il principio di accountability
E questo è un documento interessante da andare nelle a rileggere per capire la genesi come si è arrivati e anche qui si dice
L'architettura giuridica dei meccanismi di responsabilità prevede un obbligo vincolante per tutti i titolari del trattamento che comprende due elementi attuare le misure
Ma anche essere in grado conservare le prove dell'attuazione delle misure ancora una volta non basta fare bisogna mettersi nell'ottica di essere in grado di dimostrare ciò che si è fatti
E quindi sottolineare anche che questa disposizione non mira tanto a introdurre un nuovo principio ma mira a garantire l'effettività dei principi e dell'osservanza dei principi esistenti questo è il valore del principio di accountability nel nuovo contesto non è un nuovo principio è ciò che può rendere i principi più effettivi l'applicazione dei principi più effettivi
Osservare il principio di accountability non significa necessariamente quindi che che si è fatto tutto bene che tutto funziona a meraviglia cioè non fu invece si può dire una presunzione legale di conformità
Ma certamente il titolare del trattamento
Può avere attuato e verificato le misure e purtuttavia a una successiva verifica questo potrebbe essere ritenuto non sufficiente ma allora ci si domanda
La certezza giuridica
Dell'applicazione delle regole da che cosa deriva certo questo è uno degli scenari Complessi del resto la protezione dei dati personali cammina sul magma sul sul del del di un assiste sunto di una di una situazione che è in continuo cambiamento e quindi ha bisogno necessariamente di regole flessibili non si presta a regole statiche
Perché sarebbe inattuabile queste una delle complicazione una delle difficoltà di questa disciplina
Ma se essere accanto Bolt quindi non è in assoluto garanzia
Di piena conformità essere accountable però può essere anzi Sarra nella nuova dimensione del Regolamento sicuramente un criterio di attenuazione della responsabilità
Quindi può darsi che io anche se ho fatto tutto bene
Per così dire possano ricevere comunque una censura possano essere ritenuto che quello che ho fatto non è abbastanza ma se ho fatto messo in piedi
Le procedure o si essere diciamo in questo la linea le linee guida del del gruppo articolo ventinove dell'ottobre due mila diciassette sull'applicazione delle sanzioni
Fa riflettere in questa dimensione avere avere
Attuato delle procedure interne che ha per le fatte diciamo conoscere a chi tratta i dati a vere
Implementato procedure
Di sicurezza dei dati avere implementato procedure organizzative all'interno della propria organizzazione per la gestione dei dati così come misure tecniche tutti questi aspetti diventano quindi comunque criteri criteri di attenuazione della responsabilità e vi fanno comprendere quindi quanto sia necessario sempre di più lo era anche adesso con il codice una abbiamo sempre detto questa disciplina non si presta ad applicazioni per pezzi
è necessario avere un approccio sistemico all'interno del titolare del trattamento ragionare in in una logica che lega i vari pezzi se no alla fine il rischio che le cose non funzionino al momento di una verifica è molto alto e quindi l'importanza anche di acquisire un metodo come fare qui
C'è necessità non solo di fare ma anche di come dire imparare a fare a dare delle delle indicazioni di metodo come dire ancora una volta l'autorità in questo può dare uno stimolo ma da sola non basta
Qui è necessario che si impegnino le menti migliori lo chiediamo spesso l'università
Deve supportare il Paese non tanto l'autorità in questo processo c'è bisogno di di di pensiero ecco non si tratta solo di fare qualche cosa cambiare qualche adempimento
La l'accountability è una trama
All'interno è regolarmente adesso prova a far di qualche esempio per farvelo vedere quindi quando diciamo che la Cantini non c'è più introduzione del principio di accountability è una delle principali aspetti innovativi di questa regolamentazione
L'ho percepiamo sempre se andiamo a verificare all'interno di tutti quei considerando che io ho indicato qui
Come questa si traduce questa questa all'interno del regolamento questa trama
L'approccio basato sul rischio prendiamo l'articolo ventiquattro che è l'espressione del considerando settantaquattro che ci dice che tenuto conto della natura dell'ambito di applicazione del contesto
Delle finalità del trattamento e dei rischi aventi probabilità e gravità diverse per i diritti dell'interessato
Il titolare del trattamento mette in atto misure tecniche e misure organizzative adeguate per garantire ed essere in grado di comprovarlo garantire ed essere in grado di comprovarlo
Che il trattamento effettuate in conformità Regolamento garantire ed essere in grado di comprovarlo questo deve far parte dell'abito mentale di chi sta applica questa disciplina ovunque in qualunque contesto no
Bisogna mettere disporsi in termini organizzativi per fare tutte e due le cose se no il lavoro non è affatto bene
La sicurezza del trattamento
Riconsiderando settantasette che ci dice una cosa che è importante perché gli operatori dicono va bene io devo essere accanto a bordo
Ma a qual è il parametro di riferimento a che cosa mi devo ispirare e qui dobbiamo dirlo
Il disegno del Regolamento è un disegno ancora in parte incompiuto perché mancano dei pezzi fondamentali che aiuteranno nei prossimi anni
A lo sforzo di chi vorrà essere accountable
E cioè i codici di condotta la certificazione le linee guida del Comitato saranno pezzi importanti di riferimento perché oggi obiettivamente non è facile
Per chi voglia anche predisposta abbia capito la logica il si voglia concretamente applicare trovare i riferimenti e sarebbe insensato che si proceda caso per caso i codici facciamo l'esempio dei codici di condotta noi abbiamo ricevuto in autorità si stanno mettendo in moto delle iniziative per esempio nel settore sanitario
Dice bene ma i sistemi informativi sanitari si le ASL e cambiano da da regione a regione c'è l'autonomia regionale nella sanità eccetera però bene o male
I dati che trattano sono quelli meccanismi sistemi informativi sono quelli le infrastrutture talvolta sono le stesse del fascicolo sanitario elettronico il dossier eccetera
Beh quanto sarebbe di aiuto per chi opera nel settore sanitario lattica per l'applicazione delle regole avere a disposizione un codice di condotta per la gestione di sistemi informativi sanitarie infatti l'autorità
Dice il Regolamento incoraggiano e noi vi facciamo coraggio quando sono venute queste persone a parare dice bene bravi incoraggiamo però fatelo
Non si può pensare che l'Autorità risolva non si può guardare all'autorità come il soggetto istituzionale che può risolvere tutti i problemi
Ma sicuramente il il soggetto istituzionale che può supportare tutte le migliori iniziative e cercare di dare i contributi nei limiti delle proprie possibilità che non sono infinite
Ma certamente non ci sottraiamo perché capiamo l'importanza ed è per questo che siamo qui il codice di condotta del Regolamento
Consentiranno di declinare settore per settore regole astratte e renderle un po'più concrete e questo sarà di grande aiuto per appunto la sua applicazione così come sarà un contributo potrà darlo il sistema delle certificazioni certificazioni volontarie previste dal Regolamento a Brera e in futuro la possibilità di poter certificare un'applicazione e quindi rispondere a una serie di requisiti base che sono stati definiti sulla base di un controllo fatto da un soggetto terzo
Scusi è nel disegno del Regolamento anche questo una applicazione concreta del principio di accountability
Ma ecco vedete stiamo toccando adesso lo facciamo un po'a volo d'uccello ma su parecchi di questi temi tipo privacy Beltane by default ci torneremo nelle relazioni che seguiranno a me adesso serve solo per farvi capire
Quanto sia Fitto nel regolamento la trama del accountability privacy by design e privacy by default che vorrebbe cioè che i sistemi siano concepiti sin dall'origine
Per una gestione per un trattamento di dati che sia conforme alle ai principi del Regolamento
è inutile che io acquisisco un sistema che non è stato concepito per funzionare in quel modo e poi debba come dire correre ai ripari dopo direi che questo è un sistema per coniugare dispetto della protezione dei dati ma anche efficienza ma anche risparmio di risorse pubbliche
E non è sbagliato il riferimento che fa regolamenti regolata europeo quando dice che il i principi della progettazione dei dati fin dalla progettazione otite folte
Dovrebbero essere presi in considerazione anche negli appalti pubblici se sono una ASL e che acquisisce un nuovo software per la gestione dei dati dei pazienti
Ma io devo come dire pretendere e fare una selezione tra i requisiti di gara devo mettere che quel software jury specchi tutti quei requisiti di sicurezza di gestione delle informazioni che sono proprie del trattamento in antenati in ambito sanitario e non sia invece un software mutuato da un'altra realtà
E quindi e che quindi non non è stato pensato per quella dimensione la dialettica responsabile del trattamento e contro titolare del trattamento il dottor Filippi dopo entrerà
Mi impartì colare su questa che un ambito molto sarà un ambito molto importante del in cui è importante la definizione delle regole la definizione dei compiti la definizione delle istruzioni che il titolare da responsabile del trattamento nell'ottica della canto avviliti così come vedremo nel pomeriggio il registro delle attività di di trattamento e anche queste uno strumento che nella logica del Regolamento serve a dare come dire alle responsabile della protezione dei dati una mappa efficace di quelli che sono i trattamenti in essere presso quel titolare del trattamento e già questa è un'operazione non banale e di fondamentale importanza
Ma non solo serve a garantire un altro dei requisiti che è trasversale a tutto il nuovo quadro regolatorio europeo che è quello della trasparenza del trattamento
Che è una parola impegnativa è una parola che è una parola
Privacy anche se negli ultimi tempi
In qualche caso viste referto diciamo così della trasparenza e della pubblica amministrazione entrata un po'in frizione con la protezione dei dati personali
E poi la valutazione di impatto privacy la valutazione di impatto privacy e lì quindi la decisione sul se e quando farla eccome farla in quali circostanze fare questa valutazione impatto tra se cioè quando
Quel il trattamento presenta un coefficiente di rischio elevato né belle né se ne è parlato si è parlato di Big Data ma ieri sera tarda serata TG uno speciale come dire prima di addormentarmi cercavo a tarda notte di distrarmi ho trovato un TG uno speciale che parlava dell'uso di Big Data della blocca Cheney
Del degli algoritmi in giro per il mondo tra l'altro fatto molto bene ma estremamente interessante
Non è che mi sia distratto molto però però i fa capire quanto questa realtà sia sia dietro la porta sia qui non stiamo parlando
Forse il bello il privilegio di chi lavora in autorità
è che ti porta come dire a vedere in qualche modo prima degli altri quello che sta arrivando a essere coinvolto per e questo deve fare assumere a tutti una grande consapevolezza e un grande ma grande attenzione
E infine il tema del data british il databili cioè nel senso le violazioni di sicurezza anche qui il Regolamento istituzionalizza con ferma
Estende
La procedura delle segnalazioni
Tutti violazioni di sicurezza anche qui questa la potremmo dire la potremo definire una misura di trasparenza perché tradizionalmente non solo le pubbliche amministrazioni ma anche le aziende sono poco propensi a parlare
Dei guai tra virgolette che hanno attraversato i loro sistemi informativi si tende a non far conoscere perché si ha paura e giustamente dell'impatto reputazionale che può nascere dalla diffusione
Della conoscenza del che l'azienda che l'ente è stato tra come si dice in termini bucato e quindi i dati sono stati prelevati sono stati illecitamente acceduti beh regolamento impone al titolare del trattamento Titti
Comunicare all'autorità entro certi termini lo vedremo nel pomeriggio le violazioni di sicurezza ma impone in primo luogo e soprattutto di comunicarle alle persone interessate cioè alle persone che hanno subito i cui dati sono stati violati
E questo ha un impatto rilevante
Anche qui però con una fa clausola molto importante che vi fa capire quanto l'applicazione concreta del principio di accountability sia
Possa essere valida efficiente a meno che il titolare del trattamento non sia in grado di dimostrare che conformemente al principio di a pianta Binetti è improbabile
Che la violazione dei dati personali presenti un rischio per i diritti degli interessati quindi averci pensato prime averci pensato bene
Può sollevare lente o l'azienda dal dover come dire in qualche modo avvisare tutti i clienti
Che i loro dati ahimè sono stati violati per esempio applicando termini tecniche di anonimizzazione Psi di pseudonimi Zazie eone di cifratura dei dati che abbiano quindi consentito di attenuare può escludere
Gli impatti negativi dovuti alla violazione
Bene sequestro sì io come dire in tutto questo ha cercato di di raccontare di di tutto questo di farvi capire il perché diciamo che il principio di accountability informa
Tutto il nuovo Regolamento tutta la nuova applicazione discipline privacy però andando allo verso le conclusioni
Noi dobbiamo la domanda che ci si fa spesso è bene di grande cambiamento del due mila diciotto è il nuovo Regolamento sulla protezione dei dati personali ma siamo sicuri che sia questo il vero cambiamento
Io non credo che sia così il vero cambiamento non è il regolamento il regolamento dell'Effetto del cambiamento c'è una tradizionale
Sinergia tra la protezione dei dati personali e l'evoluzione tecnologica la protezione dati personali nascere perfetto per l'impatto dell'evoluzione tecnologica sin dalla fine del mille ottocento
E rincorre l'evoluzione tecnologica e mai come oggi ha avuto il fiatone la protezione dati personali perché la la rivoluzione tecnologica ha ormai un tasso
Di sviluppo tale per cui le il l'azione di contenimento di regolazione fatica a tenere il passo noi continuamente veniamo interrogati su questioni che francamente mettono da una parte mettere i brividi ma dall'altra ci ci ci espongono rispetta categorie giuridiche dove non abbiamo riferimenti perché l'evoluzione tecnologica è fortissima
Ma lo diceva bene prima il presidente Soro la protezione dati personali seppur qualche volta intese in modo fastidioso può rappresentare spesso rappresenta all'ultimo momento di riflessione prima di cliccare prima di rendere possibile la condivisione dei da oggi è possibile astrattamente invece basta un click con un semplice clic si possono condividere milioni di informazioni milioni di utenti di tutti i generi
C'è un prima di fare questi letti c'è un momento di pausa momento di riflessione quel sequestro esiste è perché c'è una prova cioè la protezione dei dati personali
Questo è francamente
Il grosso tema che dal mio punto di vista di dirigente del dipartimento libertà pubbliche sanità quindi di referente della pubblica amministrazione vedo in questa fase storica cioè la pubblica amministrazione a
Come dire a grande interesse per i dati la condivisione dei dati si vedono tutti i vantaggi perché da queste possano derivare
Ma non ha ancora acquisito la necessaria consapevolezza di tutte le conseguenze che possono derivare
I vantaggi sono spesso molto ben pubblicizzati ma sulle conseguenze c'è onestamente un deficit di riflessione questo in questo noi come autorità in qualche modo abbiamo bisogno noi facciamo la nostra parte ma abbiamo bisogno di aiuto
E il Regolamento nel rendere i titolari del trattamento più autonomi
Impone in primis ai titolari del trattamento di fare questo tipo di riflessione non è più la logica diciamo così pre cedente in cui c'è un soggetto che tira le fila e tutti gli altri che seguono altri il principe l'esposizione responsabilizzazione
Imporre per prima il titolare del trattamento questa nuova difficoltà ed ecco perché il tema è quello delle competenze
Ecco perché cosa è la risorsa scarsa oggi in nel Paese in materia produzione sono le competenze mancano le competenze competenza che dovrà esser diffuse
Non basta un responsabile la protezione dei dati c'è
Come dire un'anima sperduta nel deserto
Il le competenze devono essere agli presso gli uffici legislativi presso gli uffici tecnici
Presso coloro che attuano che trattano i dati c'è bisogno di di un pensiero si fa cultura dei prezzi elevati e questa è quella che manca sulla quale siamo in ritardo
Più di tutti gli altri il ritardo del Paese rispetta questa deficit di cultura di protezione dei dati e su questo quindi l'invito la sollecitazione a in qualche modo tutti contribuire adesso c'è un fiorire di iniziative e la guardarvi da questo mio punto di osservazione è una gioia a parte lo scenario fantastico nel quale siamo ma è veramente incredibile avere di fronte così tante persone ad assentire
Parlare di protezione dati personali perché significa che in qualche modo questa azione che noi cerchiamo di fare sta accogliendo il segno ed è un momento importante che noi non dobbiamo perdere ma è necessario quindi che soprattutto in ambito pubblico diciamo questa sia si attui una visione quindici sei
Innovazione si digitalizzazione tutto quello che volete ma anche essere consapevoli che queste che le cose hanno delle conseguenze tutte le medaglie hanno due facce
E quindi pensare saper pensare sia i vantaggi ma anche alle conseguenze andare oltre e quindi ed ecco ed è questa la difficoltà sarà questa difficoltà degli uomini privacy all'interno delle degli enti andare oltre lì la nera applicazione delle regole perché quello che è l'obiettivo è incidere sui comportamenti e questa è la cosa più faticosa per questo
L'autorità al primo posto della sua lista di priorità ammesso responsabile a protezione dei dati perché è la figura per l'Italia più innovativa perché significa che in ogni ente pubblico per gli enti pubblici sono obbligate davvero responsabile protezione dei dati in ogni o ente pubblico ci sarà un professionista della privacy tra virgolette
Una persona
Che col tempo acquisirà competenze esperienza conoscenza del sistema del settore e che potrà quindi realizzare sul territorio quella rete di competenze senza la quale questa partita è certamente persa
E infine questa è veramente l'ultima slide poi vi siete guadagnati
La vostra meritata pausa
Il quadro delle responsabilità che possono derivare dall'inosservanza di tutto questo come vedete è un quadro articolato
Le responsabilità sono amministrative le sanzioni del Garante penale
Vedremo quali saranno le nuove disposizioni penali il risarcimento del danno ma anche in ambito pubblico la responsabilità contabile realizzare qualcosa che poi domani fosse ritenuto non conforme
E quindi magari essere vietato l'utilizzo di quel sistema di quella banca dati genera un danno erariale di cui qualcuno potrà essere chiamato a responsabilità e infine la responsabilità e etica che la la cito per ultima ma solo perché vorrei dire che dal mio punto di vista di funzionario pubblico è la cosa più importante i cittadini affidano i dati alla pubblica amministrazione perché diciamo per ottenere dei benefici in ogni quale in ogni caso in cui noi del diciamo decretiamo da questo obiettivo e creiamo invece attraverso delle scelte sbagliate del nocumento la possibilità che le persone possano riceve un danno addirittura possano essere discriminate
All'interno crea stiamo operando male come pubblici funzionari bene io direi che detto questo il mio compito è finito io ho finito ma come diceva
Michele Santoro qualche anno fa in una trasmissione insuccesso queste era solo l'anteprima quindi adesso prendiamoci un momento di respiro e poi proseguiamo grazie grazie
Avere un approccio sistemico condotto tutto
Il sistema è il nuovo regolamento io vorrei solo dire una cosa si abbiamo previsto questa pausa di quindici minuti però a livello democratico visto che portiamo un po'di ritardo sulla tabella di marcia il vissuto
Che tra un po'alle tredici ci sarà una vera e propria pausa insomma
Del si consigliava di di di evitare in questa fase di andare avanti per alzata di mano chi è d'accordo nell'andare avanti vediamo vediamo idea giù giù giù le mani siamo come siamo democratici chi invece insomma ha bisogno di una pausa per andare ad esempio lì dove nessuno manca quanti del siete minoranza andateci di vostro noi intanto andiamo avanti facciamo un applauso a questo esercizio di democrazia però dottore lo fa lo facciamo proprio per consentire maggiore elasticità anche ai relatori che ci stanno per proporre i loro contenuti ed argomenti e dunque chiamiamo qui sul palco il dottor Antonio Caselli
Dell'unità documentazione internazionale revisione quadro normativo dell'Unione Europea
Prego dottor Caselli come cambiano i principi e i diritti degli interessati
Ben trovato benvenuto al Petruzzelli noi dovremmo anche cambiare ecco spostiamo
I cavalieri prego prego invitiamo
La signorina a correggere il tavolo dei relatori io l'aiuto in modo tale da favorire
L'intervento
Benissimo queste questi riportiamo di là
Bene così allora quando vuole può cominciare prego
Se se poi se poi deve che si si si stanno alzando tutti nonostante abbiano votato
Per rimanere qui può anche decidere di sospendere per un po'perché mi sembra ingiusto per voi ecco quello che succede in Italia votati una cosa e nei fatti un'altra
Eh va be'allora a prendiamoci allora ci vuole come al solito poi o il potere costituito che dall'alto vi è da dire non si fa così allora prendiamo un quarto d'ora di pausa perché non è giusto
Bra allora
Quarto d'ora di pausa perché non è giusto che il dottor Caselli parli con tutti in piedi
Quarto dal ci rivediamo cui alle dodici e poi consigliano di spegnere un poco i fari che sono al quarto ordine per consentire una migliore visione dello schermo va bene
Mi ritardatari che prendono posto lei potrebbe anche dare inizio alla sua relazione dottor Antonio Caselli grazie
Cioè devono
Accesso sì parta grazie
Allora buongiorno a tutti
Io
Nato mi chiamo Antonio Caselli lavoro all'Autorità garante sono responsabili di questa unità che vedete
Mi scuso per la voce perché beh come molti in questo periodo sono stato un po'malato quindi io la voce un po'così oscura comunque spero che non vi dà troppo fastidio
Voleva parlare anch'io in piedi perché insomma un po'questo ambiente come dire favorisce
Un approccio un po'attoriale diciamo così al al
Al convegno un po'perché insomma c'è una linea di continuità con chi mi ha preceduto tutto Modafferi che insomma è sempre bravissimo come comunicatore quindi io sarò sicuramente non alla sua altezza ma comunque ci proviamo allora io adesso dovrei un attimo cominciare a fare un un excursus un pochino più dettagliato sui principi diritti degli interessati aveva abbiamo sentito che ci sono delle grandi novità nel Regolamento non sono novità soprattutto di approccio separati accountability è un termine che sentirete più volte avete già sentito e più volte
Io vorrei appunto provare a
Parlare dei diritti interessati dei principi che presiedono al trattamento dati personali
In quest'ottica che è un'ottica in buona parte di continuità
Quindi il messaggio che vorrei dare che ci sono in realtà molti elementi che non cambiano soprattutto per la pubblica amministrazione nel Regolamento del quadro regolamentare quello che cambia soprattutto è la necessità di un approccio più proattivo di una maggiore responsabilità nel modo in cui si fanno le cose e soprattutto si gestiscono poi i dati personali si garantisce l'esercizio di diritti degli interessati perché è chiaro che quando si parla di diritti eminentemente pensiero corre anche agli obblighi corrispondenti cioè all'esercizio di un diritto da parte la trazione interessata corrisponde l'obbligo del titolare del trattamento di dare corso a la richiesta di deciso di questi diritti allora in queste Regolamento introduce elementi importanti di di novità
Più che forse sulla sostanza anche se vedremo che ci sono naturalmente delle novità e importanti
Ma con alcune precisazioni datare soprattutto per il settore pubblico dopodiché amministrazione allora
Abbiamo già visto questo questo considerando sappiamo che il Regolamento quindi che cosa vuole raggiungere vuole garantire questo Quad uniforme a livello dell'europea quindi non più almeno sperabilmente divergenze ma elementi comuni rafforzamento delle garanzie in tutti i Paesi disciplina specifica dei diritti degli interessati e degli obblighi appunto si diceva di coloro che trattano i dati
E poi poteri equivalenti per l'Autorità questi sono elementi essenziali elementi su cui regolamento non consente di deviare come si diceva prima quindi partendo da questo presupposto che quindi è un presupposto ineludibile un presupposto che vale per tutto quello che diremo
Come il Regolamento prova a conseguire questo risultato
Sì allora è chiaro che io adesso non ripercorrerò gli elementi di cui si è parlato prima però l'elenco che vedete qua è un elenco che così intende dare qualche esempio di
Del la diciamo così della trasversalità dell'Obiettivo di uniformità del Regolamento attraverso questa accento sull'accountability
Quindi in particolare e abbiamo detto che l'approccio regolamento non è più un approccio o per lo meno non vuole essere un approccio burocratico nel senso formale si guarda alla sostanza
Effettività dei diritti significa che i diritti di cui regolamento parla li vediamo dopo sono diritti che devono essere effettivamente garantiti devono essere tutelati dall'esercizio la loro esistenza
Come attraverso in primo luogo una
Ho misure organizzative anche tecniche che consentono effettivamente dal lato di rispondere ad una richiesta per esempio di accesso o di di rettifica dall'altro attraverso un'organizzazione che garantisca quei principi di Pavese ma Desailly tale si by default di minimizzazione dell'uso del dato personale
Tutto una struttura in sostanza in cui il ruolo del di Pio o del responsabile la protezione dati come si chiama in italiano è una è fondamentale appunto proprio perché ha un ruolo di supporto del titolare anche rispetto all'esercizio dei diritti allora ecco che
Questo
Tutti questi elementi
Ci fanno anche riflettere su i diritti veri e propri che sono sanciti da dal Regolamento qui ebbe ho parlato di diritti diciamo così nuovi diritti vecchi perché perché in realtà ci sono dei diritti che a voi avete sentito sicuramente che conoscete
Il diritto all'oblio al così detto che è un po'diciamo sbandierato come delle grandi novità per Regolamento e realtà
Questo è vero fino a un certo punto e lo è vero in maniera molto limitata per la pubblica amministrazione farà fra l'altro il diritto alla limitazione trattamento dritta la portabilità questi sono diritti importantissimi che sono fra l'altro frutto proprio di questa attenzione che a regolamento al digitale non le nuove tecnologie a quindi alla necessità di garantire un maggiore controllo da parte dell'interessato e vi posso portare via
Il mio dato personale che voglio che Milano sia trattato da un titolare diverso che mi dà più garanzie metà di sicurezza o The collocato motivazioni quindi un diritto che dal tavole
Favorire e il controllo diretto da parte la persona sui propri dati personali
Quindi sono diritti nuovi anche se si declinano in maniera molto particolare rispetto ai soggetti pubblici come vediamo
E poi ci sono i diritti che non c'è senso possa chiamare vecchi nel senso che li conosciamo bene sono vecchie conoscenze il diritto di accesso al delitto di rettifica diritto di opposizione questi sono tutti confermati nel Regolamento quindi non non cambiano i fondamentali
Però ci sono sicuramente delle degli elementi da tenere presenti
Abbia parlato del razzo volo dell'autorità di controllo un ruolo appunto europeo e abbiamo dei meccanismi che vogliono garantire questo e queste ero pezzi azione un po'generale delle prassi delle procedure tutto quello che deve essere come dire il modus operandi dei titolari dei responsabili di trattamento e si è parlato della certificazione abbia parlato della dei dei codici ricondotto deontologici delle valutazioni di impatto tutti elementi che fanno parte di questo quadro
Complessivo che va letto tutto in questa chiave di e count ability quindi di effettività Dipro attività e di diciamo
Intervento dimostrabile provabile con provabile in maniera oggettiva
Quindi per dare ancora qualche formazione a riguardo l'architettura generale del del Regolamento avrete capito
Presenta grossi elementi di continuità con quello che noi conosciamo noi conosciamo il Codice in Italia soprattutto ma la direttiva anche poi quella da cui il codice discende è chiaramente alla base anche di questo Regolamento quindi vigilato europeo non è chiaro rivoluzionato completamente il quadro normativo a voluto
Come dire marcare una rivoluzione che l'evoluzione e conosciamo tecnologica sociale
Rispetto al trattamento dati personali ma garantendo sostanzialmente una certa continuità rispetto alle Folon ai fondamentale la protezione dati questo cosa significa significa che quelli che noi conosciamo come presupposti di dissetate il trattamento quelli che sono fissati l'articolo sei del per Regolamento nello specifico non cambiano sostanzialmente cessano gli stessi cosa vuol dire utile che un trattamento per poter essere svolto come sapete deve a dire una sua base giuridica deve come dire fondarsi su uno di questi presupposti i presupposti li conosciamo criteri il consenso contratto l'interesse vitale dell'interessato l'esistenza di un obbligo di legge un interesse pubblico
Oppure interesse legittimo del titolare
Quindi il linea di massima questa architettura non è cambiata naturalmente poi ci sono una serie di come dire elementi che si aggiungono e che ha di specificazione per quanto riguarda il consenso per esempio saprete che il Regolamento prevede delle condizioni più rigide per la prestazione del consenso il consenso se alla base del trattamento deve essere veramente il consenso non solo equivocabile esplicito per i dati sensibili
Significa qualcosa di più qualcosa di più comprovare appunto di nuovo ma soprattutto per attori regolamento dice
Ci sono dei considerando al riguardo che il linea di principio il consenso non è
Un idoneo fondamento del trattamento dati personali per quanto riguarda la pubblica amministrazione perché la pubblica amministrazione dovrebbe operare sulla base di altri presupposti presupposti di legge
Paul perseguimento di interesse pubblico fissato in disposizioni specifiche quindi regolamento da questo punto di vista da un'indicazione molto chiara cioè in linea di principio
Questo fondamento di di vista il trattamento è un fondamento che si presta adesso utilizzato in altri contesti non nel contesto della pubblica amministrazione perché pubblica amministrazione agisce spesso presso la sua propria potestà quindi una posizione di superiorità rispetto all'interessato quindi un consenso veramente libero elevazione interessata non sempre come dire
Contato per per scontato
Anche i i cosiddetti requisiti di qualità dei dati dei trattamenti che sono fissa all'articolo cinque avete visto prima del Regolamento sono quelli che lo conosciamo sono stati hanno avuto derubrica no
Scorrettezza pertinenza minimizzazione sicurezza dei dati questa novità viene aggiunta questo questo elemento ma solo quindi che noi ripeto già conosciamo quindi regolamento questo senso non fa altro che sistematizzare quello che
Un approccio che noi già ben noto
I dati sensibili dati sensibili anche nel nuovo quadro normativo hanno uno statuto particolare allora venne riconosciuto vengono chiamati categorie particolari che i dati personali per l'esattezza non sono dati sensibili
Quindi dovremo forse mi faccia questa terminologia categorie particolari di dati personali
Ma di fatto sono quelle che noi conosciamo come dati sensibili di realtà
Il Regolamento
Chiarisce se vogliamo dire così che negati sensibili rientrano anche quindi che sono rimaste definibili dati biometrici e dati genetici e qual è l'approccio Regolamento quello che ne conosciamo cioè il trattamento di questi dati è vietato
Prima di principio tranne che ricorrano una serie di condizioni e l'articolo nove nel Regolamento
Fissa le condizioni specifiche per la liceità del trattamento dei dati sensibili tra queste non c'è l'interesse legittimo del titolare tanto per intendersi quindi regolamento fa una scelta di campo molto precisa però l'approccio complessivo resta quello che conosciamo quindi è una deroga al divieto
Di trattare datati sensibile quella che si basa sui presupposti ricetta che l'articolo nove due tra la futura del regolamento fissa quindi il consenso di nuovo oppure anche un contratto anche l'attività svolta presente in ambito sanitario le finalità legate specificamente alla sanità pubblica questa è un autonomo e legittimo tra fondamento di liceità del trattamento in base al Regolamento ovviamente su questi o di regolamento introduce questi famosi margini di flessibilità nel senso che rinvia alle giocatore nazionale per la precisazione di tutta una serie di elementi rispetto in particolare alle finalità di natura sanitaria
Però
Di nuovo l'architettura fondamentale la struttura la trama del che noi conosciamo non è sostanzialmente cambiata
Quindi era un esempio per farvi così un pochino
Entrare in questo aspetto
Si diceva prima che i principi generali di trattamenti articolo cinque c'è continuità ci sono appunto delle differenze qui presente era quello è legato a la lettera f del paragrafo uno di questo articolo che parla di integrità riservatezza come principi del trattamento quindi integrità dei dati e riservatezza dei dati sono di principi essenziali
E questo presuppone la l'adozione di misure di sicurezza tecniche organizzative l'articolo trentadue sono poi meglio specificate adeguate quindi adeguate al rischio del trattamento abbiamo sentito che questo un parametro essenziale quindi non più misure minime cioè non esiste un sette di misure
Erga omnes che vale valgono in tutti i casi sarà cura del titolare responsabile trattamento del titolare del trattamento individuare quelle misure che sulla base di un'analisi del rischio tenuto conto di tutti i fattori conta estimatore dei dati e così via
Sì o no quelle adeguate a minimizzare i rischi in termini di impatto per i Diritti e Libertà delle persone
Adeguate e quindi questo è un concetto essenziale quindi di nuovo c'è questo intreccio fra continuità e novità in questa chiave Samperi e count ability quindi di visione più complessiva del trattamento di attenzione a ai rischi ma e quindi scelte effettuate dal titolare sulla base di una valutazione dell'impatto di questi trattamenti sui diritti e libertà delle persone quindi questo per dire è un po'tutta la motivi se vogliamo di questa di questo testo che ci invita a non certo senza fare una riflessione sull'esistente per approfondire e per giocare sulla responsabilità
Di chi ha in mano le e-mail formazione i diritti gli interessati diretti interessati nel Regolamento sono oggetto di un capo specifico sarete tutti regolarmente diviso in vari campi in questo caso appunto il capo terzo del Regolamento che è dedicato ai diritti agli interessati quello che significativo è che a questo capo si apre con un articolo articolo dodici che è quello che in qualche maniera da illa cioè spiega la chiave in cui leggere tutti i diritti che sono diritti nuovi e vecchi che già conosciamo si diceva prima eccetera ma l'articolo dodici ci dice come questi diritti devono essere garantiti cioè invita sostanzialmente
Il titolare del trattamento a appunto facilitare l'esercizio di questi diritti attraverso delle misure di nuovo tecniche organizzative
Idonei e cose simili esige che appunto deve non è una novità in realtà però questo adesso diventa legge europea cioè questo Regolamento ricordiamocelo quindi questo disposizioni immediatamente applicabili totalmente applicabili esecutive nove euro parte
San sostanzialmente occorre fare in modo che il qualora gli i diritti dall'articolo quindici articolo ventidue che sono quelli che appunto riguardano i diritti degli interessati dall'accesso in poi
Quando ci sia quindi una richiesta di accettare questi diritti il la struttura del titolare sia tale da garantire un'effettiva presente reperibilità delle informazioni un accesso veloce le informazioni un riscontro pieno alle
Alle richieste e irresponsabile dice questo articolo deve collaborare con il titolare questo qualcosa che tenete non so quale italiano non ci giunge nuovo perché ne abbiamo istituzionale del nostro Codice però questa la direttiva non lo prevedeva
Il regolamento dice chiaramente in quest'ottica di accountability per cui la struttura del titolare deve prevedere propri interno delle misure tecnico che riferiva riguarda sicuramente le misure organizzativa e quella che il responsabile trattamento che opera per conto del titolare
Partecipi alla gestione diritti faciliti l'esercizio di diritti quindi consenta
Un più facile sempre riferimento alle informazioni una indicazione delle misure di sicurezza che sono stati adottati e quindi ad eventuali e falle che si sono verificate per esempio in caso di rettifica e così via quindi tutto questo diciamo fa parte di nuovo di questo quadro complessivo di responsabilità
Rafforzata e preventiva
E fra l'alto ad esempio il regolamento ci dice che l'esercizio di diritti né di massima in gratuito questa è novità importante se vogliamo cioè l'non ci sono costi l'esercizio di diritti a meno che non c'è chi non si erano diciamo richieste ripetitive o eccessive dice sempre l'articolo
Dodici però in questo caso spetta al diciamo al titolare dimostrare l'eccessività alla ripetitività di queste richieste quindi tutto questo si inserisce in questa di nuovo in questo quadro che dicevamo prima
E continuando su questa su quest'ottica sente parlando dell'articolo dodici che è un po'la chiave di letture tutta questa sto capo ci sono dei termini che vengono indicati per esempio no nel l'articolo e chiaramente si dice che per fornire sposta l'interessato il termine massimo un mese quindi il titolare a un mese di tempo per dare riscontro all'interessato a quest'ora che non erano dita rispetto a certe disposizioni del nostro Codice ma in ogni caso però deve dare riscontro quindi come dire non esiste la possibilità di un silenzio da parte pubblica amministrazione lo specifico la risposta deve pervenire in ogni caso dice questo articolo
E
Diciamo prima le richieste potrebbero essere fondato eccessive e quindi in questo caso è possibile
E sta a dire un contributo ma tutto nell'ambito della ragionevolezza e la stessa ragionevolezza che è un principio diciamo che torna più volte nel terzo del Regolamento e quella che preferì però anche ai tempi di risposta cioè un mese il termine massimo che fissa Regolamento pre chiaro che in una struttura
Ben strutturata ben organizzata
Come dire è interesse stesso del titolare avvenire una organizzazione in terra allora per esempio c'è registro esattamente chi può aiutare che consente di facilmente e rapidamente
Venire incontro una richiesta sempre di accesso o di rettifica perché è chiaro che ci deve essere una tracciabilità come sapete del dei flussi di dati e questo significa che il termine di un mese va letto come termine massimo non come
Come dire
Regola ma in un certo senso o come eccezione è chiaro però che si prezzi prevede che possano essere situazioni di particolare complessità e quindi fino a tre mesi quindi spendibile di ulteriori due mesi dice il Regolamento questi ripeto il regolamento ce lo dice
Il riscontro fra l'altro se il Regolamento articolo dodici viceversa in forma scritta quindi sostanzialmente in linea di principio la risposta deve a per finire anche formato elettronico ovviamente regolamenti nel conto del del dell'esistente però deve essere forma scritta a meno che l'interessato abbia specifica la richiesta che di accettare anche una risposta orale verbale
Di Petra questo è l'esposizione del Regolamento quindi valida in ogni caso e la risposta potere con le caratteristiche vedete e queste non ci sono nuove però insomma sono importanti intellegibile concisa trasparente facilmente accessibile
Linguaggio semplice chiaro quindi qua c'è una diciamo una scommessa anche no con la chiarezza diciamo che forse non sempre contraddistingue la pubblica amministrazione in rapporti con i cittadini
Con particolare attenzione ai minori fra l'altro che ci possono essere anche i dati di minori possono essere
Oggetto di accesso o ti richieste di altro genere
E ha detto che il Regolamento fra l'altro menziona questa possibilità di avere delle icone quindi delle degli strumenti standard in tutta l'Unione europea icone che la Commissione europea sarebbe chiamata ad adottare attraverso non l'ha fatto ma lo potrebbe fare nei prossimi mesi
Cioè praticamente Serapide vere una sorta di catalogo appunto di icone standard utilizzabili tutti peso europea per rapidamente e velocemente poco noi abbiamo lì con Ansaldo e la telecamera aprendo sorveglianza
O di di Schettino il floppy disk per indicare che esiste un trattamento di dati ecco allora questo tipo di idea e e la stessa di semplificare quindi rapporto informativo ma non come dire escludendo l'informativa più precisa ma accompagnando l'informativa precisa magari data con un link in un'altra sede in un altro ambito
Con una serie di icone che prossimo le stesse in tutta l'europea questo sente perché regolarmente si vuole garantire una uniformità
A livello UE
Di nuovo questa non è una novità ci sono delle deroghe le deroghe
Sono possibili però sulla base soltanto disposizioni del diritto nazionale
Sono quelle che noi conosciamo di cui si è parlato prima la totale interessi economici e monetari e così via quindi è possibile che il diritto nazionale qui noi abbiamo il nostro Codice il decreto legislativo in fieri che dovrebbe dovrà
Chiarire in quale misura lederebbe esistenti siano Mantini bili siano compatibili con il Regolamento
Ho oltre le orine possono essere previste anche pelati trattamenti che vedete liquidi natura giornalistica o o un particolare per circa sintetica storico di altro genere
Perché regolamento fissa abbastanza in alto questa asticella per la soglia per andare a caccia eventuali deroghe devono essere necessari proporzionate quindi occorre che sull'attore verifichi che siano deroghe necessari e proporzionati e su questo si è detto c'è molta giurisprudenza europea ma non solo
E poi di non rispettare l'essenza del diritto alla protezione dei dati cos'è l'essenza di trattazione dei dati c'è un considerando che dice qualcosa quindi aderente alla Carta dei diritti fondamentali ferimento alla CEDU
Convenzione europea i diritti umani cioè ci sono degli elementi che rappresento un nucleo fondamentale di tutela del diritto alla pensione i dati personali che si sostanziano appunto in proporzionalità riconoscibilità
Necessità del trattamento di questi dati minimizzazione e così via questa queste deroghe non devono intaccare questo questi principi e questo insomma il regolamento lo dice con chiarezza quindi come dire in realtà anche il legislatore dovrà nazionale dovrà fare una valutazione un po'più approfondita anche delle terre resistenti per capire se tutte siano veramente conformi a questa questo principio a questi principi
Questo era quindi la carrellata generale adesso io cercherò molto brevemente di dire qualcosa sui singoli diritti articolo quindici articolo ventidue sono fissati come saprete
Allora lieto di accesso alcuni elementi lo conosciamo è uno dei diritti che come dire vecchi
Carovita e qui che il regolamento ci dice che in ogni caso con le varie una copia i dati personale c'erano vento cui si esercita diritti accesso io interessato ho diritto di ricevere copia Demi dati personali tutti i dati personali per i Dico richiedo
La la conoscibilità quindi così miti una copia questo diciamo così può essere discutibile però è un fatto che il titolare deve organizzarsi misure tecniche organizzative articolo dodici per dare una coppia dei dati personali quindi ho diritto a una copia dei miei dati e devo pur e fra l'altro forno intelligibile comprensibile
E così via le informazioni sono abbastanza consistente e qui ci sono delle delle novità in particolare per esempio devo anche dire come Tito titolare deve informare se il dato è trasferito in un Paese terzo quali sono le garanzie cioè su quale basi ho trasferito i tuoi dati in un Paese terzo tuo consenso
L'esistenza di un contratto un obbligo di legge che mi imponeva di trasferire questi dati in un Paese terzo
Questo è importante perché e ha molta pubblica amministrazione utilizza fornitori esterni che sono soggetti privati magari questo jet privati possono essere soggetti alla volta
Obblighi di trasferimento delle informazioni per la loro gestione verso un Paese terzo non due e e fanno parte un gruppo multinazionale la cui sede operativa di foglie non europea
Allora questo è un punto di attenzione perché prima di rivolgersi a determinati soggette occorrerebbe di nuovo verificare che questi responsabili del trattamento Esterni magari siano soggetti che magari svolgono il trattamento in Paesi terzi quindi su quale base questo trattamento questo quindi trasferimento che poi seguito data al trattamento prese terzo avviene io devo saperlo come titolare perché i devo dire al mio interessato il tuo dato sottoscritto imprese verso su questa base questo lo prevede il Regolamento quindi ovviamente salvo che non ricorrano a quelle deroghe dicevamo prima l'articolo ventitré del Regolamento ma insomma le vere che non sono assolute noi quindi come sapete devono essere ogni caso conforme a quei principi di necessità proporzionalità eccetera
Il Regolamento suggerisce anche di dare la possibilità di una consultazione da remoto dei propri dati quindi di nuovo misure tecniche organizzative che per esempio vi consentono al menti accedere accreditati in forma sicura magari con canali criptati ai militari senza quindi necessita di espletare una richiesta di accesso caso per caso e questo scritto non considerando quindi elementi da tenere presente
Diritto di rettifica brevemente è un diritto che conosciamo che cosa ottengo con la mia tua mia richiesta la rettifica che inesatti o l'integrazione dice il Regolamento quindi di dati incompleti tenendo conto le finalità
E interessante dire che e chiarire che regolamenta esempi ci dice che questa esercizio del diritto si esplica anche attraverso l'inserimento di una dichiarazione integrativa ovvero sia il titolare può dare risposta alle richieste di rettifica
Aggiungendo praticamente al dato senza modificarne la sua diciamo originalità con la dichiarazione integrativa queste qualcosa che garante in questi anni a propugnato sue decisioni specifiche tre per il caso famoso diciamo al cosiddetto sbattete zone registro dei battezzati no cioè non è possibile
Ottenere la cancellazione la rettifica del dato dell'avvenuto battesimo della persona che chiede di essere in qualche maniera di uscire diciamo così da
Dal dall'ambito del della della Chiesa cattolica però e possibile che iscriva da da qualche parte che quella persona ha chiesto quanto se che quindi non vuole più essere considerata un battezzato
Ad esempio per farvi capire come questo tipo di diciamo
Dichiarazioni integrative consente di mantenere integro il dato originale ma di soddisfare
Il diritto alla rettifica della persona questo regolamento lo pone chiaramente come una delle possibilità che devono essere
Espletate
Detta la cancellazione dirò ancora brevemente due cose su due diritti queste la corte verità perché forse sono di più interesse per la per la pubblica ammissione per tutti noi
Dite all'oblio infetto in verità la cancellazione rafforzata se vogliamo dire perché sostanzialmente questo è rafforzata perché c'è anche un obbligo per i titolari di informare gli altri titolari a cui abbiano reso pubblico quel dato di cui si chiede la cancellazione
Che appunto è stata chiesta la cancellazione quindi devono consigliere del dato come cancellato da cancellare compresi Linke copie evidente che tutto questo nasce appunto dal attenzione al digitale quindi stiamo parlando si parlato realtà soprattutto del del web per questo diritto
Però appunto diritto nuovo solo falloso in parte in realtà vecchie lire che questo diritto non si applica ai trattamenti necessari per l'adempimento di un obbligo di legge o periferica di interesse pubblico né si applicano anche sanitari espressamente quindi e chiaro che in tutti questi ambiti gli ambiti in cui più normalmente i soldi che amministrazione non esiste un diritto all'oblio quindi va detto perché magari uno si crea una serie di e timori no perché ritiene che come faccio a conciliare certi obblighi naturalmente di legge che mi sono imposti con questo diritto che dicendo dal regolamento europeo bene Regolamento chiaramente ha escluso l'applicazione di questo tipo di diritto proprio per questi ambiti di Fini da nella misura in cui la pubblica amministrazione agisca su quella base non è tenuta a esercita dare esercizio all'oblio
Il diritto di difesa del trattamento a qualcosa di più del blocco del trattamento è importante dirlo fondamentalmente prevede il diritto di congelare il dato e congedare contrassegnano idolo quindi questo contrassegno andato personale una misura che deve essere poi adottata pure io interessato chieda la cui carne stazione di tenersi dal dal trattare quel dato oppure di conservarlo senza cancellarlo novanta seminato periodi conservazione previsto per legge
Perché magari avete dato serve presente in un procedimento giudiziario io me ne devo servire per discipline difesa allora io chiedo che venga congelato quindi limitazioni trattamenti significa nessun'altro trattamento è possibile tranne la sua conservazione però contrassegnata
La portabilità la portabilità l'altro diritto che volevo parlarne in realtà diritto come si detto nuovo è significativo maggiore controllo all'interessato i propri dati però sia perché infatti e trattamenti automatizzate quindi non siate che trattamenti non automatizzati
Come vedete
Però appunto non si applica ai dati che di nuovo sono trattati per finalità di interesse pubblico sulla base di obblighi di legge che incombono sul titolare
Né in particolare per finalità di archiviazione di pubblico interesse e così via perché il regolamento ci dice che questo diritto esercitabile a tutto a due condizioni Luna
Che sia un trattamento di dati automatizzati l'altra che certamente si basi sul consenso appunto o un contratto stipulato con l'interessato quindi quando queste condizioni non ricorrono la portabilità non vale
Dichiaro che di nuovo il Regolamento legislatura per valuto
Come dire escludere gli ambiti stanziamenti pubblici da questi diritti per le motivazioni che possiamo ben immaginare cioè per l'esistenza di una serie di
Appunto obblighi così superiori che prevalgono constato che il bilanciamento è stato fatto dal dal legislatore sul diritto della persona a portarsi i propri dati presso l'ATO titolare o a chiedere al titolare di trasferirli
Ad direttamente appunto ad un altro titolare e questo prevede l'interoperabilità chiamata quanto requisito importante in base al Regolamento certe garantire la portabilità dei dati dal titolare a partito da rugby
Che l'area devi trasferire questi dati atteso dalle big in un formato interoperabile cioè
Leggibile diciamo così per dispositivo automatico come dice il Regolamento quindi io non posso mandare come presente che è stato più volte se io chiedo intimidazione inviati io interessato chiedo al titolare attingere imitata titolare B
Che fare hanno può limitarsi a inviare questi dati in formato proprietario non formato il PDS per esempio far vuote perché questo non è un formato interoperabile quindi occorre individuare lavorare su appunto queste interoperabilità dei sistemi informativi perché ci deve essere quindi esistono standard appunto interoperabili come saprete e quindi il Regolamento favorisce di nuovo una certa armonizzazione da questo punto di vista
Per concludere un ricordo un richiamo al fatto che l'articolo settantasette del Regolamento come saprete
Prevede il diritto per l'interessato di proporre un reclamo così così sì si chiama all'autorità di controllo competente qualunque atleta non solo quello il proprio Paese peraltro però mi ha detto che per quanto quei trattamenti svolti dai soggetti pubblici chiaramente il regolamento stabilisce che l'unica autorità competente quella dello Stato nazionale ove quel soggetto autorità pubblica barra dritta nazionale
è stabilita sede quindi è chiaro che per quanto riguarda diciamo le problematiche unica amministrazione la competenza del garante
Spetta ai trattamenti svolti e tutti i soggetti pubblici o dalle autorità pubbliche in base a quell'articolo del Regolamento naturalmente questo non vale per i soggetti privati perché precetti privati
Il Regolamento sposa un approccio appunto di nuovo più europeo e prevede che in alcuni casi autorità competente non sia quella del Paese
Dove l'interessato risiede magari ma quella del paese di stabilimento principale del titolare quella diciamo del paese in cui e quel titolare ha deciso di pensare modalità decisioni fondamentali sul trattamento questo significa che una sette una serie di disposizioni Regolamento che disciplinano questo famoso sportello unico che però a noi come pubblica amministrazione interessa relativamente perché appunto la pubblica amministrazione avrà alcuni contro cultore dato l'età di controllo nazionale
E questo importante ovviamente però questo non significa che la quota di conto nazionale andrà per proprio conto perché esiste questo Comitato europeo lezione dati esistono quinte le istanze europee che servono a garantire un'uniformità anche nell'approccio nazionale veramente ai soggetti pubblici la danza pubbliche e tutto questo insomma
Ci riporta ancora una volta l'idea che questo è un Regolamento
E che insomma dobbiamo tenere presenti
Presente il quadro complessivo se vogliamo ragionare in termini di visione complessiva appunto e di cambiamento complessivo di cultura come si diceva prima
Io ho finito mi scuso questa carrellata un po'veloce ma d'altra parte il tempo stringe fa poi metteremo a disposizione per eventuali domande che vi fossero successivamente grazie
Grazie grazie alle il dottor Caselli
Per confortarla lei diciamo che la voce invece era molto accattivante e suadente
Quindi il virus non ha colpito in maniera così chiara e netta
E introduciamo il prossimo relatore che già seduto al tavolo sul palco il dottor Claudio Filippi dirigente del Dipartimento attività ispettiva
Il tema e l'organizzazione della privacy i ruoli e gli adempimenti come cambiano i principi e di diritti degli interessati prego
Tre
Ma Blau sociale c'azzecca parla eravate su una buona strada
Se possibile chiedo scusa dottore ma io insomma continuo con questo metodo democratico dalla platea arriva una ferma richiesta sul su sulla possibilità di abbassare un po'insomma l'intensità delle luci ove possibile
In modo tale da consentire una maggior visione dello schermo perché ad alcuni intervenuti arriva proprio negli occhi la giuridico bene
è poi chiedono ormai come vedete non ci si può dare un dito si prendono tutto l'amante qualcuno anche freddo chiedono insomma il riscaldamento pazzo
Ma vista pervenire il virus perché proprio freddo freddo direi di no però va be'ho detto anche questa cosa allora prego dottore mi scusi grazie
Il c'è sporche Remo le mani vi accompagnerò fino allora di pranzo ma non sarà un aperitivo la chiacchierata che faremo riguarderà la definizione di quei soggetti
Che abbiamo visto sono tenuti a fare tutte le cose che ci sono state illustrate questa mattinata la presidente al dottor Modafferi verso dal dottor Caselli
Le caratteristiche di questi soggetti perché vanno individuati puntualmente nell'ambito delle amministrazioni dove voi operate puntualmente
Abbiamo i cosiddetti attori i loro ruoli visto che siamo a teatro queste definizioni ci stanno calzano a pennello il titolare il contitolare il responsabile del trattamento dati e vedremo anche una figura non marginale che è quella dell'attuale ben conosciuto incaricato del trattamento se c'è se non c'è che fine ha fatto
La prima caratteristica quella di capire con precisione chi è titolare trattamento non si discosta molto dalle caratteristiche già a il titolare del trattamento lo vediamo e nella definizione dell'articolo quattro pare fossette del Regolamento
Ecco lui che singolarmente o insieme ad altri determina due cose le finalità e i mezzi del trattamento quindi non è una figura di secondo piano è il principale attore
Dell'azione di governo se vogliamo definirla così dell'attività di trattamento dati personali quindi se vogliamo dirla in termini più semplici colui che garantisce la protezione dati personali è il titolare del trattamento noi i cittadini utenti di qualunque servizio affidiamo
I dati personali a un titolare trattamento che li raccoglie secondo il proprio ambito di trattamento e quindi lo fa secondo finalità e mezzi che Louis d'esser chiamato a determinare in questo ruolo quindi se vogliamo dirla direttamente le responsabilità di tutto ciò che è stato descritto questa mattina incombono sul titolare del trattamento come già all'attualità
E anche le conseguenze di quell'accountability o della mancanza d'cantabili che farà capo al titolare del trattamento
Insieme all'UE la novità appunto è quella del contitolare del trattamento che non è una figura che esce dal dal cilindro magico ma è colui che insieme al titolare determina congiuntamente finalità e mezzi del trattamento al pari del titolo e trattamento
Questa definizione importante perché non possiamo improvvisarsi la qui in sala avete forse già visto ci sono figure in divisa il comandante Menegazzo due validi collaboratori indivisa la Guardia di Finanza
Rappresenta nel nucleo della protezione dati personali presso la con la guardia di finanza che collabora con il garante attraverso un protocollo con loro ci siamo ci approcciamo tutti i giorni in attività ispettive e di controllo
Ebbene in questa attività molto spesso il titolare messo all'angolo messo alle strette nella fase di controllo quando il trattamento vediamo che non è molto ben diciamo sotto le regole conforme titolare di c'era una guardia però mi avvalgo di un altro soggetto magari esterno che Empoli lui che ha deciso il modo con cui io tratto i dati personali Erika aveva da questo da cosa discende dove troviamo le regole Vanguardia un patto finisce lì
L'attività il contitolare qui invece regolamentata è un soggetto un eventuale partner del titolare trattamento che non può essere improvvisato vedremo a quali regole soggiace
La contitolarità il trattamento quindi essendo formalizzata per la prima volta attraverso la scia del Regolamento a livello europeo
Deve individuare alcune caratteristiche formali come venga in contatto questo contitolare che ruolo ha
Come vedete nella prima schiera sinistra il contitolare termina con accordo interno le responsabilità nel rapporto con il titolare del trattamento principale
Chi osserva gli obblighi come quindi con quali modalità come fare se citare i diritti dell'interessato quindi se ne abbiamo due soggetti titolari che collaborano nella definizione delle finalità quali finalità corrispondono a uno quale finalità corrispondono all'altro chi vi ha determinato in questa fase osmotica di trattamento dati non può essere uno scaricabarile no è colpa sua non ha colpa dell'altro ben chiaro
E l'accordo interno diventerà un elemento dirimente
Sulla chiarezza sulla trasparenza di questo rapporto e quindi l'interessato potrà rivolgersi all'uno o all'altro o indifferentemente sulla base anche degli elementi messi in trasparenza nella scala di destra
Ho messo in evidenza proprio come la corda interno negli elementi essenziali sarà messo a disposizione degli interessati però per far vedere che guardate che su questo trattamento che vi coinvolge interessati
Maroni due in meno di tre soggetti siamo contitolari via trattamento è abbiamo queste regole di distribuzione dei ruoli nel trattamento dei vostri dati personali
Il primo suggerimento ovviamente capire chi determina finita i mezzi in una pubblica amministrazione perché poi in concreto quando tornate a casa il Sindaco il ministro il capo di gabinetto di chiamarvi dice va bene quindi cosa dobbiamo fare rete fatto uno o più corsi di formazione dobbiamo determinare a chi compete cominciare a mettere nero su bianco
Le le i ruoli e le caratteristiche ho messo in evidenza in questa Scheda insomma poi chi rimane a vostra disposizione ma soltanto un breve vademecum alcuni elementi che caratterizza ogni rapporto sulla formazione della volontà dell'ente
Non faremo un trattato diritto amministrativo naturalmente ma serve solo a capire che c'è bisogno di comprendere nel ciascun ente quello piccolo pensato un comune con cinquanta abitanti
Da governare o un comune grande come Milano Roma
Ho Bari oppure un ministero una multinazionale quindi come vedete per ordine di dimensione grandezza la volontà dice questi enti è diversificata nel loro modello organizzativo nella pubblica amministrazione comunque corrisponde a regole il diritto costituzionale amministrativo ben chiare
Abbiamo la possibilità di avere la delega di funzioni che ovviamente deve tener conto dell'ordinaria attribuzioni degli organi sia nell'atto costitutivo che nello Statuto è questo l'elemento dirimente
Per essere quelle più pratici possibile è chiaro che la Costituzione ci fa da faro di riferimento all'articolo novantasette vedete in ai pubblici uffici sono organizzati secondo disposizioni di legge né rispolverare un po'il nostro diritto costituzionale amministrativo vi evidenzio nel secondo periodo
L'ordinamento degli uffici ci sono le sfere di competenza e di attribuzione
Vediamo un attimo nelle attribuzioni è chiaro che ogni soggetto pubblico ha per legge specifiche attribuzioni pensate di garante protezione dati rispetto al Garante per la la per le comunicazioni l'Antitrust alla Consob persa nell'aria dell'autorità amministrativa indipendente ognuna di esse ha propri proprie attribuzioni stabilite dalla legge
In nei Comuni o nelle regioni anche se ognuno ha proprie proprie attribuzioni che sono distinte invece dalle competenze le competenze fanno capo agli organi di riferimento di ciascuno di questi enti pensato in un comune cioè il Consiglio la giunta il sindaco e la classe dirigente
Ecco è evidente che questa ripartizione di competenze si trasferisce l'una all'altra non con un atto amministrativo quindi la Giunta non potrà dire da oggi in poi io mi occupo di queste otto di quell'altro perché le sfere di competenza sono stabilite appunto da norme specifiche
Tuttavia ho messo alla destra alcune istruzioni per arrivare a dimostrare che poi la soluzione amministrativa sarà la Degradi funzioni come avviene avviene appunto perché non ci si sforza essa delle sfere di competenza di ciascun organo ma ciascun organo potrà delegare l'altro a effettuare alcune attività senza sposta Salsano mia delega di funzione funzione proprio in questa maniera agisce
Attraverso queste attività per cui il sindaco potrà presente delegare alcune funzioni che gli spetta nell'ambito restare di competenza a un altro organo che appartiene a quello stesso ente
Sulla base di questa delega di funzioni puntuale specificasse ritorno norme con di Statuto dello consentono sempre in termini molto pratici ho portato qui l'esempio del Garante protezione dati perché o si dare l'esempio pratico e concreto
Di come si può agire abbiamo Regolamento del due mila sulla nostra organizzazione presso l'autorità amministrativa indipendente quindi garante come ente ha delle prove attribuzioni previste dalla legge
Poi al suo interno gli organi garante come organo collegiale del presidente il segretario generale e i dirigenti hanno loro specifiche sere di competenza
Quindi come del Garante cosa fa determina gli indirizzi criteri generali innominata sul Prosecco ex presidente il segretario generale conferisce l'incarico di dirigente e altre situazioni il presidente in particolare che qui oggi presente come avete visto rappresenta il garante
Convocare riunioni e poi può anche stabilire la conciliazione o la transazione su alcune attività specifiche
Ecco il segretario generale in questo contesto cura l'esecuzione delle delibere lettera di di questo articolo sette del Regolamento esercita i poteri delegati dal Garante o dal Presidente questo è un tipico modello organizzativo dove la delega di funzione è prevista espressamente in capo al segretario generale quindi alcune attività tipiche del titolare che l'organo collegiale con le sue stelle di attribuzioni attraverso il presidente che lo rappresenta
Possono essere esercitate con questa delega direttamente al segretario generale che ha questa facoltà prevista dalla norma quindi questo è il modello organizzativo amministrativo per determinare le scelte della volontà di mente attraverso la struttura amministrativa che gli compete
La responsabilizzazione quindi abbiamo individuato questo soggetto che ha gli obblighi degli oneri in termini operativi la responsabilizzazione più volte evocata fa capo al titolare del trattamento
Al cui attribuita al ho attribuito l'onere di rispettare i principi applicabili al trattamento dei dati personali
Quest'onere ovviamente
Ci deve far far sì che dobbiamo recuperare come un filo conduttore quali sono le caratteristiche della responsabilizzazione noi già la conosciamo nel Codice all'articolo undici ci ha sempre consentito di avere un bandolo della matassa
La ricetta correttezza e trasparenza raccolti i dati per scopi per finalità determinati espliciti e legittimi nella pubblica amministrazione ogni atto amministrativo e regolamentare è un po'il filo conduttore dei compiti affidati a quel soggetto pubblico
L'esattezza dei dati è un rapporto di trasparenza con l'individuo
La conservazione ricordate quando una pubblica amministrazione introduce un sistema di videosorveglianza gli abbiamo detto nella legge con atti delle garante Cheli può conservare soltanto al massimo per sette giorni tanto per richiamare i principi hanno i ben noti ecco tutti questi principi appartengono sono alla base del principio di responsabilizzazione
Del trattamento dati personali
Il secondo soggetto attore
In questa attività è il responsabile del trattamento dati è colui che la norma dice tratte da di per conto del titolare del trattamento quindi la tipica attività di esternalizzazione di outsourcing che voi ben conoscete con la pubblica amministrazione qui trova la legittimazione da Segura non potrà non essere che quella di un responsabile trattamento dati e con certe caratteristiche soggettive che già ben conosciamo quello dell'articolo ventinove del Codice protezione dati vigente
Avvilisce requisiti le modalità di designazione di questo responsabile in tutte le fasi di trattamento dove l'Amministrazione titolare non se ne occupa direttamente nel suo alveo ma lo affida all'esterno l'esempio classico las la la predisposizione del cedolino dello stipendio
Non è mai fatta in casa una gran parte casa venne fatta esternalizzata presso soggetti esterni che sia una società per responsabilità limitata piuttosto che altri soggetti anche S.p.A.
Ecco questa figura di responsabile fino ad oggi non poteva non ha mai potuto avvalersi di altri soggetti esterni
Con le il Regolamento finalmente questo è possibile quindi irresponsabile esterne in outsourcing
Può designare un altro soggetto esterno quale sub responsabile del trattamento dati quindi un avvalimento htm attenzione però
La regola stabilita dal dal Regolamento è che ci sia una previa autorizzazioni scritta specifica o generale da parte del titolare del trattamento nel Confort unti del titolo del responsabile principale
Ad avvalersi di uno o più sobria responsabile
Sotto la voce attenzione che ho voluto mettere in evidenza nella Scheda alla vostra attenzione è proprio la circostanza che se di Amy inadempimento nella catena di sub responsabilità
Da parte di uno dei su Bresso instabili ne risponde il responsabile principale quello legato con un filo doppio al titolare del trattamento quindi attenzione non la su Bresso instabilità non allenta il cordone di responsabilità fra titolare responsabile principale
Questo è un elemento molto importante perché quando andiamo a fare attività ispettive e di controllo non vogliamo vedere delle catene a Sant'Antonio a di questo ne rispondo non so nulla perché se ne occupa quello quello so volta mi dice se ne occupa quell'altro
Su questo profilo titolare responsabile sono i primi esseri chiamati non a caso infatti nella formuletta che vi ho riportato in basso a sinistra anche ai fini del risarcimento ne risponde
Dinanzi al titolare dell'inerentemente responsabile primario
Quindi questo elemento questo ruolo non attenua non altre rallenta la tensione emotiva fra nel trattamento dati nelle sue responsabilità fra titolare responsabile
è una facoltà un'opportunità quindi è un modo per semplificare le modalità di trattamento dati che vengono consegnate al titolare del trattamento che se ne può valere ma non allenta appunto questo principio
Sorriso al cimento ovviamente diciamo semplicemente due battute
Per dire che è responsabile risponde per danno se non ha adempiuto agli obblighi previsti dal Regolamento
Preposti previste apposta per responsabile ma anche se ha agito senza rispettare le istruzioni del titolare
Quindi come accade adesso con l'articolo ventinove
è soggetto a un profilo risarcitorio il responsabile che disattende quelle istruzioni fermo restando che se le disattende al punto da individuare
Con i dati che ha ricevuto in affidamento proprie finalità
Diventa a sua volta titolare del trattamento e ne consegue quindi un quadro di riferimento anche sanzionatorio ben più pesante rispetto una semplice disattenzione negligenza nel rapporto con le istruzioni da parte del titolare
E approfondiamo ancora di più a questo punto questo responsabile che ho definito con tante responsabilità
Dovrà stabilire modo un accordo così come previsto ciò che lega l'atto giuridico che lega titolare con contitolare ma un vero e proprio contratto o un altro atto giuridico equivalente che stabilisca proprio gli elementi essenziali
Del rapporto su del trattamento dati personali quindi in questo elemento che lega titolare corresponsabili e di conseguenza anche con i suber responsabile attenzione ci c'è scritto quale lo Statuto delle relazioni che lega i due o più soggetti
Questo contratto deve essere in forma scritta anche in formato elettronico dice la norma
Ma deve avere questi contenuti obbligatori materie durata natura e finalità tipi di dati e categorie interessati obblighi e diritti del titolare
Del trattamento
Questo ha un significato molto importante io sulla base sulla destra ho messo in evidenza alcuni punti che caratterizzano i contenuti di questi argomenti che stanno sulla tabella di sinistra in particolare duelli vedete sottolineati li assegnerà i con voi soltanto per farmi capire l'approfondimento fin dove deve arrivare
Per esempio nel rapporto con il responsabile il titolare deve stabilire per iscritto che il Conseil certamente consentito solo a persone autorizzate con impegno alla riservatezza
E che abbiano un adeguato obbligo legale di riservatezza vuol dire quindi questo soggetto esterno quando gli affida il patrimonio informativo del titolare affinché lo tratti Luís in mio con per mio conto
Mi deve garantire che le persone che poi materialmente trattano quelle basi dati le registrano le usano le scaricano attraverso la chiavetta levi copiano
Le lo facciano attraverso una un quadro come di assegnazioni di compiti
Ben puntuale ben stabilito perché ne risponde il titolare nel rapporto corresponsabili attraverso il contratto
Impianto contrattuale è cosa ben diversa da una pacca sulla spalla va bene occupate che tu perché io non ho queste competenze da oggi il contratto sarà un elemento ben più forte
Il secondo punto sottolineato è che abbiamo finalmente messo nero su bianco che irresponsabile una volta che abbia per esempio terminato il suo compito contrattuale deve cancellare restituire tutti i dati e cancellare le copie esistenti cioè non rimangono nelle loro mani tracce dell'affidamento di tutto quel patrimonio informativo
Un elemento importante
L'abbia messo nero su bianco vuol dire che tu mi devi dar prova divelte Ance lato quello che ai e questo è l'elemento documentale di risulta del trattamento svolto affinché io possa magari mettere di nuovo a gara all'appalto
E fornirla un altro soggetto fornitore terzo
Cosa che fino ad oggi invece non accade quasi mai proprio per il legame a doppio filo sulle basi dati di cui diventano proprietari propri soggetti in outsourcing questo elemento è molto importante caratterizza la novità sull'uso di questo contratto fra titolare responsabile
La domanda sorge spontanea sarebbe utile a questo punto avere un contratto tipo che ci facili di compiti come pubblica amministrazione
Ebbene effettivamente ci dovrebbe essere a breve una soluzione due sono i soggetti che devono predisporre questo contratto tipo o direttamente alla Commissione che stabilisce un contratto tipo standard sulle materie oggetto
Tra titolare responsabile oggetto di contratto viene o anche direttamente il garante sure molteplici attività i compiti che deve porre in essere anche quello di stabilire questo modello contrattuale
D'altra parte come sapete dal dodici dicembre due mila sette quindi ormai da trenta giorni è vigente
La legge cioè sessantasette che ha modificato l'articolo ventinove proprio sul responsabile trattamenti all'articolo al comma quattro bis dell'articolo ventinove
Ha introdotto questo passaggio i titolari stipole Amigoni predetti responsabili atti giuridici in forma scritta quindi anticipando un po'il contenuto del regolamento del di ottenerlo strato
Dove si stabilisce in questo atto School for la scritta che cosa finalità tipologia durata obblighi diritti che sono un po'tutte quelle caratteristiche abbiamo visto poc'anzi in questo caso i i preti atti sono adottati in conformità schemi tipo predisposti dal Garante
Quindi c'è già un obbligo di legge vigente a trenta giorni sulla base del quale è possibile stipulare contratti alcune domande sono già pervenute dicendo ma in mancanza di questi contratti tipo noi cosa facciamo benissimo non c'è nessun obbligo
Ovviamente perché è una facoltà ma naturalmente qualunque tipo di contratto che abbia questi contenuti ben venga può essere stipulato fra le parti senza vincolo di non conformi da un modello tipo perché ovviamente non è obbligatorio l'uso del modello CID anticipando così risposte a domande che sono già pervenute
Terzo
E profilo di approfondimento della mattinata e mi avvio alla conclusione sapendo che sapete già molto stanchi è quello se esiste la figura dell'incaricato
Nei termini giuridici la parola incaricato nel regolamento non esiste tuttavia ne abbiamo tre elementi sintomatici il primo è che si definisce soggetto terzo
Quella persona fisica o giuridica o pigliavo anche servizi organismo che non sia una persona autorizzata al trattamento dati quindi per trattare i dati bisogna essere autorizzati temi già in qualche maniera introduciamo una al vero
Di competenza nella figura dell'autorizzazione l'essere autorizzato che ci avvicina alla figura dell'incaricato del trattamento per essere più precisi tuttavia altri due elementi sintomatici ci caratterizzano l'istruzione
Il responsabile trattamento o chiunque giusto sotto la storia autorità quindi parliamo del responsabile di quello che agisce per conto del titolare
Può consentire l'accesso solo a colui che ha istruito
Quindi con istruzioni specifiche
E queste istruzioni vengono dal titolo del trattamento quindi la relazione che lega in quella in quel contratto Ceva fatto vedere prima però sottolineato dev'esserci specifiche istruzioni sull'uso e dati personali
Altro elemento l'articolo trentadue sulla sicurezza del trattamento chiunque agisca sotto l'autorità del titolare o delle sanzionabile accesso dati personali lo può fare solo se istruito
Quindi ovviamente la attività di essere un soggetto autorizzato chi agisce con istruzioni ecco che ha le caratteristiche soggettive e oggettive funzionali per essere un incaricato del trattamento in nel senso che noi già attualmente conosciamo
Gli adempimenti e titolare del responsabile l'abbiamo vista mattine nella carrellata
Approfondita da parte del dottor mora seri alcuni li abbiamo visti adesso con il dottor Caselli li vediamo qui riassunti con un uno specifico scopo registi attivi del trattamento produzione impatto e consultazione preventiva del Garante responsabile della prossima i dati di tiro e sicurezza dati personali tutti questi elementi
Fanno capo agli obblighi
Del titolare
Ho dal responsabile del trattamento da
Bene
Questi
Sono tutti accomunati dalla circostanza ai miei e questa è l'aperitivo prima di pranzo che le sanzioni FIAT si applicano a quei soggetti
Che sono obbligati ad adempiere appunto a queste a questi all'adozione di questi diverse attività
La cui mancanza viene rilevata nell'ambito di istruttorie di accertamenti ispettivi o anche di segnalazioni
Prevede la sanzione fino a dieci milioni oppure per le imprese fino al due per cento del fatturato mondiale totale
Queste caratteristiche fino a dieci milioni perché ovviamente sono adempimenti di oblio
Sui principi ovviamente di cui oggi non abbiamo parlato
Market sono altrettanto importanti queste sanzioni poi si spostano nella nell'altro parametro fino a venti milioni quindi ovviamente i due parametri di riferimento devono farci capire che tutto quello che io avevo parlato intere di accountability
Sono poi
All'interno di una rete a maglie molto stretta che prevede delle sanzioni in caso di mancanza
E qui l'ultima Scheda prima di lasciarci l'ho messo in evidenza perché sono descritte le condizioni per infliggere la sanzione non voglio torturati ma solo farvi capire negli punti quattro e otto
Come il titolare responsabile se la può cavare se va a guardare quando io dovessi applicare una sanzione quando o un occhio di riguardo a quel titolare a quel responsabile chiamo nazione proattiva attenta
Per esempio nel punto quattro
Vada a verificare se abbia tenuto conto delle misure tecniche organizzative sia messa in atto ai sensi dell'articolo venticinque trentadue venticinque
Quelle principe di Baj designer by default di cui si è parlato prima e trentadue sono le misure di sicurezza
Oppure al punto otto la maniera con cui l'Autorità di controllo è venuto a conoscenza della violazione
Quindi se se n'è accorta perché c'è una segnalazione o perché presente c'è stato un data Briceni è lo stesso titolare che sia me ne a Protti va corto che c'era una falla
E quindi l'ha denunciata è subito intervenuto per mettere mano al problema per evitare che l'interessato posso subire dei danni è un documento maggiore di quello che avrebbe visto che la falla comunque è un elemento oggettivamente intervento
Ecco a queste condizioni ovviamente il modo con cui il titolare può rendersi parte attiva lo troviamo anche nella fase posticipata dove l'eventuale sanzione che dovesse intervenire lo vede sempre attore principale
Grazie per l'attenzione buon pranzo
Grazie a lei dottor Filippi Doi prendiamo sessanta minuti di pausa vi diamo appuntamento dopo per proporvi altre relazioni di questa giornata
A più tardi grazie
Teatro così come la scuola ricordate siglavo non la fine del ricreazione consigliere dunque accomodatevi perché davvero tra un minuto ricominciamo
Perché a questa proposta
Allora i nostri relatori ci sono già accomodati
Avremo modo di presentarli tutti naturalmente nel corso di questo pomeriggio cominciamo con la dottoressa Anna Carla villone del dipartimento libertà pubbliche sanità
Il tema il responsabile della protezione dei dati i nomi Bitto pubblico dottoressa a lei la parola grazie
Buonasera a tutti mi scuso e intanto per la voce perché anch'io sono reduce da qualche giorno di mali di stagione cercherò di di tenere la voce un po'un po'alle città allora mio intervento come vedette
E dedicato alla figura del responsabile della protezione dei dati personali
Per introdurla ancora una volta faccio riferimento ad uno dei concetti più richiamati stamattina de quello del principio di responsabilizzazione di accountability
Che abbiamo visto porre diciamo
Il titolare del trattamento in una posizione di maggiore responsabilizzazione appunto per quanto riguarda l'attuazione dei principi e delle regole sul trattamento dati
Ma una figura molto importante in questa nuova ottica è proprio quello
Proprio questa figura del responsabile della protezione dei dati perché svolgeva all'interno dell'organizzazione nel titolare un importante ruolo e di facilitatore i facilitatore nell'attuazione dei principi e delle e delle regole
Dobbiamo dire che questa figura sebbene non fosse prevista dalla normativa europea precedente
In realtà non è una novità assoluta nell'ambito della protezione dei dati perché non è una figura che era presente già nella prassi di altri stati membri ma anche nella prassi italiana
E facendo riferimento al la diciamo al nostro territorio nazionale nonna mi riferisco soltanto al mondo della grande impresa mai telefonici agli assicurativi che erano dotati di figure
In qualche modo analoga a questa sebbene con alcune differenze che poi vedremo
Ma mi riferisco anche al settore della pubblica amministrazione perché soprattutto le grandi pubblica
Amministrazioni e faccio riferimento alle agenzie fiscali ai grandi enti previdenziali molte regioni che avevano già all'allora interno
Delle figura è che svolgevano quanto meno alcune delle funzioni che la nuova normativa europea attribuisce a a questa figura e probabilmente proprio dalla esperienza positiva fatta con la presenza di queste figure all'interno delle organizzazioni dei titolari il legislatore comunitario sia determinato a prevederla come ha piegato obbligatoria in determinati ambiti
è a darne una disciplina prevedendo nello specifico requisiti e specifiche garanzie
Per lo svolgimento appropriato dei compiti che egli andato ad attribuire
Questa figura
Come già anticipato riveste un ruolo strategico nella nuovo sistema di governance i dati perché riveste un ruolo centrale
Un ruolo centrale rispetto a tutta una serie di soggetti in primis nei confronti del titolare o del responsabile del trattamento
Nei confronti del personale che tratta dati perché e confronti di questi due di questi due Soggetti il responsabile la protezione dei dati costituisce un importante referente al quale faranno riferimento ogni qual volta si tratta di assumere delle decisioni decisioni che impattano sul trattamento dei dati e comunque una figura che al centro
Della diciamo del nuovo quadro di protezione dati anche per quanto riguarda l'esterno quindi Cam costituisce al contempo anche un punto di riferimento per gli interessati
E anche per l'autorità di controllo per il garante per la protezione dei dati perché costituisce prova appunto l'anello di colloqui di collegamento tra il titolare l'autorità di protezione dati ma questo non specifico lo
Vediamo un po'più avanti
Come saprete e disciplinato da alcune norme del Regolamento gli articoli trentasette trent'mille trentanove del Regolamento dal considerando novantasette dello stesso Regolamento
A questa figura sono dedicate le linee guida sui responsabili della protezione dei dati adottato del gruppo ex articolo ventinove e anche il garante per la protezione dei dati ha recentemente fatto la sua parte adottando del
Indicazioni delle delle
Delle indicazioni su questo su questo argomento che sono specificamente dedicate proprio questo uditorato proprio al settore pubblico
Rispondendo in qualche modo a tante sollecitazioni che ci sono pervenute in questo percorso di incontro con le pubbliche amministrazioni che abbiamo avviato nel mese di maggio di quest'anno
Parlando del settore pubblico iniziamo subito col dire anche e il nostro nuovo quadro normativo di riferimento prevede l'obbligo di designare il responsabile per la protezione dei dati proprio nel settore pubblico
E la ratio di questa scelta risiede probabilmente nel fatto che a fronte dei trattamenti di dati personali effettuati dai soggetti pubblici e il all'interessato a o diciamo non scarso margine di discrezionalità se far trattare i propri dati quindi se consentirono consentire il consenso come sapete ma questo già anche nella nostro ordinamento precedente al regolamento
Non è un presupposto di legittimità del trattamento
Quindi interessa attorno a un un scarsissimo margini di discrezionalità sui trattamenti di dati che lo riguardano è probabilmente questo obbligo deriva anche dalla diciamo no dal contesto storico attuale
Delle pubbliche amministrazioni che sappiamo possedere delle grandissime banche dati ma anche dati che sono sempre più connesse che sono sempre
Dei punti di PIL di partenza
Quindi importanti flussi di dati personali
Pubbliche amministrazioni che si sono attualmente coinvolte nelle sfide e della dell'amministrazione digitale questo in Italia ma penso nel contesto europeo
Quindi a fronte di queste specificità del settore pubblico sta la norma è stata dettata la norma che impone nell'ambito pubblico l'obbligo di nomina del responsabile della protezione dei dati va detto subito che cosa si intende per settore pubblico quindi quali sono i soggetti destinatari di questo obbligo intanto al regolamento europeo non dà una definizione liquidi
Autorità pubbliche organizzati organismi pubblici in ciò rinviando alla normativa nazionale
Per quanto ci riguarda quanto meno allo stato attuale e l'ambito di riferimento di questo obbligo di questa lettera a dell'articolo trentasette e quello attualmente di applicazione degli articoli diciotto e ventidue del codici
Quindi le amministrazioni centrali dello Stato anche con l'ordinamento autonomo enti pubblici non economici sia nazionali regionali e locali
Il mondo dell'università eccetera insomma tutti quei soggetti che attualmente hanno applicato quelle norme del Codice Privacy italiane che sono rivolte ai soggetti ai soggetti pubblici
Abbiamo detto obbligo di destinazione per le pubbliche amministrazioni e per altri casi previsti sempre dall'articolo trentasette nelle lettere di e ci che riguardano il i trattamenti effettuati su larga scala da per quanto riguarda il monitoraggio sistematico degli interessati oppure il trattamento sempre sull'arca scala di categorie particolari di dati o dati relativi a condanne penali reati
Al di fuori di questo ambito di obbligatorietà previsto da queste norme
Uno diciamo delle una delle richieste che è pervenuta al Garante in questo prevede diciamo in questo
In questi incontri
E che cosa accade a tutto diciamo quel settore privato che ruota intorno al settore pubblico e faccio riferimento a tutte quelle società che forniscono servizi che agiscono per conto delle amministrazioni
Io Sorsa Sting generale oppure anche soggetti privati che svolgono funzioni pubbliche per esempio i concessionari
Di servizi pubblici allora in questi casi
Molto spesso alcuni di questi soggetti sono già destinatari di un obbligo in base all'articolo trentasette lettera hobby
Nei casi nei quali invece un obbligo vero e proprio non sussista diciamo che la posizione della il garante ma anche del gruppo l'articolo ventinove e quello che la nomina della responsabile è fortemente raccomandata ma su questo occorre fare subito una precisazione perché nel caso in cui l'ente decida di designare un responsabile della protezione dati
Dovrà farlo ma a quel punto sarà applicabile in toto tutta la disciplina dettata dal regolamento agli articoli trentasette trentanove e cioè si designa responsabilità protezione dei dati occorre rispettare i requisiti e assicurargli le garanzie che sono previste
Dal Regolamento
Quindi anche nel caso di designazione su base volontaria quindi non in presenza di un obbliga occorre che siano garantite
Tutte tutte di queste condizioni che ammettono questa figura nelle condizioni di operare in piena autonomia indipendenza
Sono previste anche delle semplificazioni il Codice prevede che sia possibile avvalersi di un unico responsabile per la protezione dei dati condividendo l'opera tra più soggetti il codice il il Regolamento perdono in realtà dice che si può
Ci si può avvalere di questa forma di semplificazione
Tenuto conto delle dimensioni della struttura organizzativa cui si fa riferimento non a caso nella slide voi vedete tre un esempio di tre di Trento i tre comuni un esempio fatto non a caso ed è un esempio fatto proprio sulla base di questa considerazione cioè delle dimensioni della struttura organizzativa
Il ci sono chiaramente dei limiti e delle criticità nell'operare una scelta di questo tipo e limiti e le criticità sono rappresentate
Dalla circostanza che bisogna prima di procedere a una scelta di questo tipo occorre fare una valutazione attenta circa la possibilità che un R PD condiviso sia in grado di adempiere efficacemente a tutti i compiti che sono che gli sono affidati e che sono previsti dal regolamento
Per cui nell'esempio fatto sicuramente
Un ruolo come questo può essere condiviso tra più piccoli comuni ma non mi sentirei di
Di fare un esempio diverso per quanto riguarda per esempio amministrazioni centrali o enti di più grandi di di più grandi dimensioni e quando parlo di grandi dimensioni non faccio riferimento soltanto all'aspetto come dire dell'importanza dell'afganizzazione ma guardo
Proprio alla natura dei trattamenti effettuati al tipo di tecnologia che sono utilizzate alla tipologia di dati
Oppure faccio riferimento al fatto che più enti che effettuano trattamenti di tipo differente difficilmente possono come dire a valersi di una figura in comune
Una figura in Comune perché probabilmente alle differenze nei trattamenti le specificità
Di cui bisogna tenere conto nell'assistere i diversi titolari del trattamento sono tali da sconsigliare una scelta di questo tipo
Come dicevo il regolamento detta delle condizioni per la nomina e prevede dei veri e propri requisiti
E sono dei requisiti intanto in qualche modo di duplice Ordine sono dei requisiti in termini di competenze e di professionalità
E sono i requisiti che guardano anche alla specificità del settore nel quale va ad operare il responsabile sulla protezione dei dati venendo alla prima di questi aspetti elencati nella slide si fa riferimento alle qualità professionali quindi in primis ha una conoscenza della materia
Della protezione dati del regolamento europeo sicuramente ma anche delle normative nazionali della normativa nazionale che sono tenuti ad applicare
Nella scelta di questo soggetto sicuramente si potrà tenere conto delle esperienze professionali già maturate di formazione specialistica come
La frequenza di corsi
O anche del possesso di eventuali certificazioni ma su questo facciamo immediatamente un chiarimento perché è vero che esistono degli schemi di certificazione volontaria delle competenze professionali
Rilasciate da appositi enti però bisogna subito dire che allo stato attuale nessuna di queste certificazioni
Rientra tra quelle previste dal regolamento all'articolo quarantadue per cui il possesso di una certificazione può sicuramente essere positivamente valutato nella scelta di questa figura ma non esime l'amministrazione dalla valutare diciamo le capacità e le conoscenze e l'adeguatezza di questo soggetto al ricoprire il ruolo per il quale lo si va adesso a designare parlavo anche di una conoscente la necessità che questa figura abbia un'adeguata conoscenza del settore nel quale va ad operare diverse sono le competenze che sono richieste a un responsabile
Che va ad operare in ambito sanitario e diverse le competenze che sono richieste ad un responsabile che va ad operare l'amministrazione fiscale questo è evidente come tutti sapete qua dentro infatti l'applicazione delle regole
Sul trattamento dati
Deriva sempre
Dal combinato disposto delle norme in materia di protezione dei dati personali e della normativa di settore perché proprio respinto il sospetto della normativa il settore che costituisce il requisito di legittimità del trattamento
E quindi questa è sicuramente una competenza che deve essere
Richiesta è valutato affidò valutata all'atto della seleziona della selezione di questa figura
Questa figura deve anche avere una certa familiarità quindi non solo con la normativa di settore ma anche con la struttura organizzativa dell'ente con i flussi informativi con le tecnologia informative che sono utilizzate e con le misure di sicurezza che sono adottate nello specifico settore
Ancore richiesta dice appunto l'articolo trentasette la capacità di assolvere adeguatamente i compiti che sono affidati che qui si fa riferimento anche ad un aspetto etico sono richiesti requisiti di integrità etica elevati standard di correttezza deontologica che devono essere appunto valutati e considerati proprio per questa figura è chiamata a fare correttamente applicare le regole
A
Garantire diritti degli interessati e via discorrendo
La scelta di questa figura può ricadere su un su un soggetto interno all'ente oppure può essere fatta affidando l'incarico con un contratto di servizi rivolgendosi ad un professionista o d'una società di consulenza
A monte di questa scelta vi deve essere come abbiamo già visto
Anche prima una attenta considerazione della complessità dei trattamenti del livello richiesto di conoscenze
Per assolvere diciamo a questi compiti ad ogni modo sia che ci si rivolga all'interno individuandolo in un proprio dipendente un dirigente un funzionario di alta professionalità
Oppure ci si rivolga all'esterno
è necessario che questa figura sia facilmente contattabile cosa significa significa che deve poter svolgere adeguatamente i propri compiti è
E il titolare del trattamento è tenuto a ad attivare del dei canali informativi che ne permettano una semplice raggiungibilità
Deve essere un referente un referente unico anche nel caso in cui questa funzione sia affidata o una società di consulenza esterna oppure il titolare del trattamento decida di istituire un apposito ufficio dotandolo di risorse umane
E magari provenienti da diverse professionalità quindi non solo le professionalità giuridiche ma anche le professionalità del tecnologico sono sicuramente figure che possono dare un valido contributo nello svolgimento di questa di questa funzione comunque in ente in entrambi i casi mica in entrambi i casi
Quando ci si avvale di un team quindi di un gruppo di lavoro di un ufficio è necessario che il referente per la protezione dei dati personali sia una persona fisica individuata e nominata e appositamente designata
E quando ci si avvale di un gruppo di lavoro in entrambi i casi ancora e necessario che siano chiaramente definite ex ante le competenze che siano ripartiti i compiti di ciascuno questo affinché noi presidi note immagini di opacità o di sovrapposizione nelle competenze che sia sempre chiaro sia all'interno che all'esterno qual è il responsabile protezione dati proprio per quel
Per quella necessità di facile reperibilità di questa di questa figura
Tant'è che
è previsto esplicitamente la pubblicazione dei dati di contatto del responsabile pubblicazione che può avvenire sul sito internet per esempio nella sezione Trasparenza o in un'altra sezione del sito
Ed è prevista anche la comunicazione dei dati di questo referente all'Autorità garante perché come abbiamo visto è il punto di raccordo con il nel diciamo con il titolare del trattamento
Ritornando un poi al diciamo le regole da applicare nel caso in cui ci si avvalga di un team oltre a questa chiara ripartizione dei compiti e delle competenze di ciascuno
Di ciascun appartenente al gruppo di lavoro i requisiti professionali e le garanzie che poi andremo a breve a vedere devono essere in possesso di tutti coloro che collaborano con il gruppo di lavoro nessuno di questi soggetti deve versare in una situazione di conflitto di interessi ma su questi due
Su questi due aspetti torneremo a breve
Nel Regolamento c'è un apposito articolo trentotto che dedicato alla specifica posizione che deve avere all'interno dell'organizzazione questa figura ed è una composizione molto particolare partire da quella centrale
Che CIDA molte informazioni su questo
Rapporto dirette Colbert come rapporto diretto con il vertice gerarchico che cosa vuol dire
Vuol dire che è la posizione delle aree PD il parere delle reti di le osservazioni che questa figura svolga in ordine ad una determinata decisione una determinata procedura
La posizione ricoperta da questa figura deve essere tale da poter fare arrivare direttamente al vertice queste informazioni cioè che il PIL vertice deve essere posto nelle condizioni di sapere non può non potrà mai dire io non ero a conoscenza che è stata adottata questa soluzione ed ecco perché
è una posizione particolarmente tutelata
Sono previste anche altre disposizioni che prevedono che questa figura sia tempestivamente adeguatamente coinvolta in tutte le questioni che riguardano la protezione dati personali e questo vuol dire che questa figura deve essere in via regolare
Essere invitata alle regole alle agli under riunioni dei vertici o comunque dei dal manager di alto livello quando si assumano decisioni che impattano sulla protezione dei dati personali
Sempre parlando della posizione di questa figura ritorna di nuovo quel concetto di semplice raggiungibilità anche dall'esterno e quindi da parte soprattutto degli interessati
è
Scusate
Quando si parla di risorse
In pubblica amministrazione sempre un alcun diciamo un tasto un po'dolente quindi però da tutto quello che abbiamo detto ci rendiamo conto che questa figura deve essere messa nelle condizioni di
Correttamente operare e per correttamente operare gli devono essere assegnate risorse necessarie per assolvere i compiti e per accedere ai dati personali perché anche questa possibilità
E questa questa possibilità conoscitive a fa parte dei pre requisiti delle condizioni che lo mettono nelle condizioni di correttamente e dare il proprio apporto e è prevista che siano messi a disposizione ero risorse per mantenere la conoscenza specialistica quindi sicuramente promossa alla formazione continua di questa di questa figura e poi questa figura
Può essere adibita anche allo svolgimento di altri compiti funzioni ulteriori rispetto a quella di responsabilità protezione dati ma si deve trattare di funzioni e compiti che devono lasciare da questo punto di vista
Abbastanza
Tempo al responsabile per svolgere adeguatamente i compiti che gli sono affidati è allacciandomi proprio alla disponibilità del tempo e alle altre
Agli altri compiti e funzioni che possono essere assegnati a questa figura
C'è un importante argomento da trattare e che è quello che riguarda il conflitto ti l'Inter di interessi perché non tutti i compiti e le funzioni possono essere affidati alla responsabile della protezione dei dati
Si tratta di
Valutazioni che devono essere fatte caso per caso tenendo conto chiaramente bella realtà organizzativa nella quale questa figura inserita perché una cosa è una piccola struttura con un piccolo comune altra cosa è un'amministrazione di grandi
Di grandi di grandi dimensioni
La la direttrice che che deve guidare l'amministrazione nel compiere questo tipo di valutazione è questa non può rivestire del ruoli che comportano la definizione di finalità e modalità del trattamento
Quindi possiamo dire che di regola irresponsabile della protezione dei dati non può rivestire ruoli manageriali di Verdi vertice perché solitamente sono legati anche a scelte sulle finalità le modalità del trattamento
Così come quando ci si rivolge a un R.P. di esterno con un contratto di servizio anche qua devono essere adottate particolari cautele nel valutare
Se non ci si trovi di fronte ad un conflitto di interessi da parte di questo di questo soggetto
Sarebbe importante che gli enti re di gesso ero delle regole chiare al proprio interno individuando ex-ante quindi anche prima di mettere a disposizione
Questa posizione vacante quindi prima di avviare una procedura sul selettiva
E comunque sarebbe bene ma appare tutte le posizioni e le funzioni che è si porrebbero in contrasto con l'autonomia e l'indipendenza che deve caratterizzare
Il modus operandi che ha richiesto a questa figura quindi ben vengano delle policy interne che facciano diciamo una volta per tutte questo tipo di ricognizione perché questo costituiva una valida base per le procedure
Selettiva
E anche per richiamare l'attenzione di chi partecipa a queste procedure ultimo di chi viene selezionato sulla responsabilità che va ad assumere anche con la dichiarazione di non versare in una situazione di conflitto di interessi e su questo di
Rinvio a un documento che ha legato al documento del garante che vuole essere in qualche modo anche d'aiuto alle amministrazioni nel momento in cui viene effettuato l'atto di designazione a richiamando appunto
Anche questo tipo di condizioni da da valutare
Per quanto riguarda i compiti abbiamo in qualche modo già accennato a quella funzione di informazione consulenza indirizzò che è svolta dal responsabile nei confronti del titolare o del responsabile del trattamento
Un altro dei compiti che assegnato è quello di una sorveglianza sulla
Nord sulla normativa Della Porta sull'applicazione corretta e sulla prassi in materia di protezione dati personali attuata dalla titolare
E per faccio il responsabile della protezione dei dati del ventre eliminato mentre fare una mappatura dei trattamenti
I dati personali che sono effettuati quindi la raccolta delle informazioni per individuare i trattamenti che vengono svolti che prodromica
All'analisi alla verifica della conformità dei trattamenti alle regole materico attuazione dati e quindi e prodromica a sua volta quell'attività di sorveglianza e di consulenza al titolare
Nell'attuazione nella della normativa
Sempre parlando di compiti ci sono diversi articoli del regolamento che fanno riferimento alla funzione delle ripidi parlo della procedura di consultazione da parte del titolare sulla necessità il le ripidi è chiamato a qualora richiesto a pronunciarsi
Sulla necessità o meno di effettuarla sulla metodologia sulla se rivolgersi all'esterno o farla corrivo con risorse interne
E anche sulla stessa correttezza della procedura attuata dal titolare ma su questi aspetti o rinvio agli interventi successivi che sono decisamente più con completi
Ancora sui compiti vanno va citato questa attività di cooperazione con il garante perché come abbiamo detto costituisce appunto l'interfaccia e funge da appunto dal referente
Sia ancora una volta per la procedura di consultazione preventiva nel caso del data breccia
Ancora ogni qualvolta occorra consultare il garante relativamente a qualunque altra questione altri compiti tra gli altri compiti che possono essere assegnati alle reti di qui semplificativamente è stato indicato a la tenuta del registro delle attività di trattamento
è un'attività che può essere sicuramente demandata dal titolare alleato del Pd
Importante dire che comunque viene svolta dalle ripidi per conto del titolare perché la responsabilità di questa attività e del titolare del trattamento del responsabile del trattamento ma attribuire questo compito alle ripidi
Può essere un buon passo per metterle nelle condizioni di effettuare quell'attività di mappatura e di analisi dei trattamenti che e finalizzato allo svolgimento adeguato dei suoi compiti di sorveglianza che abbiamo a cui abbiamo appena accennato
Infine vediamo al capitolo delle responsabilità ricordiamo che sebbene questo ruolo sia così diciamo centrale la responsabilità per le scelte che poi vengono effettivamente fatte dal titola il trattamento ricade in capo a quest'ultimo e non alle reti di e questa è una circostanza che dovette tenere nella dovuta considerazione
Anche al fine di scegliere con con molta oculatezza questa figura sceglierla
Tra quei soggetti che effettivamente hanno i requisiti non solo di competenze professionali specialistiche ma come abbiamo detto anche quei caratteri
E quindi quei requisiti di tipo personale di di ontologia e di di etica che sono richiesti a questa figura affinché possa svolgere il la propria funzione con l'autonomia e l'indipendenza che sono richieste dal dal Regolamento
Infine un'annotazione così finale che quella che riguardano mensa designazione di questa figura ogni qual volta sia
Sì obbligatori a sono previste delle sanzioni in caso di commessa nomina
Con questo io terminerei mio intervento lascio la parola la collega Francesca c'è clamore sulla registro delle attività del trattamento
Grazie grazie alla dottoressa Belloni esplorò le sue corde vocali con un bel bicchiere d'acqua ha ragione ha ragione ha sofferto le la ringraziamo per questo suo sacrificio noi andiamo avanti allora è stata già annunciato polo facciamo invia l'istituzionale la dottoressa Francesca circa muore del dipartimento libertà pubbliche sanità il registro delle attività di trattarli prego
Grazie e buon pomeriggio
Fatti avanti non so
L'argomento appunto di cui vi parlerò è il registro delle attività di trattamento che è previsto dall'articolo trenta del regolamento europeo
Diciamo che necessaria subito una precisazione non parliamo di registro ma di registri delle attività di trattamento perché come vedremo in seguito appunti registri previsti dall'articolo trenta sono due sono da del registro del titolare il registro del responsabile del trattamento
Però prima di analizzare nel dettaglio all'articolo trenta diciamo che è opportuno in qualche modo cercare di cogliere lo spirito
E la ratio appunto di quel suo articolo certamente di quel suo registro certamente come anticipato questa mattina il dottor Modafferi
Il regista dell'attività di trattamento concorre alla realizzazione del del quadro generale appunto di accountability
Nel senso che appunto di questo nuovo approccio culturale e organizzativo fortemente previsto dal dal dal Regolamento
E che in qualche modo come dire obbliga quindi il titolare a dimostrare
Che si conforma alle Regolamento e quindi certamente è difficile per il titolare
Come in qualche modo appunto dimostrare che di aver adottato misure giuridiche organizzative e tecniche per adeguarsi al Regolamento se non a in precedenza come dire effettuato una ricognizione di tutti i trattamenti che può porre in essere e quindi in qualche modo se non abbia la consapevolezza il quale l'ambito di attività del della sua appunto amministrazione
E quindi diciamo certamente questa consapevolezza è un presupposto
Essenziale per poter realizzare questo principio e in qualche modo proprio per questo la tenuta del registro non deve essere vista come un adempimento formale come talvolta è stato concesso ATO visto e la notificazione ai sensi dell'articolo trentasette del codice ma appunto una parte integrante della sistema di corretta gestione dei dati personali
Quindi registi trova in qualche modo redatto dopo un'accurata ricognizione dei trattamenti svolti
Strettamente connessa appunto alla ratio del registro ci aiuta il considerando ottantadue nell'individuare un po'la finalità del registro
La finalità del registro eh appunto quella di garantire un monitoraggio al Garante
Per il quale quindi registro costituisce uno strumento di prima analisi una sorta di potremmo dire di indice analitico
Che è una preziosa appunto risorsa di informazioni che il il garante al Garante potrà essere utile per monitorare pavento al mente per approfondire ma come abbiamo detto anche un'occasione di monitoraggio per il titolare del trattamento
Per appunto che potrà avere effettuato questa ricognizione quest'analisi
E quindi diciamo questi due soggetti si trovano quindi a cooperare per la realizzazione e per il corretto adempimento di tutte le regole del del Regolamento
Questo perché perché già nello stesso considerando ottantadue dice che è necessario obbligare i titolari del trattamento a cooperare con l'autorità di controllo e a mettere a disposizione su richiesta della stessa Autorità questi registi
Per effettuare questo monitoraggio
Questa cooperazione costituisce un vero e proprio obbligo tant'è che oltre che che ne considerando ottantadue è stata espressamente prevista nell'articolo successivo all'articolo trenta cioè nell'articolo trentuno
In cui si fa riferimento appunto all'obbligo
Di realizzazione coll'Autolico di collaborazione con l'autorità di controllo per l'esecuzione dei suoi compiti
Quindi diciamo che sembrerebbe uno strumento in prima battuta destinato quindi cioè al titolare e all'autorità di controllo
Certamente da dove cominciare diciamo per la redazione di questo registro e le pubbliche amministrazioni non partono da zero ma possano in qualche modo utilizzare l'esperienza che hanno già maturato negli anni per dar conto ad una serie di adempimenti che erano previsti dal Codice parliamo diciamo per esempio in prima battuta del regolamento per il trattamento dei dati sensibili e giudiziari
Previsti dall'articolo venti e seguenti del Codice nel quale quindi quando era prevista una disposizione una finalità di rilevante in tre tra sé pubblico ma non i tipi di dati e le operazioni i soggetti pubblici erano tenuti a individuare a rendere pubblici questi tipi di dati e le operazioni in un atto di natura regolamentare
Con il parere del Garante quindi questa attività diciamo di ricognizione in qualche modo con questo adempimento nel realizzare questo adempimento è già stata posta in essere
Ma il regolamento non è l'unico strumento di cui Laterza il titolare del trattamento può tener conto per cominciare
A appunto alla redazione di questo registro perché questi può anche contare sul Documento programmatico sulla sicurezza che era previsto dall'articolo
Trentaquattro comma uno lettera g del codice e poi abrogato nel due mila dodici
E sicuramente anche con il l'istituto della notificazione
La notificazione verrà abrogata con il Regolamento nel senso che non è prevista appunto a partire dal venticinque maggio due mila diciotto
Però diciamo questa abrogazione della notificazione non comporta in qualche modo un non rompe diciamo il legame tra i due con l'autorità mai in questa logica quindi di accountability
E nell'evoluzione delle delle compiti dell'autorità di controllo Siebold appunto in questo strumento interno che può essere messa a disposizione appunto dell'autorità
Passiamo ora a vedere chi sono i soggetti obbligati
L'articolo trenta paragrafo paragrafi uno e due fa riferimento a tutti i titolari del trattamento e tutti i responsabili del trattamento ovviamente parliamo quindi abbiamo detto di due registi disse distinti
Se proseguiamo nella lettura dell'articolo trenta possiamo vedere che nell'alla quinto paragrafo viene prevista una esenzione cioè dei soggetti che non sono tenuti a questo adempimento si tratta di impresa e organizzazioni con meno di duecentocinquanta dipendenti a meno che il trattamento basta presentare
Un rischio per i diritti e le libertà dell'interessato non sia occasionale o non includa particolari categorie di dati
Lo cito questo paragone semplicemente per dire che questa esimente questa esonero non si applica alle pubbliche amministrazioni se non altro perché abbiamo appunto conoscenza del fatto che le pubbliche amministrazioni trattano dati particolari categorie di dati e quindi
Questa questo paragrafo cinque non si applica alle pubbliche amministrazioni
Il titolare deve far riferimento alle attività di trattamento dice l'articolo trentasei volte sotto la sua responsabilità
E questo concetto appunto non è un concetto nuovo CEO aiuta in qualche modo non solo la giurisprudenza del garante ma anche l'articolo trentaquattro
E l'articolo quattro paragrafo uno di cui parlava il dottor Filippi questa mattina quindi che in qualche modo appunti individua la figura del titolare cioè a colui che esercita un potere decisionale che determina le finalità e i mezzi del trattamento
E sarda altro soggetto obbligato è appunto il responsabile del trattamento che deve tenere un registro i tutte le categorie di attività di trattamento svolto per conto di un titolare
Andiamo ora più nel dettaglio a vedere qual è il contenuto del registro per capire quali sono diciamo e gli elementi da indicare in quel sito c'è lo stesso Regolamento che individua in modo preciso
Una serie di informazioni innanzitutto appunto il Regolamento fa riferimento ai dati di contatto ai dati di contatto del titolare del responsabile della protezione dati eventualmente del contitolare
Cioè colui che appunto determina congiuntamente le finalità i mezzi del trattamento
Diciamo opportuno per il contitolare per esempio indicare anche trattamenti con il Prix quali sussiste appunto questa contitolarità dati di contatto possano l'Indirizzo la mese Peck il telefono e via dicendo che sono appunto gli stessi dati di contatto previsti anche nell'informativa ai sensi dell'articolo tredici paragrafo uno lettera
Secondo elemento da indicare è la finalità del trattamento
è quindi come dire necessario elencare tutte le finalità del trattamento perseguite
Questi elementi vanno individuati in modo puntuale e preciso appunto non diciamo in modo generico e quindi a riguardo possiamo proporre in qualche modo un richiamo
Alle finalità di rilevante interesse pubblico che erano usate prevista appunto nel codice appunto perché costituisce un lavoro che è già stato effettuato per il regolamento per il trattamento dei dati sensibili
Riteniamo che sia opportuno indicare trattandosi di soggetti pubblici la la base giuridica quindi del trattamento anche per capire chi sono i soggetti a cui i dati poi possano essere comunicati e appunto questa indicazione appunto della finalità del trattamento fa il paio un po'con anche il contenuto dell'informativa che espressamente appunto i che richiama non sono la finalità del trattamento ma anche la base giuridica
Altro elemento richiesto dalla dall'articolo trenta sono le categorie di interessati e di dati
Nelle categorie di interessati che sono appunto le persone fisiche identificate o identificabili opportuno in qualche modo evidenziare se per esempio il trattamento riguarderà
Dipendenti minori beneficiari di provvidenze disabili
Rifugiati particolari categorie anche perché appunto quest'elemento essenziale
Per l'analisti che deve compiere garantiamo e Chiarante col considerato che per alcune catene come categorie di dati personali necessitano di una particolare attenzione
E di particolare tutela
Altro elemento appunto è una descrizione della categoria di dati in questo caso questa descrizione può tener conto certamente delle definizioni che vengono fornite dal Regolamento quindi all'articolo nove e dieci per esempio con riferimento all'originati relativi all'origine razziale o etnica Lepini politica convinzioni religiose o filosofiche
Certamente diciamo in questa o può essere molto utile il lavoro già posto in essere con il regolamento dati sensibili e vanno individuate anche le categorie di destinatari e che deve essere che devono essere indicate appunto puntualmente
Un occorre diciamo questo riguardo in qualche modo soffermarci sul concetto di destinatario l'articolo quattro paragrafo uno al punto nove da una definizione di destinatario dice che il destinatario la persona
Fisica o giuridica l'autorità pubblica un servizio che riceve comunicazione di dati personali che si tratti o meno di terzi
E il considerando trentuno fornisce una specificazione in qualche modo di questo concetto dicendo che non sono considerati destinatari le autorità pubbliche
Che possano ricevere comunicazioni del di dati personali nell'ambito di una specifica indagine nell'interesse generale
Riteniamo che al di là di una ristretta cerchia di soggetti appunto che svolgono queste particolari indagini diciamo per questa finalità del trattamento della del registro tutti gli altri debbano essere considerati appunto destinatari
Anche perché in questo modo risponde a in modo punto più il modo migliore alla allo spirito del registro è quello di fornire quante Pimp informazioni possibili alla all'autorità di controllo
Vanno indicati anche i trasferimenti di dati e quindi pare di paesi terzi o le organizzazioni internazionali presso cui questi dati vengono comunicati
E ultimo elemento ma non ultimo in termini di importanza quello relativo ai termini per la cancellazione dei dati personali e alle misure di sicurezza
Una piccola precisazione il Regolamento dice ove possibile
Ma riteniamo appunto auspicabile che questa informazione sia fornita e avviso che è presente per quanto riguarda la cancellazione è presente è un'informazione che è presente anche nell'informativa
Ma soprattutto perché questa o elemento in qualche modo d'attuazione
Al principio della limitazione della conservazione dei dati in cui abbiamo parlato questa mattina che prevede che i dati possono essere conservati in una forma che consenta identificazione degli interessati
Per un arco di tempo non superiore al perseguimento della finalità per cui sono stati trattati e in questo modo l'indicazione di questo termine certamente aiuta nella fissare appunto un paletto
Diciamo che informativa per esempio parla di indicazione non sa non non non solo diciamo in termini puntuali di giorni ma anche indicando i criteri per esempio utili per determinare un per determinare questo arco temporale
Quel per esempio la fine della gestione di un contenzioso cioè quando non è possibile individuare esattamente i giorni
Però indeterminati ambiti la normativa di settore stessa che ci aiuta perché per esempio nell'ambito della videosorveglianza comunale come di anticipato questa mattina il dottor Filippi
Il termine di conservazione delle immagini registrate di una settimana quindi c'è già la normativa di settore che indica espressamente appunto l'arco temporale di riferimento
Anche per le misure di sicurezza appunto l'abbiamo detto c'è questa incisore ospite abile ma certamente diciamo indicare le misure di sicurezza è un'occasione per documentare le scelte sostenute
L'avvenuta adempimento in qualche modo
Ma delle misure di sicurezza di parlerà in modo più approfondito il collega
Abbiamo parlato di questo contenuto individuato dall'articolo trenta che possiamo in qualche modo indicare comunque un tenuto brigata olio c'è un contenuto che il Regolamento indica individua in modo preciso
Perché possa essere considerato rispettato questo adempimento ma ciò non toglie appunto che il titolare del trattamento post in qualche modo fornire delle indicazioni ulteriori alla in questo registro
Appunto perché ovviamente quante più informazioni sono fornite all'autorità garante e al allo stesso titolare che come come dire a fa questa ricognizione quanto più questo registro avrà una sua utilità
Ovviamente però questo contenuto ulteriore può essere più dettagliato ma deve essere sempre correlato alla possibilità che possano essere aggiornato insieme al contenuto minimo diciamo obbligatorio
E proprio perché diciamo si deve parlare partire con una specie di approccio progressivo cioè finezza con informazioni minime per poi eventualmente appunto a ampliarlo
Per esempio tra le le informazioni che possono essere inserite ulteriormente cioè possiamo immaginare il luogo dove sono conservati i dati lei categorie di persone autorizzate al trattamento
Per esempio l'adesione a codici di condotta l'applicazione di meccanismi di di certificazione si stato ritenuto di effettuare una valutazione di impatto privacy ai sensi dell'articolo trentacinque
E ove non siano state individuate e le misure per attenuare i rischi se si siamo nell'ambito della consultazione preventiva al Garante tutti elementi come anche se ci sono state per esempio violazioni quindi se si è verificato un caso di data Brick
Oppure se per esempio è stata come dire attribuita dalla monta una nuova normativa una nuova funzione appunto ad un determinato soggetto anche indicare la data
Di inizio del trattamento proprio in relazione a questa nuova funzione che deve può essere attribuita per legge
Se per esempio sono stati fatti degli accordi con il titolare in ordine alle rispettive responsabilità sugli obiettivi per esempio pensiamo in particolare l'esercizio dei diritti
In ogni caso ciò non toglie che l'autorità di controllo può chiedere ovviamente altre informazioni nel momento in cui dovesse averne bisogno
Abbiamo provato a fare un esempio per cercare di dare concretezza a quello che siamo dicendo abbiamo provato appunto a fare l'esempio
E come dire a approvare appunta da fornire in qualche modo una un punto di riferimento un punto di partenza
L'approccio per la compilazione del registro può partire da uno qualunque dei diversi elementi contenutistici che abbiamo individuate che abbiamo elencato
Hanno e sembrava più opportuno più utile se non altro perché costituisce comunque un approccio già noto partire dalla e finalità del trattamento quindi con l'indicazione della base giuridica e via via da lì compilare tutte le altre tutti gli altri elementi contenutistici certamente diciamo sarebbe opportuno anche prevedere mettere a disposizione un modello di registro anche per esempio per categorie di titolari
Certamente appunto questo approccio di partire per la finalità costituisce o appunto un un approccio che in qualche modo può essere già un punto di partenza già avviato appunto grazie al regolamento per il trattamento dei dati sensibili
Beh passiamo rapidamente al registro del responsabile del trattamento su cui andrò più velocemente
Come abbiamo detto si tratta di un registro diverso da quello del del titolare e responsabile infatti avrà tanti registri a seconda dei soggetti per i quali effetto era il trattamento ciò non toglie che ci possono essere delle ipotesi in cui irresponsabile delle responsabile abbia anche un registro in qualità di titolare cioè nel caso di contemporanea pluralità di ruoli
E quindi avrà anche il suo registro da titolare per i trattamenti di dati personali di cui è titolare e registra appunto del responsabile
L'articolo trenta paragrafo due non contiene tutte le indicazioni che abbiamo visto
Per il registro del titolare del trattamento per esempio non è prevista il termine de di cancellazione dei dati così come anche le finalità del trattamento
Ma appunto riteniamo opportuno che anche queste informazioni così come quelle del contenuto ulteriore vengono fornite per garantire diciamo una maggiore completezza e trasparenza
Anche sulla tenuta e la gestione del registro ci viene ausilio all'articolo trenta paragrafo tre che espressamente ci dice che per entrambi i registri è richiesta la forma scritta anche in formato elettronico
Per quanto riguarda l'istituzione non essendo previsto un termine specifico
Si può desumere che l'istituzione del registro sia obbligatoria a partire dal venticinque maggio due mila diciotto quindi debba in qualche modo recare una ricognizione dei trattamenti esistenti al venticinque maggio due mila diciotto
Secondo diciamo anche lo suggeriva anche l'Autorità belga potrebbe essere utile conservare anche l'informazione di un trattamento non più presente mai esistito da una determinata data ad un altra determinata data
In modo un po'da costituire una memoria storica in qualche modo agevolare anche un eventuale controllo da parte delle autorità per quanto riguarda il suo aggiornamento non è prevista una data certa com'era presente per il DPS si potrebbe quindi sostenere che comunque debba essere aggiornato
Al mutare di uno degli elementi previsti devono degli elementi considerati sicuramente per quanto riguarda la tenuta come diceva la dottoressa Meloni responsabile della protezione dei dati deve essere certamente coinvolto in questo adempimento
Il registro autorità di controllo come abbiamo detto può chiedere al titolare o a responsabile del trattamento di mettere a disposizione il registro
Quindi registro deve essere esibito su richiesta del Garante qui evidente una differenza con l'istituto della notificazione che invece dovrà essere trasmesso al Garante
E anche qui evidenziamo che quando qual è il termine per deve attuare questo registro è il termine appunto il ventiquattro maggio due mila diciotto
è interessante evidenziare dove questa normativa è stata collocata
è stata collocata nella Sezione prima del capo quarto degli obblighi generali
Quindi si tratta di un obbligo vincolante è un obbligo vincolante per il trattamento e il titolare la cui quindi mancata attuazione determina delle conseguenze
E dobbiamo ritenere che la mancata attuazione sia non solo quando il registro non sia stato predisposto tout-court proprio in nessun elemento ma anche quando sia incompleto in qualche modo e che l'olio non sia tenuto correttamente e in quel proprio per quel suo diciamo la la violazione di inadempimento in questo caso oltre a prevedere appunto una sanzione amministrativa prevista dall'articolo ottantatré
Paragrafo quarto del del Regolamento del realtà in qualche modo non costituisce un buon indizio per garanti per dimostrare la dighe di conformarsi che il titolare si sia conformata Regolamento e quindi certamente in qualche modo una violazione appunto di questo principio di accountability
Si tratta quindi di uno strumento ricapitolando essenziali e fondamentali per il titolare per una per costruire il suo sistema privacy e per l'autorità di controllo per poterlo eventualmente pre monitorare i miei trattamenti poste in essere
Ho terminato
Grazie per l'attenzione
Grazie dottoressa cerca muore grazie davvero abbiamo apprezzato anche la capacità visiva tessitrici consente di metterci in scaletta e rispettare gli orari di ricordo che bello Rio sedici un po'c'era possibile anche porre dei quesiti ai nostri relatori per ora attorno accedere il microfono dottoressa Myriam Viggiano del dipartimento libertà pubbliche sanità
Il tema è data Protection verbale default by design valutazione d'impatto il consultazione preventiva alle dottoressa prego
Grazie mille
E quella sera tutti allora
Dunque data Production battezzare in data per Chabbaa default valutazione d'impatto e consultazione preventiva se dà lezioni dare un sottotitolo trovare un comune denominatore a questi quattro grandi argomenti potrei dire che la relazione di questo poteri già riguarda essenzialmente i trattamenti che presentano rischi elevati
Ma partiamo con l'ordine
Data Protection bellezza ebbe di furto cosa sono
Sono delle modalità tecniche organizzative del titolare del trattamento questa diciamo perifrasi modalità tecniche organizzative insomma
Aprirsi che troverete spesso nelle e disposizioni che regolarmente anche stamattina insomma veri relatori gli Veniano data un'idea il concetto di pare Simba design che disciplinato l'articolo il venticinque paragrafo uno del regolamento viene tradotto in italiano con un insomma Apruzzi abbastanza intuitiva
Sì protezione dei dati fin dalla progettazione impacciata abbastanza semplice insomma anche da diciamo da metabolizzare e il Regolamento al in proposito prevede una serie di
Indicazioni
Cosa vuol dire essere compliant al Regolamento in materia di protezione dati fin dalla progettazione significa mettere in atto appunto
Tutte quelle misure tecniche organizzative capaci di attuari in modo efficace i principi e la protezione dei dati e di integrare sottolinea integrare nel trattamento tutte quelle garanzie necessarie per soddisfare i requisiti tredici del regolamento spesso la disciplina di conti europea prevede Brindisi esemplificazioni
Segmenti come la c'è un senato Nimitz azione di cui vi parlerà più tardi dottor Comella e principi come la minimizzazione dei dati
La
Come deve essere attuata questa pratica e design tenendo conto dello stato dell'arte dei corsi d'attuazione della natura dell'ambito di applicazione del conta essere definita il trattamento e dei rischi aventi probabilità di verificarsi sottolineo la parte si rischi perché ci torneremo dopo
Quando quando deve essere attuato questo questo questa modalità di protezione dei dati fin dal momento diciamo di inizio del trattamento quindi diciamo così della il concetto di Prada si beve Zanello comprendete meglio
Dal punto di vista cronologico c'è è un qualcosa collegato al momento in cui il trattamento dei dati inizia
La prassi Bebe folte invece è disciplinato dall'articolo venticinque quindi lo stesso articolo appaiono secondo è un concetto un po'più complicata da comprendere meno intuitivo il più raffinato potrei dire quasi filosofico
Viene tradotto in italiano come protezione dei dati per impostazioni predefinita e come viene disciplinato
Regolamento dice anche qui è necessario adottare ci sarebbe il titolare del trattamento addotti tutte quelle misure tecniche e organizzative
Che garantiscano che dati siano trattati per impostazione predefinita
In modo che siano rispettati
Contemporaneamente
Il parla elementi principi necessità e di finalità del trattamento perché più raffinato qui ci ci arrivate ci arriviamo insieme
E immaginando insomma grandi banche dati quasi tutto siamo tutte pubbliche amministrazioni che insomma hanno grossi server con dati personali della natura e delle specie più diversa
Chiaramente comunque probabilmente tutti questi dati sono trattati registrati conservati per finalità diverse e la Pravda Dell'Anna anzi by default vuol dire che per impostazione predefinita
Questi dati dovranno essere trattati diciamo seconda della Cina delle diverse Tinella tre di trattamento nel rispetto del principio di necessità
Anche qui questo l'obbligo vale per una serie di elementi per la quantità di dati raccolti per la portata del trattamento dei rifiuti di conservazione per l'accessibilità
C'è un'altra regola prevista nel Regolamento che stabilisce che per impostazione predefinita non possono essere resi accessibili i dati personali a un numero indefinito di persone senza l'intervento della persona fisica questo vuol dire che è necessario comunque adottare dei filtri no automatismi
Quindi tornando indietro
No meglio mettendo assieme così difficili c'è un'altra regola che accomuna queste modalità tecniche organizzative ovvero quella che è possibile utilizzare quelli certificazioni di cui oggi abbiamo sentito parlare previste l'articolo quarantadue
Come elemento per dimostrare di essere conformi a questi requisiti di cui abbiamo parlato certificazione che è un elemento ma non riduce la responsabilità del titolare o del responsabile perché comunque rimangono impregiudicati
I compiti poteri comunque dell'autorità di controllo quindi del garante in materia di vigilanza di settore
Ora tornando indietro prima e vi dicevo concentriamoci sulla parte relativa ai rischi
Rischi che nei trattamenti Personal sulle possano avere diverse probabilità e più e gravità
E questo ha delle conseguenze
Nelle linee guida il gruppo articolo ventinove quel gruppo insomma che europeo che come stamattina ricordavamo riunisce le autorità europea di protezione dei dati si dà una definizione di rischio insomma abbastanza generale quasi presa dal dal dizionario insomma dal vocabolario
Per rischio si intende uno scenario descrittivo
Di un evento delle sue conseguenze che sono stimati in termini di probabilità e di gravità perché importante in materia di protezione dei dati capire di che cosa stiamo parlando perché può esserci un rischio perché se il principi di protezione dei dati belli esanime ebraica furto valgono tutti i trattamenti di dati personali laddove il rischio derivante dal trattamento sia elevato la conseguenza è che il titolare del trattamento è obbligato a fare una valutazione d'impatto sulla protezione dei dati personali è un obbligo
In alcuni casi che vedremo insomma tra un po'oltre la valutazione di impatto necessario anche effettuare una consultazione preventiva al Garante per la protezione dei dati
Ora che cosa questo rischio elevato che qui regolamento non ci aiuta tanto chieda a dei delle indicazioni di carattere generale si dice che il rischio può derivare insomma in particolare quindi in maniera diciamo a mo'di esempio può derivare dall'uso delle nuove tecnologie a alla luce della natura dell'oggetto e delle del contesse delle finalità decanta vinti
Ma perché intervista questa valutazione d'impatto c'è perché e è stata resa obbligatoria perché la valutazione d'impatto avendo ad oggetto quei trattamenti che diciamo per loro natura presente alla di rischi elevati
è uno strumento che lungi dall'essere un inutile adempimento burocratico è invece lo strumento utile per gestire il rischio cioè per minimizzare il rischio lo dico eliminarlo perché insomma in materia di trattamenti i rischi insomma anche in materia di misure di sicurezza
Insomma uno ci sono tutta una serie di criticità magico sicuramente uno strumento per gestirlo armeggia
Quando è necessario fare questa valutazione d'impatto il Regolamento prevede di Cassitta attivi ed è una una elencazione non esaustiva
Tre casi in cui questa valutazione è obbligatoria
Pierre quella in cui il trattamento comporta una valutazione sistematica dispetti irrazionali
Che si basano su trattamenti automatizzati e dalle quali si possono derivare degli stessi delle decisioni che hanno effetti giuridici o possono incidere significa niente significativamente sulle persone fisiche ad esempio la profilazione
Un altro caso in cui la valutazione d'impatto io obbligatoria eh
In tutti quei casi in cui via una sorveglianza sistematica sul larga scala Vizzoni accessibili al pubblico con il caldo il tipico la la videosorveglianza attuata o tutti discretamente insomma comunica nel che conosciamo
Una terza categoria di dati di trattamenti di dati per cui la valutazione d'impatto obbligatoria attiene a particolari categorie di dati trattati sul larga scala concetto di larga scala
Anche qui è una di quelle formule utilizzate dal Regolamento insomma
Che a livello interpretativo hanno una serie di quello di di di difficoltà che sono anche insomma spiegata meglio nelle linee guida il gruppo articolo ventinove
A cui rimando per non come dire rendere troppo pesante questa relazione quali sono questi particolari categorie di dati
Dati genetici dati sulla salute dati biometrici
Dati che posso rileva rivelare convinzioni religiose o filosofiche quell'origine razziale o tecnica dati relativi alla vittoria arretramento sessuale i ancora opinioni politici
Politiche
Appartenenza sindacale
Condanne penali e reati
Perché perché questi sono quelle categorie di dati insomma fino ad oggi definivamo come dati sensibili ultra sensibili quotati spese giudiziari che sono quei dati personali che più di ogni altra di hanno bisogno di una particolare protezione garanzia perché possono comportare discriminazione
Ora questi sono i di casi in cui la la Valutazione impatto è obbligatoria ma la casistica non è non si esaurisce con quelle elencati dal Regolamento
Perché la regola e che la valutazione d'impatto
Che il titolare deve rispettare il trattamento deve effettuare la valutazione d'impatto in tutti i casi in cui il rischio e elevato ma come facciamo a capire se il rischio elevato che qui il insomma il garage il libro particolar ventinove
Ha stabilito una serie di criteri in queste linee guida che insomma sono riportati sulla slide sono indicati nove criteri
Quali sono questi criteri più che di criteri potremo dire che sono dei degli indici degli indizi
Il sono perché degli indizi perché come vedete sono tre casi quelli di trattamenti relative alle palle a valutazioni o scoring
Ha deciso di automi per automatizzate che possono produrre determinate pecche monitorati sistematici
A dati sensibili o di natura personale Bramati tra trattamenti di dati sull'arca scala
Dati relativi a interessi vulnerabili l'utilizzo di nuove tecnologie trattamenti di Percy che impediscono agli interessati di sé citare un diritto o DDR il civil servant di un contratto
Dicevo perché sono degli indizi perché non alla alla presenza di questi elementi non è che scatta l'obbligo di fare la valutazione diciamo che sono degli elementi di cui il titolare deve avere per cui diciamo deve tenere in considerazione
E laddove ritenga che alla luce di questi elementi rischiosa elevato re scatta l'obbligo in particolare chi nove dice alla presenza di un solo indizio probabilmente la valutazione non non va fatta
Già se ne scattano due c'è un po'più di fumus
Quindi quali sono così benissimo fare degli esempi è un po'per come dire concretizzare li queste regole di carattere generale cos'è che dobbiamo tenerlo di cui dobbiamo tenere in considerazione sotto ti tratta menti per esempio che riguardano la geolocalizzazione
Le transazioni finanziarie
Le comunicazioni elettroniche i dati di minori insomma vive bene su tutti quanti i dati particolarmente delicati
L'Internet delle cose
Che succede in caso di dubbio cioè alla luce di tutte queste considerazioni titola il trattamento potrebbe non essere sicuro sulla necessità o meno di fare la valutazione d'impatto lo particolare anche noi dice che in caso di dubbio probabilmente anzi è meglio che la valutazione sia fatta
Ora come vedete tirassegno parlato degli obblighi che scattano in capo al titolare ma anche il garante a degli abiti di fasciare
Il primo obbligo è quello di redigere un elenco che nel quale indicare tutte le dico tipo tutte le tipologie di trattamenti soggette la valutazione d'impatto quindi non tutti i trattamenti ma le tipologie di trattare
Garante anche la facoltà di redigere un altro elenco cioè quello dei trattamenti che non necessitano di valutazione di impatto questi elettiva come indicato nella slide dovranno essere comunicati al Comitato europeo per la protezione dei dati perché è un po'più del nel del merito chi deve fare questa valutazione d'impatto mio marito il titolare del trattamento chiaramente si consulterà con il responsabile laddove designato chiaramente il fatto che l'obbligo scatta in capo il titolare non vuol dire che il titolare che chi la deve redigere materialmente perché la redazione materiale potrà anche essere affidata al soggetto terzo ente interno esterno all'amministrazione fermo restando e la responsabilità ricade sul titolare
Il titolare potrà anche tener conto di codici di condotta laddove approvati il se del caso sotto di un set del caso raccogliendo le opinioni dei degli interessati o di loro rappresentanti così brutta regole indicate nel regolamento quando prima di procedere al trattamento
Quindi laddove il trattamento di dati personali comporti un rischio legato elevato prima di procedere al trattamento il titolare è obbligato a effettuare la valutazione d'impatto
Ora considerando che l'obbligo scatterà il venticinque maggio del due mila diciotto si pone il problema per i trattamenti già in corso il gruppo articolo ventinove atta insomma stabilito è indicato che per i trattamenti in corso sarà comunque necessario fare una valutazione d'impatto
Ambienti fino a quella data insomma i rischi non siano così elevati da ritenere necessario effettuare
Ma come deve essere fatta questa valutazione innanzitutto la prima regola e che con una singola valutazioni di impatto possono essere seminate anche insiemi di trattamenti che presento rischi elevati analoghi
Nella slide riportata il prete riportato il processo iterativo cioè come di rimonta la scansione temporale delle delle attività che devono fare i singoli titolari anche questioni traffico preso dal dal Grottelline qui del gruppo articolo ventinove
Tutto sommato riassume un po'a quello che ci siamo detti in questa valutazione cioè a livello cronologico cioè in maniera diacronica
Circolare diciamo così deve essere descritto il trattamento previsto e le finalità
Resta effettuata una valutazione di necessità di proporzionalità
Indicando quali sono le misure
Per dimostrare l'osservanza rispetto a questi principi
Poi sarà necessario valutare i rischi in per i Diritti e Libertà indicare quali misure
Sono state adottate per affrontare questi rischi
Tutto ciò ad Asterix documentato
E poi una volta effettuata questa valutazione non è che il procedimento il finito perché la valutazione d'impatto è comunque soggetta a monitoraggio anche da parte del responsabile protezione dei dati in revisione laddove i rischi
Possono cambiare
Ora questo è il il procedimento fisiologico
Che però potrebbe anche arrestarsi ad un certo punto e da questo arresto ci sono una serie di conseguenze cioè il titolare del trattamento potrebbe effettuare come vedete nel grafico tutte le valutazioni che insomma abbiamo descritto
E arrivati alla valutazione dei rischi ritenere di non essere in grado di adottare misure previste per affrontarli
A questo punto gli scenari sono due il primo potrebbe essere quello di non effettuare il trattamento perché insomma decide insomma di di un po'diciamo di non poter rieffettuare di non poterlo fare quindi fa un passo indietro
Oppure laddove ritenga che i rischi residuali siano comunque elevati al trattamento lo debba fare per forza
Può anzi ben chiedere la consultazione preventiva al Garante
Quindi questa consultazione preventiva nella valutazione di impatto sarà necessario tutte le parti in cui effettuata questa valutazione il titolare del trattamento ritenga che rischi di ridurre ischio elevato
Questa consultazione preventiva significa che sostanzialmente il titolare dovrà inviare al Garante tutta una serie di informazioni Chiti il chi gli serviranno per effettuare poi una valutazione azione volta quindi care
Le responsabilità il titolare del trattamento le finalità e i mezzi di misure per garantire e proteggere i diritti e libertà agli interessati chiaramente i dati di contatto
Deve allegare la valutazione che comunque deve essere fatta la valutazione di fatto comunque deve essere fatta a parte il titolare e padroni o altre informazioni che l'autorità richiederà
A questo punto il Garante se ritiene che il trattamento viola il Regolamento i i oppure nel caso in cui il titolare non ha identificato o attenuato sufficientemente il rischio il Garante fornisce un parere scritto
In ogni caso potrà avvalersi di tutti quanti di Putin di previsti dal Regolamento quindi richieste di informazioni ispezioni ingiunzioni divieti e così via
Quali sono i termini previsti dal regolamento per effettuare la consultazione preventiva una volta chiesta la la consultazione al Garante
Il Garante ha otto settimane per rispondere a meno che non si tratti di trattamenti particolarmente complessi e quindi il periodo e aumento di sei settimane chiaramente termini sono spesi laddove il garante
Diciamo cioè effettiva ricchezza d'informazione
Vi sono dei casi in cui la la consultazione preventiva al garante potrebbe essere obbligatoriamente potrà utilizzo il condizionale perché ancora non ci sono queste lettere al Garante potrebbe decidere con potrebbe prescrivere con proprio provvedimento
Che in particolari casi da consultazioni preventivazione obbligatori in particolare nei quali trattamenti riguardino la protezione sociale con la sanità pubblica
Ci sono delle eccezioni rispetto alle valutazioni di impatto
Il particolare che nove a indicato una serie di di casi in cui si è esentati particolare se il trattamento non comporta dei rischi elevati
Che già stato no condotta una valutazione d'impatto i i i i i si si possono utilizzare i risultati di questa valutazione d'impatto rispetto a quella a trattamenti analoghi
Il trattamento è già stato sottoposto una verifica preliminare all'autorità di controllo
Se il trattamento ha una base giuridica e del gessato ha condotto una valutazione diciamo all'interno della relazione che accompagna questa pelle che accompagna la base giuridica del trattamento Queens già se brevissimo leggendo il Regolamento
Se il trattamento è compresa in quel famoso elenco facoltativo che il garante diciamo dovrebbe ieri diritti redigere
La valutazione d'impatto è comunque un procedimento un processo dinamico cioè non è che una volta effettuata il titolare esente da qualsiasi altro comportamento
Dinamico vuol dire che il la valutazione dovrà essere ripetuta ad intervalli regolari
Questo è un grafico che insomma troverete nelle linee guida articolo che del gruppo articolo ventinove sulla valutazione d'impatto
E che vi descrive sostanzialmente quello che che abbiamo cercato di riassumervi nelle nelle slide
Dovendo essere molto sintetici sostanzialmente il titolare il trattamento laddove il rischio il capitolo da terra dove il trattamento post a comportare un rischio né elevato deve consultare in via responsabile protezione dati avvalersi di codici condotte delle opinioni degli interessati laddove possibile
E capire se la valutazione necessario o meno oppure si clienti in una delle cessioni per i diciamo prima ricordate a questo punto dovrà effettuare la valutazione d'impatto
E il laddove non esista un rischio residuo elevato rischio residua elevato non sarà necessario per consultazione preventiva al al Garante seriosità invece un rischio elevato e necessaria la consultazione
Qualcuno ci ha chiesto se è obbligatorio Silla la valutazione di impatto deve essere pubblicata la risposta è che la valutazione d'impatto non è pubblica non c'è un obbligo di pubblicazione ma comunque sarebbe opportuno almeno un pubblicare una sintesi laddove richiesta ingraziare distinzione comunque l'ha inviata al Garante
Per consentire l'attività di vigilanza ora che succede in caso di violazione delle disposizioni del Regolamento in materia di valutazione d'impatto
In tre casi sostanzialmente sia se non non è stata svolta una valutazione d'impatto laddove sia obbligatoria sia se la valutazione di impatto si è stata svolta ma non sia stato svolto in maniera corretta
Sia nel caso in cui non è stato consultato il garante laddove invece era necessario è prevista una sanzione amministrativa ai sensi dell'articolo ottantatré paragrafo quattro lettera del Regolamento
Ora per concludere la slide diciamo così finale di indica la la l'allegato alle linee guida libro particolari che nove
Che indicano quali sono i criteri di diciamo i criteri di base per svolgerà valutazione d'impatto non verrà voglia neanche insomma come dire
Descrivere può leggere dalle questo insomma il compito che ci chiede che mi spetta in questa sede quello che mi preme sottolineare diciamo la lanciare un messaggio cioè
E le linee guida il particolato in T nove stabiliscono quali sono i criteri di base per raffiche questa alla valutazione impatto sia meno accettabile ma la metodologia con cui svolgere e l'acqua la valutazione stessa può essere diversa
I criteri sono gli stessi ma la valutazione flessibile sia nella struttura
Che nella forma se dovesse utilizzare un esempio come insomma abbiamo già fatto in altre serie di per cercare di utilizzare una metafora un po'più digeribile
Per capire insomma per fare un paragone tutto sommato quelli che sono alle spalle sono dei criteri potremo diciamo potremmo paragonarmi a una sorta di di ricetta questi sono gli ingredienti base quelli che non possono non esserci ma asseconda insomma delle esigenze
Possano essere modificati si può aumentare parte dell'uno e meno dell'altro si possono mischiare
Si possono introdurre di nuovi importante che alla fine il prodotto finale sia insomma buono diciamo così grazie
Grazie a lei dottoressa Viggiano per ultimo ma non per ultimo accogliamo il dottor Cosimo Comella dirigente del Dipartimento tecnologie digitali e sicurezza informatica l'applauso scatta spontaneo dottore
Può essere felice e contento nel suo tema invece un po'crea crea un po'di ansia perché sicurezza minimizzazione dei rischi e data brecce e quindi qui la cosa ci riguarda davvero da vicino prego
Sì grazie buonasera a tutti
Concludiamo con questo accenno perché sarà necessariamente un accenno questo alle misure di sicurezza ai problemi connessi alla sicurezza è chiaro che il tema della sicurezza nei trattamenti
Essendo strettamente connesso da una parte come abbiamo visto stamattina già
Più sull'intervento uno degli ultimi interventi uno al dottor Caselli che ha mostrato come la sicurezza del trattamento sia una delle parti integranti della legittimità stessa un è una delle basi di legittimità del trattamento
Però il tema sicurezza è anche importante nello scenario tecnologico che tutti viviamo
Le cronache ci trasmettono continue continui allarmi relativi ai venti connessi alla sicurezza che vanno non soltanto devono essere presi esempio solo i fatti della così detta Cyber Security più suggestivi che riguardano magari operazioni sofisticate di acquisizione dati dal Datagate Snowden
Casi internazionali simili ma nella realtà nella operatività quotidiana dei sistemi informativi
E delle banche dati e i problemi sicurezza invece vanno hanno diciamo una variazione un range di complessità appunto che va può sposare anche nei casi di di sofisticata frode tecnologica euro o addirittura casi di spionaggio industriale ma più spesso invece nella vita quotidiana gli aspetti di sicurezza riguardano tutta quella gamma di eventi
Tecnici o fisici che possono danneggiare i dati comprometterne la disponibilità comprometterne l'integrità
Quindi non dobbiamo ipotizzare il suo solo di scenari fraudolenti connessi come sfondo gli eventi e sicurezza ma anche l'ordinaria vita di un sistema informativo che se di una certa dimensione va incontro naturalmente agli incidenti
In certi una certa misura è anche fisiologico che ciò avvenga
Le norme le nuove norme del nuovo Regolamento
Mentre a degli a spetti di innovazione il sospetto appunto pensiamo soprattutto il count ability e altri aspetti attuativi inziative i colleghi relativamente alle misure di sicurezza non presenta dei tratti di marcata originalità in quanto andando a leggere l'articolo trentadue del G DPR si vede facilmente agevolmente riconoscibile la discendenza da l'articolo diciassette della attuale direttiva europea diretti a madre sulla protezione dati
Che poi fu trasposta quasi con una pedissequa pedissequa traduzione dal mille l'articolo trentuno del Codice italiano quindi
Non ci sono elementi particolare di novità ma però qualcosa di nuovo c'è
Qualcosa di nuovo c'è perché la stessa formulazione del dell'articolo l'assalto un po'tutte le considerazioni preliminari di cui comunque è importante
Nel richiamare diciamo la lettura a chiarimento del
Dell'articolato delle del Regolamento
Andiamo all'articolo trentadue che nel G DPR dedicato alla sicurezza del trattamento la parte preliminare è molto simile all'articolo diciassette della direttiva quindi il lo conosciamo perché sono gli obblighi di sicurezza già vigenti virtù del Codice italiano
Con le previsioni l'articolo trentuno
Questo articolo trentadue invece nella questa nuova formulazione ci aiuta perché introduce delle novità
Fornisce innanzitutto una elencazione non esaustiva ma a titolo esemplificativo di misure di sicurezza che possono essere adottate per pervenire ad una gestione del rischio
E per minimizzare lo ridurlo in modo ragionevole infatti noterete che viene introdotto questo elenco con le lettere da a di da cioè misure che comprendono tra le altre se del caso quindi vuol dire che ne tutte devono essere necessariamente adottate né che siano le uniche misure adottabili
Non mi soffermo sulla lettera b e la lettera c perché sono diciamo delle misure che erano già previste magari in altre parti del Codice italiano con maggiore enfasi
Relativamente al misure minime di sicurezza
E invece sottolineo un po'l'elemento lievita rappresentato dalla sentono mitizzazione la lettera come misura di sicurezza di cosa si tratta e cosa perché è importante la pseudo Nizza azione ancor più bella anonimizzazione dei dati o della cifratura diciamo irreversibile dei dati una delle maggiori difficoltà che abbiamo avuto nel
Diciamo nei quattordici anni di esperienza di vigilanza di applicazione del codice italiano
è stata non lo dico da quella di non poter accettare o dare esprime per empio pareri positivi interi in sede di Pryor Cecchin
In quei casi di proposte di trattamento dati basate su
Anonimizzazione far alle dei dati questo in diversi contesti in cui pure l'utilità aziendale o sociale di quel trattamento era evidente ma non vi erano i presupposti di legittimità in termini di consenso o altri presupposti tali da abilitare il trattamento laddove il titolare diciamo non rimaneva sempre nella possible pensi alita di identificare per identificare e rendere nuovamente personali i dati precedentemente trasformati in forma anonima noi rilevavamo immediatamente la debolezza di questa non imitazione
Di essere in presenza di una labile Pseudo anonimizzazione che pur in contesti di buona fede non non ci consentiva di dare un parere positivo diciamo abilitare quelle forme di trattamento mi ricordo casi relativi alla Tour l'utilizzo per Coppini di programmazione del territorio dei dati di mobilità oppure qui i dati estratti dalle reti di trasporto urbano oppure dati estratti dalle reti mobili cellulari affini di gestione del traffico
Lasciando i casi estremi in cui ci siano previsioni specifiche di settore che impediscano del tutto di toccare alcuni dati
Per esempio i dati di traffico che hanno telefonico e telematico in una disciplina parte però in altri casi questa pseudonimi inflazione può abilitare il trattamento di dati consentendo che l'elaborazione sia condotta
Diciamo miti Grandoni riducendo notevolmente le possibilità di identificazione degli interessati e quindi possa avvenire in altri settori o reparti aziendali
Che fanno un'attività differente da quella
Per cui l'interessato per esempio fornito il consenso per cui i dati sono elaborati in un altro reparto dell'organizzazione
Ovviamente questa l'efficacia di questa se autonomizzazione finché non sia una finzione
Formale risiede nella capacità di predisporre a livello organizzativo una certa separatezza nelle funzioni aziendali deputate al questi trattamenti quindi delle banalizzazioni della pseudo minimizzazione per per esempio estendere in modo arbitrario la portato alla finalità del trattamento per finita quindi differenti da quelle originarie
Soltanto facendosi schermo di una presunta se umanizzazione ma effettuata appunto al solo scopo cautelativo protettivo non colgono nello spirito la sostanza della norma che una norma
Invece
Di garanzia non era a norma del tutto nuova Nolte pensiamo anche in ambito sanitario in qualche modo quelle previsioni per cui i dati sanitari dovevano essere resi diciamo consultabili ma con una con un forte legame con la necessità dell'operatore sanitario che qui non devono essere immediatamente svelati nella loro completezza se non al momento del bisogno
Era una formulazione un po'
Che creò problemi nel due mila tre due mila quattro in sede di prima applicazione nel complesso sanitario
Quindi questo rende l'idea che non si tratti di di una misura nuova
Perché è opportuna nulla vediamo con favore perché il la pretesa di trattare in modo anonimo i dati e quindi di esigere una vera anonimizzazione si è scontrata negli anni con la difficoltà
Di realizzare procedure efficaci di anonimizzazione se svolte all'interno dell'organizzazione del titolare poiché in molti casi residuavano comunque possibilità di Ray denitrificazione
Anche in presenza di di procedure correttamente eseguite soprattutto se più che di anonimizzazione si trattava di un disaccoppiamento di dati immediatamente identificativi da altri dati comunque personali
Che poi con uno sforzo più o meno rilevante potevano essere potevano tornare alla loro origini dato personale
Pienamente detto quindi riteniamo che questa questa previsione articolo trentadue apra le porte se realizzato appunto con serietà
Al la possibilità di condurre elaborazioni con i trattamenti con aumentando il valore informativo dei dati ma nel rispetto dei diritti degli interessati
Per quanto riguarda gli altri punti vediamo la lettera di prevede una procedura per purtroppo rimasta questa italiana testare
Comunque per controllare verificare valutare regolarmente l'efficacia delle misure in questa norma coglie un problema che noi stessi abbiamo rilevato tante volte laddove la previsione di misure teoricamente efficaci magistralmente descritta e corredate anche davanti a certificazione
E anche costi sostenuti per per raggiungere cozzava contro al momento del bisogno con la
Inadeguatezza per esempio di alcune fasi tecniche derby immagino faccio riferimento in particolare nel settore sicurezza informatica le procedure di salvataggio periodico dei dati sì siamo tutti bravi nell'ambito informativi a prevedere delle misure di backup però quanti possono scommettere non senza l'azzardo estremo di danneggiare volontariamente i dati perché si confida nella capacità di recovery però invece al contrario quanti sono ritrovati in assenza di quei controlli di quelle procedure richieste oggi dalla lettera di articolo trentadue
A scoprire diciamo la inefficacia delle procedure di salvataggio dati al momento della prima occasioni in cui realmente serviva a recuperarli
E quindi molto importante il backup dei dati molto più importante il store dei dati la capacità di recovery
Che deve essere garantita e deve essere verificata periodicamente
E che quindi sono cose non nuove per chi ha affrontato in questi anni il rischio ma non in questi anni anche nell'era precedente la data Protection perché fanno parte
Così l'idea di un bagaglio culturale chiunque faccia elaborazione elettronica dei dati
Possiede quando lo troviamo però tradotto in una norma è ovviamente ho fatto l'esempio del salvataggio dei dati ma in realtà questi obblighi di verificare
L'efficace valutare queste misure tecniche vanno ben oltre il salvataggio periodico dei dati ma riguardano anche i sistemi di protezione perimetrale in sistemi di protezione interna dalle minacce e dalle diverse minacce informati
A rigore questo comprende anche tutte le altre minacce di tipo fisico e tecnico quindi le procedure antincendio anti allagamento se rilevante la protezione fisica dei locali sede del trattamento che ospitano
I dati i sistemi
Poi ovviamente la valutazione della adeguatezza presuppone una valutazione del rischio quindi questo sottolinearlo da già introdotto le mie colleghe hanno introdotto quando sunto in relazione dottoressa cieca muore in relazione ai registri trattamento
Che
Cui vorrei tornare nel senso che sono la sede in cui sviluppare e annotare diciamo dei primi riferimenti ancorché sintetici all'analisi del rischio che poi servono questi riferimenti sia a valutare le condizioni
In base alle quali può determinarsi l'obbligo di dell'impact Assessment
Ma anche sono la base per costruire una strategia di mitigazione del rischio quindi realizzandone
Le misure di sicurezza adeguate quindi l'analisi del rischio una fase fondamentale anche questa non è nuova non è introdotta dal Regolamento
Era già è una cosa che era addirittura prevista in termini di misura minima di sicurezza
Oggi col nuovo Regolamento archiviamo quella famosa delle misure minime e con sanzione penale associata e penso che questo sia un un'evoluzione positiva del delle della norma delle norme in materia di sicurezza informatica perché non sempre lo spauracchio della sanzione penale è stato una misura efficace spronare al investire nella vera sicurezza invece a magari dirottato l'attenzione solo su un livello minimo di compliance svolto evitare i rischi maggiori ritenuti diciamo quelli di rischi per di per la libertà personale del dei responsabili di fatto non è stato così nell'esperienza di questi quattordici anni
Invece l'effetto distorsivo c'è stato e in più diciamo come autorità di protezione dati noi abbiamo sempre vissuto come una sconfitta diciamolo sconfinamento nel settore penale di questa problematica che invece esse ricondotta al campo d'azione le autorità amministrativa probabilmente trova un sistema anche sanzionatorio più più efficace e più significativo
Quindi
Gli altri strumenti perché abbiamo visto che qui l'articolo trentadue fornisce un elenco non esaustivo ed esemplificativo di criterio di misure per garantire un livello di sicurezza adeguato tra queste
Misure vi è anche l'adesione ai codici di condotta o i meccanismi di certificazione anche quindi attendiamo fiduciosa mentre lo sviluppo di codici di condotta
Così come la l'accreditamento di enti certificatori e di lo sviluppo di certificazioni ad hoc per tutelare
E per coprire questa area del g di Pierre relativa alla sicurezza
Una piccola notazione però occorre farla di bisogna rifuggire diciamo l'atteggiamento fideistico nei confronti di queste
Certificazioni queste cose hanno senso se non sono una nera diciamo conquista del diploma suo e del certificato da esporre sulle magari da da presentare come
Una medaglia attestato di benemerenza ma devono essere delle cose sostanzialmente che sostanzialmente comportino una elevamento del
Del livello di sicurezza altrimenti come nella nostra esperienza abbiamo verificato a volte si risolvono in una
Diciamo un investimento anche cospicuo di risorse per pervenire diciamo una compliance formale
Ma che poi non trova riscontro nella concreta sicurezza non ci siamo ritrovati negli anni tramite lo strumento ispettivo a esaminare
Banche dati dall'interno accedere i dati accedere i sistemi anche in contesti settori industriali naturalmente esposte all'innovazione tecnologica
Con alta capacità tecnica dotati di tutte le certificazioni di qualità e di sicurezza applicabili in cui però il problema concreto si visconte Eva come come il diavolo nei dettagli insomma nel che nei dettagli che non vengono colti dal da un certificazione che magari
Efficace
Solo sul livello di gestione della sicurezza d'informazioni ma non sul nella concretezza del trattamento vediamo cosa questo cosa succederà nei prossimi mesi dal punto di vista delle certificazioni
Poi importante il richiamo contenuto nel comma quattro sul l'obbligo del del titolare del responsabile affinché chiunque agisca sotto l'autorità qua non vengono citati incaricati però sono si evoca un po'il controllo da parte di Tito e responsabile sopra le figure operative
Della sicurezza affinché Into chiunque agisca sotto tu hai tradito e responsabile non tratti da Tizio e non è istruito in tal senso quindi in questo senso vediamo anzi un una responsabilizzazione maggiore dei titolari delle riguardo alla designazione degli incaricati un po'com'era come nel Codice attuale in base all'articolo ventinove del Codice riguardo alla designazione dei responsabili altri talmente vengono devono essere individuati tra soggetti che abbiano particolare caratteristica
Per quanto riguarda poi il dettaglio delle
Bollendo espandere cioè un interessante
Lavoro del work in parchi cui io rinvio riguardante le tecniche di anonimizzazione
Ed è lavoro del due mila quattordici ancora attuale cui il personale dell'autorità contribuito in modo significativo per quanto riguarda beh lacci le tecniche di protezione crittografica non sono una novità
Mentre punto sono novità maggiore è rappresentata dal se autonomizzazione che tra l'altro è inclusa adesso tra le definizioni all'articolo quattro del GT Pierre
Vediamo un po'che tempi abbiamo
C'è ancora qualche
Sono le sedici e quindi siamo arrivati qua sia sull'analisi del rischio detto un ultimo accenno sudata Berici ideata British non voglio qui diciamo generare allarmi particolari anche perché ho detto gli incidenti gli incidenti informatici appartengono anche diciamo a una fisiologia del del dell'esercizio di un sistema di un impianto di elaborazione dati
Quando non è fisiologica non è Fisiologia quando in presenza di questi eventi a nome di non c'è la capacità di gestirli di reagire e allora si verifica da Tabriz sulla violazione dei dati cioè una frase che sintetizza un po'e così l'umore le sensazioni di dei responsabili informatici quando relativamente Albert Bridge perché si dice che il mondo diviso in due parti tra chi ha subito in data british e chi ha subito un data british
Ma non lo sa ancora non l'ha ancora scoperto
Quindi la condizione di violazione dati che lungi dall'essere appannaggio di sistemi
Sofisticati di banche dati di sicurezza o oppure
Mirante ridata briciole acquisire segreti industriali invece è una condizione
Diciamo quasi fisiologica perché nella quotidianità
Si verifica con perdite di dati che sono a tutti gli effetti da Fabricio quando si smarrisce un supporto quando si viene dimenticato a me lo porto un al controllo bagagli e un computer portatile con i dati dell'azienda
O dell'organizzazione anche queste sono violazioni dei dati o possono essere violazioni dei dati sì e qui lo smarrimento dei supporti tuttora è una delle cause maggiori didatta British in tanti settori della sanità al
Previdenza
Le diciamo i doveri del titolare sono sanciti dall'articolo trentatré
E poi
Successivamente all'articolo trentaquattro qui l'articolo trentatré relativo all'obbligo di notificazione all'autorità competente in Italia il garante
Terzo protezione dati personali articolo trentaquattro relativo agli obblighi di comunicazione laddove ricorrano i presupposti agli interessati cioè i soggetti a cui appartengono i dati oggetto di violazione
Bene io rimanendo nei tempi mi fermerei qui ringraziandovi per l'attenzione e così magari lasciamo lo spazio alla false di domande e risposte ce la facciamo
Ma grazie grazie dottor Comella grazie davvero prima però di passare alla fase dei quesiti già posti da tutte anzi da alcuni alcuni di voi e ai quali tra un po'provvederemo a rispondere
Credo sia giusto dare la possibilità al presidente degli ordini dei commercialisti di Bari di rivolgere a tutti a tutti quanti voi un saluto il dottor e il ballo De Nuccio ecco la quando vengo a prenderla e la porto sul palco per un sintetico ci diamo la mano non diamoci la mano vuol molto romantica come cosa però va va bene così allora
Dare arrivato dottor De Nuccio cioè da da donne per le parole per ha una bella Fisichella dimostri tutta in teatro un bel saluto prego grazie grazie buona sera a tutti tra l'altro è particolarmente gradita la presenza sul palco del Teatro Petruzzelli voglio dire per un barese sicuramente il massimo
Allora mi è particolarmente gradito porgere un di brevissimo interiezioni saluti ringraziando a nome mio personale dell'intero Consiglio dall'ordine
Dei dottori commercialisti di Bari vorrei anzitutto ringraziare la Regione Puglia per l'invito nella persona dottor Vender i per l'invito che è stato rivolto rivolto al nostro ordine
Di partecipazione ad un evento che ritengo particolarmente lodevole
Benché non sia un addetto ai lavori obiettivamente non è un tema che riguarda quello della gestione dati della privacy un tema che riguarda direttamente noi aziendalisti
Però non posso non comprenderne l'importanza e la delicatezza e soprattutto Trovo lodevole questa iniziativa perché si inserisce all'interno di un processo di condivisione e di comprensione della norma che io considero essenziale in tutti gli ambiti
Soprattutto quando la norma viene realizzate in ambito comunitario soprattutto quando la norma parte dal presupposto di creare un sistema di armonizzazione e di regole quindi necessario affinché vi sia una corretta una chiara un'efficace applicazione della norma
Che la norma venga chiarita venga spiegata e che ci sia quindi un'attiva e profonda condivisione questo evento quindi va considerato e ritengo sia da considerare come una tappa importante di un percorso di creazione di una cultura della privacy
Spesso e volentieri da un punto di vista aziendalistico quando si parla di dati di informazioni per noi sono il pane quotidiano perché le aziende attraverso l'utilizzo dei dati e delle informazioni riescono anche a creare vantaggio competitivo
La corretta gestione del dato l'informazione infatti una determinante attraverso la quale i sistemi di impresa riescono a profilare correttamente prodotti o servizi che poi vengono analizzate venduta vinto nel mercato
Il problema non è la corretta gestione dei dati il problema è tutelare il cittadino tutelare la collettività rispetto ad una utilizzo distorsivo di questi dati
Che può provocare anche sistemi reversibili sistemi economici immaginate per un istante se qualcuno riesce ad acquisire le informazioni rispetto a dei dati di alcuni sistemi d'impresa che sono o che possono essere in difficoltà
Possono variare condizionare i dati di quotazione sul mercato delle azioni di titoli di sistemi di imprese importanti
Ecco perché ritengo essenziale opportuno che vengono attivati dei modelli di tutela di questi dati leggendo la la la brochure dell'evento di oggi regge una sigla
Leggo per non sbagliare R. Titti mi ha portato un po'in mente alla mente Larry PCT responsabile prevenzione corruzione trasparenza esista e cioè e questo da una veloce lettura della norma un modello un framework di applicazione delle norme a livello comunitario molto simile
Individuazione di un soggetto preposto all'attività di controllo di prevenzione un'autorità garante che svolge solo un'attività di coordinamento tra le varie istituzioni
I soggetti preposti all'attività vedo qui in prima fila Guardia di finanza i soggetti preposti all'attività di prevenzione anche di repressione dell'eventuale utilizzo delle rituali crimini commessi i modelli sono sempre gli stessi
Ciò che la preoccupazione che possa esprimere ma che stimo come ripeto come professionista che vive le ansie delle aziende ma anche delle pubbliche istituzioni delle enti pubblici perché sono oggi si discute di questo e sicuramente Farrah far comprendere a chi deve applicare la norma come applicarle applicano in modo corretto perché spesso e volentieri c'è anche un effetto distorsivo facevo riferimento alla alla normativa sulla prevenzione corruzione trasparenza spesso e volentieri
Si perde tempo in farraginose o distorte applicazione della norma senza può raggiungere l'efficacia e l'obiettivo per il quale la norma è stata effettivamente realizzata
Ora non voglio dilungarmi oltre
Nuovamente esprimo la disponibilità del mio ordine alla realizzazione di altri eventi come questo e sono sicuro che sicuramente sarà necessario organizzare nuovi eventi perché i dubbi le perplessità anche derivanti dalla prima applicazione penso sia Maggio non leggevo
Maggio di quest'anno sicuramente ce ne saranno danzanti e sarà necessario anche approfondire proprio casi concreti quindi auguro ancora tutti quanti buon lavoro e grazie ancora per l'invito grazie grazie
Grazie dottor denuncia buon lavoro a lei buon lavoro allora a questo punto io non so se liberare o meno i nostri relatori
A deciderlo sarà il dottor Modafferi perché Luís adesso risale sul palco per dare risposta ai quesiti già posti vediamo che ci dice il dottor Francesco se voi potete rimanere oppure che facciamo che dici dottore rilasciarono le tecniche di decida lei e ci dica lei Titanic grazie ma mi sento attrezzi
Forse non sono stretti
Facciamo facciamo insinuano facciamo una cosa informale allora ci sono un po'di quesiti adesso ce li siamo un po'ripartiti per argomento
Rispondiamo e poi alla fine
Insomma gli ultimi dieci minuti
Chiudiamo volevo darvi qualche altra informazione anche un po'sul proseguo di queste attività
Allora chiederei magari sì di cominciare credo dottor Filippi abbia alcuni quesiti sul tema titolare responsabile contitolare cominciato poi vediamo
Alcuni di questi questi team sono in qualche maniera riconducibili un passaggio chiave della relazione fatta in mattinata
Sul ruolo del responsabile del trattamento dati abbiamo detto responsabile trattamento dati e quell'attività
Ciò copre quell'attività di outsourcing quindi io designa un soggetto responsabile quando qualcuno lavora per mio conto
E quindi tipicamente quando realizzo delle attività di cui non ho le produzioni dall'interno e qui le faccio fare all'e sterno esternalizzo questa funzione
Evidente quindi un passaggio specifico di cambiamento nell'organizzazione rispetto al codice vigente perché irresponsabili e non è più un soggetto un'organizzazione interna
Al titolare del trattamento ma designerà un responsabile solo quando questa attività la svolgo attraverso un soggetto esterno all'amministrazione quindi la ripartizione organizzativa all'interno prevederà soltanto titolare o autonomia e distinto contitolare del trattamento distinto nel senso di intere individuazione soggettiva
Che entrambe individuano la finalità e le modalità del trattamento
Altrimenti il soggetto responsabile all'interno e non ci sarà più e quindi il soggetto interno sarà soltanto un soggetto autorizzato sulla base di istruzioni a seconda del livello ovviamente ricoperto nell'organizzazione stessa quindi ribadisco
Il soggetto responsabile interno
Non esiste più
L'altro quesito riconducibile appunto profilo organizzativo
In caso di uno o più contitolarità se vanno indicati nell'informativa risposte sicuramente sì
Avete visto prima con i registri dei registri contengono un'esemplificazione di negli argomenti
Di dove va indicato chi è il titolare sono titolari del trattamento o punto nella figura di contitolare quindi ben venga che l'informativa primo biglietto da visita di rappresentazioni trasparenza
Ovviamente se c'è un titolare o contitolare il trattamento va messo in evidenza al pari di quando
Va messo in evidenza se ci sono dei responsabili del trattamento dati l'ultimo quesito che mi riguarda
Che però credo abbia ottenuto una risposta dalla ottima illustrazione da parte dottoressa Meloni se irresponsabile trattamento dati il così detto di Pio
Sono una una stessa cosa ovviamente è emerso chiaramente che da quello che abbiamo detto prima da quello ce lo sottrasse Melloni sono due soggetti diversi che risponderà finita diversa e non necessariamente conduce una ci deve essere l'altrui mi potrei avere nessun atti nessuna attività esternalizzata però essere un soggetto che ha bisogno un titolare che ha bisogno di di designare un di piglio potrei al contrario ad aver bisogno del di più aperte le norme non lo prevedono essere soggetto privato che non fa certe attività però avere molte esternalizzazioni quindi avere soggetti responsabili esterni a tale scopo designati perché lavorano per mio conto
Il responsabile per la protezione dei dati personali una delle domande pervenute qual è stata la leggo in un ente medio grande possono essere nominati più di Pio settimo reali e nel caso alcuni interni uno Esterno allora in parte a questa domanda abbiamo dato qualche risposta nell'ambito dell'intervento di prima però è decisamente più articolata questa questa risposta questa domanda che è stata fatta
In linea di massima alla la risposta se possono esserci più di io la risposta sicuramente negativa nel senso che la condizione e che questa figura sia svolta da un unico soggetta ok come abbiamo cercato di far passare deve essere anche molto facilmente individuabile reperibile all'interno e all'esterno
Detto questo nulla osta che ha supporto di questa figura possa essere costituito Mustafà ma anche questo l'abbiamo già detto il merito della domanda e questo si parla di più di Piol nominati
Per più settori nulla osta ovviamente che questo staffa non sia costituito in un'unica sede ma magari tenga nella dovuta considerazione
Caratteristiche specifiche dell'ente e dei trattamenti che sono effettuati dall'ente e faccio riferimento per esempio all'eterogeneità dei trattamenti oppure ad un'organizzazione del titolare che sia particolarmente complessa e magari anche articolata territorialmente
Quindi in in tutti questi casi non solo è ammesso ma probabilmente è assolutamente opportuno che queste figure di supporto possano essere dislocati a seconda della o territorialmente e fungere quindi da come dire da elementi di raccordo tra la periferia e magari la sede centrale io qui parlo ho presente la struttura di amministrazioni
Di che anno delle articolazioni territorio penso al ministro dell'Interno alle prefetture ma anche a grandi amministrazioni come anche perché no anche le regioni che hanno diciamo attorno ad esse numerosi diciamo i soggetti che fanno capo alla alla Regione per cui in alcuni casi questo tipo di articolazione dello staff del D.P. o può essere assolutamente raccomandabile sia per l'eterogeneità dei trattamenti sia anche per questa dislocazione territoriale delle diverse sedi della del del titolare del trattamento brevemente anche un'altra un'altra domanda che è pervenuta e che pervenuta spesso devo dire in queste occasioni che riguarda la possibilità di assegnare il ruolo di responsabile per la protezione dei dati alla soggetto che riveste anche il ruolo di responsabile della prevenzione della corruzione e la trasparenza
Anche quando a brevissima premessa abbiamo visto quanto possa essere impegnativo lo svolgimento del ruolo di rapidi all'interno di un ente sono molteplici le funzioni in parte violentate io in parte li hanno elencati i colleghi negli altri negli anche interventi
Per cui la risposta in qualche modo che redasse in tutti in tutti quei casi nei quali lo svolgimento di questo ruolo impegnativo
Attribuire ulteriori compiti che possono essere altrettanto impegnativi sicuramente va a detrimento comporta un cumulo di funzioni che non consentono adeguatamente uno svolgimento di questo compito in modo efficace e garantista per il titolo è il trattamento che si ripete l'unico ad avere appunto la responsabilità per quanto riguarda il diciamo i compiti del responsabile per la prevenzione corruzione trasparenza a tutti voi sapete come nell'arco degli anni quanto meno gli obblighi di pubblicità carico delle pubbliche amministrazioni sia siano andati moltiplicando e quindi anche questo ruolo è un ruolo che oggi viene comporta una certa complessità per cui soprattutto quando si tratta di amministrazioni complesse di grandi amministrazioni il cumulo di queste due funzioni in qualche modo Luna esclude l'altra quindi sarebbe assolutamente sconsigliabile queste sono le domande sono pervenute
Per quanto riguarda
Il registro delle attività di trattamento pervenuto una domanda relativa agli elementi contenutistici
E li aveva un po'e lei appunto gli ho elencate nell'ambito dell'esposizione ci tenevo a puntualizzare che l'articolo trenta dice espressamente che il registro contiene tutte le seguenti informazioni e appunto indica tutti gli elementi quindi questi elementi sono quelli obbligatori la cui mancata indicazione comporta un inadempimento abbiamo anche detto che però il titolare del trattamento può e come dire rafforzare può implementare questo registro proprio non nell'ambito di questo e il secondo approccio progressivo indicare ulteriori informazioni che però non costituiscono un a uno un obbligo
E quindi ove non prevista ove non inserite ovviamente non si configurano in un inadempimento Marco ci tenevo a questa precisazione
Giusto una precisazione telegrafica c'è stata chiazza S l'obbligo di notificazione al Garante può essere utilizzato come i ultimo elemento per capire se effettuare o meno la valutazione di impatto sulla protezione dei dati personali
Obbligo di notificazione che lo ricorda mi a me stessa attualmente previsto all'articolo trentasette del Codice
Quest'obbligo non esisterà più con diciamo dal venticinque maggio due mila diciotto in poi
Sicuramente considerando che fra i dati di fare trattamenti per i quali era previsto quest'obbligo vi sono tutta una serie di categorie i dati di cui abbiamo parlato insomma aveva una relazione chi devo tenuto sulla valutazione di impatto quindi dati genetici i dati biometrici Dattis da profilazione gioca geolocalizzazione e alcuni e trattamenti radi sensibili diciamo che sicuramente
Tutti coloro che hanno tutti i titolari di trattamenti che hanno effettuato notificazioni al garante in questo senso si devono interrogare sulla necessità di effettuare o meno la valutazione d'impatto
Non c'è una consequenzialità obbligatoria cioè non è non è detto che chi ha affettuato questo notificazione è obbligato a fare la valutazione sicuramente si deve interrogare corsi quella tipologia di trattamento presente o meno dei rischi elevati e in questo caso effettuare la valutazione d'impatto
Passo la parola al dottor monasteri
Va bene
Allora così eccoci qua siamo alla conclusione di ultime le ultime domande poi vorrei
Tirare un po'le somme del lavoro fatto oggi
Le domande che le ultime domande alle quali insomma ci proponiamo di rispondere una dice chiede entro quando saranno stabilite le nuove sanzioni penali in pratica potremmo dire quando finirà il lavoro delle CISL autore nazionale di adeguamento del quadro normativo
I tempi sono molto stretti la delega prevede sei mesi dalla data di pubblicazione termine che scade pochi giorni prima del venti quattro maggio
I lavori sono iniziati proprio in questi giorni è stata costituita una commissione presso il il
Ministero di Giustizia di Esperti che si è data o una tempistica molto serrata per realizzare sia il nuovo decreto legislativo per la proposta di nuovo decreto legislativo
Inerente i trattamenti fatti dai soggetti pubblici e privati
Sotto l'egida diciamo così del Regolamento sia il recepimento della direttiva perché non ne abbiamo parlato oggi ma in realtà il pacchetto di protezione dati
Approvato la europea non riguarda solo il regolamento ma anche una direttiva che va a coprire i trattamenti fatti in ambito giustizia
E attività di prevenzione e repressione dei reati qui insomma le norme che dovranno essere approvate sono due
Due decreti legislativi questa Commissione dicevo sedata tempi molto stretti
Ipotizzando di concludere un la prima fase di lavoro entro marzo quindi diciamo che
La speranza che
Prima a questo punto dire aprile primi di maggio insomma non ha molto senso ma che prima dell'entrata definitiva applicazione del Regolamento questo lavoro sia concluso
Non ci dobbiamo nascondere che i tempi istituzionali nei quali questo lavoro viene svolto sono tempi difficili le camere sono sciolte ci sono le elezioni formazione di governi dopo il quale sarà lo scenario post elezione in onde difficile prevederlo adesso quindi
Qualche incognita c'è ci auguriamo
Diciamo così che nonostante tutto o il quadro normativo sia perfezionato se così non fosse sarebbe veramente un grosso problema
E problema che cominceremo a porci quando se e quando reputando e sperando che ciò non sia necessario si comincia si dovesse capire che non c'è più la possibilità di una modifica nei tempi
Una domanda collegata anche al discorso del di pioppi e spesso si viene fatta le pubbliche amministrazioni sono spesso in dubbio se nominare il di più interno Esterno Anna Carla parlato diffusamente è un è uno delle delle prime quesiti è un dubbio
Con come dire che spesa qua è difficile dare una risposta il problema è che spesso internamente non c'è la competenza ma la la con diciamo l'India anche all'esterno l'individuazione di competenze e soprattutto nel
Nei tempi e con le modalità e con la ristrettezza di risorse pone problemi quindi è una decisione molto difficile qualunque essa sia il regolamento contempera prevede le due possibilità
Qualunque scelta venga fatta anche nel caso che sia un un soggetto Esterno la nostra indicazione nostro suggerimento è che anche in questi casi dove l'ente dovesse decidere di ricorre a un soggetto esterno
Individui al proprio interno delle risorse da affiancare a questo soggetto esterno per fare una sorta di apprendistato per imparare per acquisire questa competenza in modo che in una fase successiva si possa invece optare per un soggetto interno non c'è dubbio che il soggetto interno potrebbe avere un deficit di competenza specifica ma rispetto al soggetto esterno ha indubbiamente una conoscenza dei processi
Dei trattamenti delle persone all'interno all'organizzazione che potrebbe agevolare molto il suo lavoro quindi insomma è una decisione che va valutata con tutti i propri contro
Un altro quesito
Che c'è stato rivolto attiene ai provvedimenti dell'autorità
Che fine fanno i provvedimenti dell'autorità l'autorità ha ha in questi anni come sapete fatto tante tanto lavoro direi enorme tanti provvedimenti i provvedimenti di carattere generale linee-guida
Verifiche preliminari che cosa ne sarà di quel Santo
Di queste conoscenze di questa massa
Di informazioni sono da considerarsi perse con il nuovo Regolamento o potranno avere in qualche modo una sopravvivere bene l'invio di dea
L'indicazione anche qui
In qualche modo potrebbe essere anche come posso dire sponsorizzata
Dal legislatore nazionale in sede di decreto legislativo
è che in tesa della formazione del aggiornamento di questi provvedimenti sono provvedimenti che indubbiamente hanno dei riferimenti normativi che con il regolamento non saranno più attuali
Ma in virtù della con grossa della continuità che riguarda molta parte del Regolamento rispetta la disciplina precedente ancorché riferimento normativo
Possa essere in qualche modo impreciso o obsoleto il contenuto di fatto di quei provvedimenti potrebbe continuare a essere valido sicuramente contro continuerà continueranno a sopravvivere quale come possiamo dire indicazione di accountability
Fintanto che non fossero superato da provvedimenti nuovi tipo
Codici di condotta linee guida della dell'autorità nazionale oltre il Comitato europeo quindi insomma il vissuto delle regole che il Garante in questi anni era elaborato non smobilizzo diamolo non abbandoniamo la prima del tempo in questa fase di transizione credo che tanto l'autorità quanto il titolare del trattamento continueremo ad utilizzarli per dire
Bene io in assenza di altri criteri mi sono attenuto al provvedimento sulla videosorveglianza per esempio cioè ho conservato i dati per sette giorni ho adottato con le misure di sicurezza ho fatto quelle va al tipo di valutazione intero lì indicate
E quindi con ogni probabilità fino a prova contraria
Questo così tira indice di correttezza del trattamento effettuato
Le istituzioni scolastiche ecco ci sono vari quesiti so che tanti tra voi appartengono istituzioni scolastiche le istituzioni scolastiche le scuole
Rappresentano un punto compro Complesso
Da una parte le scuole sono caratterizzate ormai da una elevata autonomia i dirigenti scolastici in virtù anche dei riforme della scuola i dirigenti scolastici è stata assegnata una forte autonomia
Che spesso li consente di prendere decisioni sul trattamento di dati degli studenti delle famiglie
Con l'appunto una certa autonomia anche rispetto alle strutture centrali ministeri eccetera
Quindi
In molti casi sono considerati titolari autonomi del trattamento ma
Non c'è dubbio che
La il Complesso la della applicazione di questa disciplina così articolata rispetta strutture che pur avendo questa autonomia poi sono di fatto caratterizzate da una struttura amministrativa molto è esile
Dove il direttore scolastica dirigente scolastico ha spesso qualche impiegato amministrativo a cui poi affidare di fare i compiti devono indubbiamente trovare un punto di mediazione
Ora le le tre i quesiti che ci sono state rivolte sono molteplici e molto specifici quello che posso dire e che indubbiamente non siamo disponibili rispetto a questo tema a una riflessione se del caso anche con il ministero
Dell'istruzione per i vini individuare modalità che possono nel rispetto delle della disciplina del Regolamento essere tra virgolette sopportabili sono stato stupito nel vedere per esempio arrivare tra le prime comunicazione di nomina dei tipi o molte comunicazioni provenienti da istituti scolastici onestamente non me lo sarei aspettato
Prima ancora dei grandi ministeri sono state le scuole a nominare il di più io hanno nominato di Piove Esterni Società di consulenza e quant'altro
Non so adesso io miss onestamente mi sento di dire che forse un tipi o per ogni istituto scolastico sia un po'esagerato lo dico pure io che sono un fanno diciamo così di questa
Di questa disciplina probabilmente occorrerà si potrà ragionare in termini di individuare su base non lo so provinciale su un criterio anche
Credibile
La possibilità di una condivisione in modo tale che quando quella scuola fa un certo qualcosa di particolare Possa consultarsi Fossa interagire con una persona qualificata
Ma non che necessariamente ogni istituto scolastico
Debba avere un responsabile della protezione dei dati
Un'altra e questo è l'ultimo
Quesito prima delle mie conclusioni riguarda il tema della ricerca il tema della ricerca ne parlava stamattina anche il presidente emiliano il tema della ricerca non c'è dubbio che è un sia un tema
Tra i più o interessanti anche tre più delicati
L'individuazione di un punto di equilibrio rientrare a dispetto della protezione dei dati
La necessità crescenti di una ricerca in tutti i settori dalla ricerca medica biomedica farmaceutica sommate in tutte le sue tecnologica
Impone indubbiamente nel quadro che abbiamo visto questa mattina anche
Idee nuove
Il tutto questo ambito però quello della ricerca così come quello della sanità
Non ha molto senso affrontarlo in questo momento perché come dicevamo questa mattina ricerca sanità giornalismo eccetera sono quegli ambiti che il legislatore ne equalizzatore europeo lasciato agli Stati nazionali
Una certa autonomia una certa grado di elasticità nella definizione di regole più o meno specifiche
Cioè la domanda è ma le regole che sono contenute nel Codice per il venti per esempio sul trattamento dei dati per la salute saranno le stesse anche con il Regolamento l'ALD risposta
è difficile a darsi adesso cioè fintanto che non si esprimerà il legislatore nazionale per esempio non potremmo dire se il consenso
Per il trattamento anche per finalità di cura che adesso è richiesto in ambito sanitario sarà ancora necessario
Con il quadro il Regolamento oppure no perché è una scelta rimessa a livello nazionale del motivo per il quale in questa nostra
Attività noi fino a questo momento abbiamo evitato di affrontare i temi tiri in questi ambiti proprio perché non sapremmo che risposte dare
Rimandando quindi non come dire sottraendo cima semplicemente rimandando questo momento alla fase in cui questo decreto legislativo invece sarà approvato una volta approvato il decreto legislativo e ha preso ci il tempo necessario per riflettere sull'impatto di queste modifiche quindi credibilmente sperabilmente potremmo dire a partire da settembre
A partire da settembre potremmo immaginare di fare un incontro come quesito dedicato alla sanità
E su questo abbiamo già la disponibilità del ministero per la salute
E
E o un incontro come questo dedicato alla ricerca e su questo abbiamo già varie disponibilità da parte sia del Cnr sia dell'Istituto superiore di sanità
A supportarci nell'organizzare questi eventi però ripeto qualunque cosa dicessi Moggi su questi argomenti sarebbe
Parziale incompleta e rischierebbe anche di essere imprecisa
Bene sono arrivati ovviamente anche altri quesiti ho detto non possiamo rispondere a tutti alcuni sono molto specifici quindi non si prestano a una discussione generi generale come quella che stiamo facendo
Volevo chiudere questo lavoro
Vi devo ringraziare ancora una volta primo per la pazienza e anche la resistenza in commi e abile nel essere rimasti fino qua
Al ad ascoltarci devo ringraziare ancora una volta tutte le persone che ci hanno consentito di organizzare questo evento voglio ringraziare anche i colleghi i dirigenti le funzionario del dipartimento
Che ogni volta che le ascolto mi rendono orgoglioso di essere dirigente di questo dipartimento avete visto che livello di
Persone ci sono dentro questa autorità questo ovviamente siamo pochi però devo dire la verità che
è sempre piacevole riletture rivelare rilevare questa livello di preparazione
Lei attività che siamo alle quali stiamo pensando anzi alcune si stanno già realizzando il primo di cui vorrei parlarvi è un progetto europeo alla quale l'Autorità partecipa voi troverete nella vostra cartellina un documento
Progetto europeo Tea for data si chiama
è un progetto finanziato dall'Europa alla quale partecipa l'autorità è dedicato alla pubblica principalmente alla pubblica amministrazione soprattutto la pubblica amministrazione periferica diciamo così ma insomma in generale al mondo pubblico di supporto rispetto al Regolamento è un progetto che prevede varie fasi
Fasi di formazione anche nostra dei Four cosiddetti formatori del personale delle autorità di controllo ci confronteremo all'interno di seminaristi con esperti internazionali per accrescere anche la nostra preparazione
Insomma non è non è che sia veniamo come dire scendiamo dalla luna o che viviamo
Di scienza infusa ovviamente anche noi abbiamo bisogno di confronto abbiamo bisogno di approfondire tante tematiche dopo questa fase ci sarà una seconda fase che sarà molto simile a queste a incontri
Sul territorio di sensibilizzazione barra informazione sul regolamento quindi in attrattività come queste dopo Bari ne pianifica eremo delle altre all'interno di questo progetto
Ma soprattutto direi
Questo cita la garanzia di aggiungere un maggior numero ancora di persone sfruttare le tecnologie alla realizzazione di web Linear
Da rendere disponibili ancora una volta per poter consentire a ciascuno informarsi formarsi capire comprendere senza bisogno neanche di spostarsi e questo sicuramente uno sarà uno dei gli elementi vincenti di queste o Progetto quindi trovate la vostra cartellina questo documento tenetelo di riferimento monitorate il sito dell'autorità
Dove ovviamente queste iniziative e l'andamento di questo progetto sarà sempre pubblicizzato al netto di questo noi abbiamo e al di là di questo progetto in animo già di fare proseguire queste iniziative siamo inno ora stiamo organizzando un evento dedicato al mondo dell'università a Roma che dovrebbe tenersi a Roma nel mese di marzo
Per un confronto con l'Università di cui stamattina questa mattina facevo cenno abbiamo bisogno non solo l'università come diciamo soggetto passivo passatemi il termine dell'applicazione la disciplina ma noi vorremmo sempre di più stimolarla eh ad essere protagoniste di questo cambiamento
Di quella che è proprio la funzione principale dell'università quale Accademia quindi quale pensiero in una disciplina così complessa come la nostra
L'altro incontra quale stiamo pensando che ancora diciamo in fase di elaborazione è un incontro con i di Pio ma insomma dopo aver tanto parlato di facciano i di pioli scegliamo eccetera il venticinque maggio
Cioè il giorno in cui tutti di Piossasco hanno stati ovviamente scelti belli brutti bravi interni esterni quelli sono il venticinque maggio ci prendiamo un terzo
A a Roma coni di Pio certo facciamo crea un evento per incontrare di Piotta rare di Pio
Per realizzare non tanto il dialogo tra noi di P oche pure sarà importante perché cercheremo nel frattempo anche noi
Di maturare l'idea di come realizzarla questa relazione attraverso quali canali quegli strumenti dovevo immaginare probabilmente degli strumenti dedicati e di Pio nella relazione con l'autorità ma soprattutto con l'intenzione di fare quello che dicevo questa mattina di far realizzare di creare i presupposti per cui si realizzi una rete di competenza
Ci saranno più bravi e meno bravi più avanti eccetera ma non ha tanto importanza del valore assoluto il valore individuale è importante però che queste persone si conoscano si parlino scambino esperienza questo accorcia molto in tempi di adeguamento del sistema e questo io credo soprattutto nel settore pubblico
Può funzionare molto bene
Quindi anche da questo punto di vista tenete d'occhio il sito del garante per avere conferma se tutto andrà bene questo verrà realizzato
Un altro o punto molto importante sarà far capire alle amministrazioni
Cos'è questo di Pio questo responsabile la protezione dei dati chi è perché anche quando sarà scelto anche quando sarà individuato sarà comunque una persona che si è abbandonata a se stessa
Rischierà di essere la persona che predica nel deserto e noi non vogliamo creare delle persone con turbe psicologiche perché nessuno selettiva interruppe amministrazione oppure sono odiate dalla propria pubblica amministrazione
Quindi non vorremmo creare tutti i presupposti non dico per cui siano accolti con i fasti ma almeno sia capi
Compreso dal soggetto dove andranno a inserirsi qual è la funzione che cosa ci si aspetta di che cosa hanno bisogno per fare questo
Dobbiamo parlare non Politi Pio dobbiamo parlare con i capi dei di Pio dobbiamo parlare
Con i vertici delle amministrazioni dobbiamo parlare per esempio quei capi degli uffici legislativi con i capi di gabinetto stiamo pensando a o diciamo iniziative
Volte a quel livello
Per far comprendere loro
Questa situazione infine e qui chiudo così credo che siamo imperfetto orario
Mi è piaciuto molto una metafora che ha fatto prima dottoressa Viggiano parlando di
Valutazione d'impatto privacy
Detto qui ci sono gli ingredienti no lei ha parlato di ingredienti la ricetta e questo mi richiamava un po'il discorso del metodo io stamattina ciò mio ne ho parlato ma questa è veramente una cosa importante cioè quello che serve non è tanto e solo la una somma
Di conoscenze è riuscire a pensare un metodo che sia efficace per gestire la protezione dati personali all'interno di un'organizzazione complessa in maniera esaustiva completa accanto a Paul come abbiamo ripetuto tante volte bene su questo
C'è un enorme spazio per l'inventiva per la capacità di elaborazione
Largo alle proposte mi diceva la dottoressa Piemonte per esempio da cito perché rendo pubblica questa conversazione che abbiamo avuto dice ma voi non avete pensato a fare per esempio
Un prodotto per aiutare la pubblica amministrazione la gestione del registro operazioni di trattamento che possa essere poi reso disponibile a tutti
Dico eh
Bene bravo questa è una bella idea ma non dovete pensare sente che debba essere l'autorità a realizzare queste queste una bellissima idea io lo sponsorizzò
Qui c'è
Puglia InnovaPuglia dove InnovaPuglia sta in platea perché li conosco qua vedete una società informatica di tutto rilievo InnovaPuglia accesso J c'è
Lombardia Informatica c'è c'è abbiamo in Italia India outsourcer della pubblica amministrazione
Validissimi competentissimo eccetera bene facciamo un bel trust di cervelli di outsourcer la pubblica amministrazione e creiamo un prodotto che rendiamo disponibile
Alla pubblica amministrazione soprattutto pensando a quelle più piccole come dire perché magari la regione con la nuova Puglia
Dori lo realizza comunque però poi ci sono i Comuni poi ci sono altre realtà possano essere le scuole eccetera quindi
In questo senso se parte delle iniziative di questo tipo
Dove non si chiede l'autorità di fare ma si dice noi abbiamo questa idea e la vorremmo realizzare tu ci puoi dare qualche indirizzo ecco allora in questa dimensione noi siamo sicuramente sempre disponibili pur
Nella
Come dire ristrettezza di risorse difficoltà che anche noi viviamo perché il regolamento impatta e molto come intuitivo anche su di noi quindi
Abbiate pazienza non è mancanza di disponibilità tante volte sei tempi delle nostre risposte non sono quelle che noi stessi vorremmo
Però il momento è difficile anche per noi e quindi
Ecco mi sono immaginato oggi siamo stati qui sul palco di un bellissimo teatro un domani essere protagonista di un master chef della privacy nella quale io vi darò gli ingredienti
E le tento reddito adesso cucinate mi una bella Valutazione d'Impatto Price fatte una bella individui individuate un metodo efficace praghese sarebbe una cosa avente va be scusate questa del livello di perversione
La cosa che ho tanti anni detto questo io
Ringraziando anche il nostro
Moderatore che ci ha aiutato molto con la sua discrezione i tempi che ci ha dato ti ringrazio di saluto a prezzo
Siamo noi che ringraziamo voi e sono sicuro che vorrete ringraziare tutti e tutti che hanno partecipato andate in pace proteggete i nostri e i vostri dati arrivederci