Version classiqueVersion mobile

Società delle tecnologie esponenziali e General Data Protection Regulation

 | 
Simone Bonavita

I registri dei trattamenti nel regolamento privacy europeo: strumento di compliance e di governance del sistema di gestione delle informazioni: impatto e scenari nelle organizzazioni

Mauro Alovisio et Costanza Mottino

Texte intégral

Si specifica che il contributo degli autori ha carattere personale, non attribuibile agli enti di appartenenza, in quanto le considerazioni esposte sono il frutto esclusivo del pensiero degli autori e non impegnano i relativi enti o studi

Il Principio di accountability

  • 1 Rodotà, S. (2014) Il mondo nella rete. Quali diritti, quali vincoli. Roma-Bari: Laterza.

1La tutela della privacy “si è sempre di più strutturata come diritto di ogni persona al mantenimento del controllo sui propri dati ovunque essi si trovino…”.1

  • 2 Id.

2Il mondo virtuale nel quale operiamo ogni giorno (internet, chat, social network) ha assunto sempre di più le fattezze di un mondo parallelo dove si esplica la nostra personalità e nel quale vengono continuamente ceduti dati, non sempre consapevolmente. Ed invero, cediamo informazioni, lasciamo tracce quando ci vengono forniti beni o servizi quando cerchiamo informazioni, quando ci muoviamo nello spazio reale o virtuale.2

3In tale contesto, il diritto dell’interessato a controllare come vengano trattati i propri dati ha come conseguenza la pretesa, nei confronti di chi li ha raccolti, di livelli di consapevolezza e di misure di sicurezza sui trattamenti posti in essere, proporzionati alla natura dei dati trattati ed alle finalità perseguite.

4La sfida nei prossimi anni sarà, quindi, quella di diffondere una vera e propria cultura della privacy, di essere in grado di veicolare l’importante messaggio per cui il rispetto del trattamento dei dati personali non è solo una fastidiosa attività burocratica prevista in danno di aziende e pubbliche amministrazione ma, al contrario, una vera propria tutela di un diritto fondamentale che si traduce nella capacità di ogni persona di autodeterminarsi.

5Per fare ciò risulta fondamentale l’opera di responsabilizzazione di coloro che trattano i dati, prevista nel Regolamento Europeo attraverso la previsione del cd. principio di accountability, disciplinato all’art 5 par. 2 e tradotto come principio di responsabilizzazione.

  • 3 Parere gruppo art. 29 dei Garanti privacy europei3/10consultabile al seguente link:

6Pur risultando complesso definire cosa si intenda con il concetto di “accountability”, in generale si ritiene di dover volgere l’attenzione sulla “dimostrazione di come viene esercitata la responsabilità e sulla sua verificabilità. La responsabilità e l’obbligo di rendere conto (circa la conformità delle pratiche al regolamento) sono due facce della stessa medaglia ed entrambe sono elementi essenziali di una buona governance. Solo quando si dimostra che la responsabilità funziona effettivamente, nella pratica può instaurarsi una fiducia sufficiente” .3

7In sostanza, tale principio si incentra su 3 elementi principali:

  1. La necessità di adottare politiche e attuare misure adeguate per garantire i principi di protezione dei dati;
  2. La necessità di dimostrare, su richiesta, che sono state adottate misure appropriate ed efficaci (acquisizione di evidenze probatorie finalizzate a comprovare che le disposizioni del Regolamento siano state rispettate);
  3. La “trasparenza” intesa come garanzia della completa accessibilità alle informazioni, in primo luogo per i cittadini, anche in quanto utenti del servizio.

8Il Regolamento suggerisce alcune modalità mediante le quali dare attuazione al principio di accountability, in particolare:

  • Codici di condotta e certificazioni ex art 40 e 42;
  • Data protection Officer (DPO) ex art 37;
  • Tenuta dei registri dei trattamenti ex art 30.

9Nel presente contributo esamineremo il profilo della tenuta dei registri del trattamento ai sensi dell’art 30 del Regolamento europeo 679/16 e risulta quanto mai efficace, per quanto riferito sin d’ora, il considerando n. 82 “il titolare del trattamento o il responsabile del trattamento” per dimostrare che si conforma al presente regolamento – in attuazione del suddetto principio – dovrebbe tenere ”un registro delle attività di trattamento effettuate sotto la sua responsabilità”. Fatta salva, infatti, l’obbligatorietà della tenuta dei registri dei trattamenti soltanto per i titolari che soddisfino le condizioni di cui all’articolo 30 del Regolamento, il sopracitato considerando prosegue “Sarebbe necessario obbligare tutti i titolari del trattamento e i responsabili del trattamento a cooperare con l’autorità di controllo e a mettere, su richiesta, detti registri a sua disposizione affinché possano servire per monitorare detti trattamenti”.

  • 4 Bolognini, L., Pelino, E., Bistolfi, C. (2016) Regolamento Privacy Europeo Commentario alla Nuova (...)

10Una delle principali criticità del registro dei trattamenti è comprenderne la reale doppia funzione. Da un lato, infatti, funge da “strumento operativo di lavoro (ex ante e durante) e, dell’altra, da “documento probatorio (ex post) degli adempimenti4 prescritti dal Regolamento europeo in materia di protezione dei dati personali 679/16. Si osservi infatti che, ai sensi dell’art. 30 par. 4 “su richiesta il titolare del trattamento o il responsabile del trattamento e, ove applicabile, il rappresentante del titolare o del responsabile … mettono il registro a disposizione dell’autorità di controllo”.

11Quale criterio deve guidare i titolari del trattamento nella redazione del registro?

12Occorre rappresentare, che tanto più il registro sarà dettagliato, aggiornato e corrispondente all’organizzazione aziendale o delle pubbliche amministrazioni, tanto più si darà attuazione al principio fondamentale contenuto nel Regolamento e, aspetto ancora più importante, si procederà ad una reale tutela della persona, delle sua libertà e della sua dignità.

I registri dei trattamenti

13Il registro delle attività di trattamento dei dati personali costituisce pertanto una pietra angolare del sistema, un importante strumento di compliance aziendale in materia di dati personali.

  • 5 Garante per la protezione dei dati personali, Guida all’applicazione del Regolamento europeo in ma (...)
  • 6 Per la protezione Garante del dati personali, Guida all’applicazione del regolamento europeo in ma (...)

14Secondo il Garante per la protezione dei dati personali italiano “il registro dei trattamenti non costituisce un adempimento formale bensì parte integrante di un sistema di corretta gestione dei dati personali5. Lo stesso Garante privacy, nella propria Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali6, invita tutti i titolari del trattamento e i responsabili, a prescindere dalle dimensioni dell’organizzazione, a compiere i passi necessari per dotarsi di tale registro.

15Il registro dei trattamenti consente alle imprese e pubbliche amministrazioni di disporre di un quadro aggiornato dei trattamenti effettuati al proprio interno e in relazione ad altri soggetti, indispensabile per ogni valutazione e analisi del rischio.

16Ai sensi delle disposizioni del regolamento privacy europeo il registro può essere tenuto in forma scritta o anche in formato elettronico.

17Desta certamente perplessità, tuttavia, la modalità mediante la quale assicurare data certa al registro dei trattamenti. Ed invero, tramite firma digitale? La marca temporale? il protocollo informatico?

18La data certa costituisce un elemento di estrema importanza anche al fine di dimostrare la conformità dell’organizzazione ai principi e alle disposizioni del regolamento privacy europeo.

19Il registro dei trattamenti non costituisce un documento che una volta redatto rimane immutato nel tempo, bensì rappresenta un vero e proprio strumento di lavoro e come tale deve essere integrato ed aggiornato.

20Tale strumento di lavoro consente all’organizzazione di disporre di un censimento dei trattamenti effettuati, delle relative finalità, degli interessati e delle categorie dei dati personali, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, di una descrizione generale delle misure di sicurezza tecniche e organizzative.

21La redazione dei registri dei trattamenti consente al titolare di dimostrare l’adozione di misure di sicurezza adeguate al rischio. La redazione e l’aggiornamento dei registri dei trattamenti devono essere coordinati con gli altri adempimenti previsti dal regolamento privacy europeo (l’informativa privacy, la valutazione di impatto privacy, le istanze di consultazione preliminare; le comunicazione delle violazioni di dati “data breach”).

22La redazione del registro dei trattamenti è stata individuata dal Garante privacy nel comunicato stampa del 14 giugno 2017 sull’impatto del regolamento europeo nel settore pubblico, come una delle tre azioni ad alta priorità in vista dell’applicazione del regolamento del 25 maggio 2018 (con la designazione del DPO e il data breach).

23La violazione delle disposizioni dell’art. 30 rubricato: “Registri dei trattamenti” del regolamento privacy europeo comporta significative sanzioni pecuniarie (fino a euro 10.0000.000, o per le imprese fino al 2% del fatturato mondiale totale annuo dell’esercizio precedente se superiore).

24Una delle principali criticità del registro del trattamento per i titolari è come progettare l’implementazione e come alimentare, aggiornare il registro: attraverso la costituzione di specifici gruppi di lavoro interdisciplinari? Quale metodo di lavoro adottare? Interviste, ricerche documentali e audit?

25Uno degli snodi fondamentali del registro è costituito da una preliminare attenta ricognizione della documentazione privacy esistente, tuttavia ad oggi non è stato chiarito quale documentazione risulti fondamentale esaminare; a parere degli scriventi, particolarmente rilevanti sono a titolo esemplificativo e non esaustivo: le informative, i consensi, i contratti, l’ultima copia del Documento programmatico per la sicurezza “DPS” (adempimento abrogato dal decreto Monti) se non troppo risalente nel tempo, le policy privacy, i regolamenti in materia di posta elettronica ed internet, le social media policy interne ed esterne, i regolamenti in materia di videosorveglianza.

26Va rilevato, inoltre, che ad oggi non è stato chiarito agli operatori come debba essere realizzata una gap analisys rispetto al contenuto dei registri. Risulta quindi evidente l’incertezza nell’approccio a tale materia.

27In ultimo, particolarmente complessa risulta la tracciabilità della compilazione del registro dei trattamenti. Ed invero, come redigere il registro dei trattamenti nelle grandi aziende e pubbliche amministrazioni? Con un solo documento che rinvia ad altri allegati? E coloro che devono tenere sia il registro in qualità di titolare del trattamento sia in qualità di responsabile del trattamento devono avere due registri o un unico registro?

28L’assenza di contributi significativi da parte dell’Autorità in merito all’applicazione pratica delle norme in oggetto determina, come già evidenziato, perplessità sulla corretta esecuzione di quanto richiesto dai legislatori europei e, conseguentemente, comporterà incertezze anche per quanto attiene l’irrogazione della sanzione.

29Sul punto occorre rilevare come il Garante per la protezione dei dati personali italiano stia valutando di inserire sul proprio sito un modello di registro a disposizione delle imprese, da integrare nel modo ritenuto opportuno.

30Giova osservare, tuttavia, come l’omonima Autorità francese abbia già messo a disposizione on line diversi documenti volti ad agevolare le imprese, nonché gli Enti, nel complesso percorso di adeguamento al regolamento privacy europeo.

3. I soggetti tenuti alla redazione dei registri

31I soggetti deputati a redigere il registro sono:

  1. il Titolare del trattamento ed, ove applicabile, il suo rappresentante;
  2. il Responsabile del trattamento ed, ove applicabile, il suo rappresentante.

32Uno degli aspetti problematici più rilevanti, tuttavia, concerne il ruolo e i compiti del DPO nella redazione del registro dei trattamenti.

  • 7 Linee Guida sui responsabili della protezione dei dati pag. 20.

33Occorre rappresentare, infatti, come nelle linee guida sui responsabili della protezione di dati adottate il 13 dicembre 2016 – versione emendata e adottata in data 5 aprile 2017 – il WP29 al par. 4.5, riconosce la possibilità per i titolari e i responsabili del trattamento di affidare al Responsabile della protezione dei dati (DPO) il compito di tenere il registro delle attività di trattamento. Tale osservazione trova fondamento giuridico nell’art 39 par. 1, il quale contiene un elenco non esaustivo delle attività attribuite al RPD, pertanto il WP 29 ritiene non vi siano controindicazioni ad affidare tale compito al RPD. Ed anzi, nelle sopracitate Linee Guida, viene affermato che “tale registro va considerato uno degli strumenti che consentono al RPD di adempiere agli obblighi di sorveglianza del rispetto del regolamento, informazione e consulenza nei riguardi del titolare o responsabile”.7

  • 8 Marini, P. (2016) Privacy: come, quando e perché si compila il registro del trattamento del titola (...)

34In merito ancora alla redazione del registro da parte sia del titolare sia del responsabile del trattamento pare, a chi scrive, condivisibile la riflessione di chi in dottrina ha sostenuto che la norma in oggetto non imponga un “doppio registro” a contesti coincidenti, in particolare, “l’insorgenza dell’obbligo del registro del responsabile non dovrebbe logicamente riguardare l’ipotesi in cui quest’ultimo sia ed operi quale articolazione interna di un’organizzazione … altrimenti, si verificherebbe … una duplicazione dell’adempimento… bensì a tale attività il responsabile è tenuto qualora operi come prestatore in outsourcing di un servizio professionale, che si occupa dei trattamenti per conto di un titolare”.8

35Alla luce di quanto sopra è possibile affermare che l’obbligo di redazione del registro da parte del responsabile è previsto solo qualora quest’ultimo sia esterno all’organizzazione del titolare.

Il contenuto dei registri

36Per un’esauriente disamina del registro del trattamento abbiamo confrontato il contenuto del Registro del Titolare con quello del responsabile del trattamento mediante tabella:

REGISTRO DEL TITOLARE

REGISTRO DEL RESPONSABILE

a) il nome e i dati di contatto del Titolare del trattamento e, ove applicabile, del contitolare del trattamento, del rappresentante del Titolare del trattamento e del Responsabile della protezione dei dati;

a) il nome e i dati di contatto del responsabile o dei responsabili del trattamento, di ogni titolare del trattamento per conto del quale agisce il responsabile del trattamento, del rappresentante del titolare del trattamento o del responsabile del trattamento e, ove applicabile, del responsabile della protezione dei dati;

b) le finalità del trattamento;

No

b) le categorie dei trattamenti effettuati per conto di ogni titolare del trattamento (ossia le attività di trattamento)

c) una descrizione delle categorie di interessati e delle categorie di dati personali;

NO

d) le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, compresi i destinatari di paesi terzi od organizzazioni internazionali

NO

e) ove applicabile, i trasferimenti di dati personali verso un Paese terzo o un’organizzazione internazionale, compresa l’identificazione del Paese terzo o dell’organizzazione internazionale e la documentazione delle garanzie adeguate

c) ove applicabile, i trasferimenti di dati personali verso un paese terzo o un’organizzazione internazionale, compresa l’identificazione del paese terzo o dell’organizzazione internazionale e, per i trasferimenti di cui al secondo comma dell’articolo 49, la documentazione delle garanzie adeguate;

f) ove possibile, i termini ultimi previsti per la cancellazione delle diverse categorie di dati

NO

g) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative

d) ove possibile, una descrizione generale delle misure di sicurezza tecniche e organizzative

37In merito al contenuto dei diversi registri occorre osservare che sebbene al responsabile sia prescritto di indicare solo le categorie di trattamenti effettuati per ciascun titolare di cui alla lett. b) del par.2 tale elemento impone, in realtà, anche la descrizione dei trattamenti e pertanto l’indicazione delle finalità, delle categorie di interessati, dei dati e dei destinatari, ossia i punti b), c), e d) del registro del titolare.

38Ed invero, un’esauriente descrizione di un trattamento non potrà mai prescindere da tali elementi.

39Va osservato, tuttavia, che per il responsabile sarà agevole recuperare tali indicazioni in quanto già contenute nel suo atto di nomina ai sensi dell’art. 28 par. 3 del Regolamento.

40L’unica indicazione che effettivamente è contenuta solo nel registro del titolare è l’elemento riferito ai termini previsti per la cancellazione di cui alla lettera f).

41La ratio di tale previsione deriva dal fatto che la cancellazione è un’operazione che spetta a colui che è tenuto a decidere sulle finalità del trattamento.

42A conferma di quanto sopra l’art. 28 par.3 lett. g) prevede che “su scelta del titolare, (il responsabile) cancelli o gli restituisca i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento...”.

  • 9 Il sopraccitato art. 32 individua tra le misure di sicurezza: la pseudonimizzazione dei dati perso (...)

43Infine, un’attenta riflessione merita l’indicazione, contenuta in entrambi i registri, delle misure di sicurezza, tecniche ed organizzative di cui all’art 32 par. 19.

44Per una corretta analisi di tali misure è necessario, come prescritto dall’art 32 par 1, prendere in considerazione:

45Occorre poi rilevare come vi sia sostanziale coincidenza fra i contenuti della notificazione dei trattamenti di cui all’art. 38 del Codice Privacy e quelli che devono costituire il registro dei trattamenti, perlomeno, del titolare, previsti dal Regolamento 679/16.

46Ed invero, anche la notifica dei trattamenti doveva contenere l’indicazione di: coordinate identificative del titolare, finalità, descrizione delle categorie di persone interessate e dei dati relativi alle medesime, destinatari, trasferimenti verso Paesi terzi ed una descrizione generale delle misure di sicurezza adottate.

47Tale identità di contenuto trova giustificazione nel fatto che i contenuti della notifica dei trattamenti venivano riportati nel registro dei trattamenti tenuto dall’Autorità mediante i quali tali informazioni divenivano pubbliche.

48Orbene, è patrimonio comune come la nomina del DPO, il registro dei trattamenti, la valutazione d’impatto del rischio e la notificazione dei data breach, abbiano sostituito la logica della notificazione del trattamento ex art 38 Dl.vo 196/2003. Ciò al fine di responsabilizzare il titolare del trattamento ad adeguare i trattamenti al Regolamento nonché, quindi, per dare concreta applicazione al principio di accountability.

49Infine, risulta quanto mai importante evidenziare come i contenuti indicati nell’art 30 par. 1 e 2 considerarsi quali elementi essenziali e imprescindibili per la redazione di un registro, seppur nulla vieta che titolare e responsabile prevedano ulteriori voci per porre in essere un’efficace mappatura dei trattamenti.

I soggetti esentati dall’obbligo

50Le imprese e le organizzazioni con meno di 250 dipendenti sono escluse dall’obbligo di redazione di un registro del trattamento a meno che:

51il titolare non effettui trattamenti che possano presentare un rischio per i diritti e le libertà degli interessati;

52il trattamento non sia occasionale o includa dati di cui all’art. 9.1 o all’articolo 10. (dati particolari e dati personali giudiziari).

53Giova rappresentare che sebbene la tenuta dei registri non sia obbligatoria per tutte le imprese e le organizzazioni, esso è uno degli strumenti in grado di dimostrare la conformità dei trattamenti al RGDP e dare concretezza al cd principio di accountability.

Conclusioni

54Come abbiamo illustrato, il registro dei trattamenti pone una serie di criticità a cui auspichiamo che il Garante italiano ed il WP 29 forniscano adeguate risposte e soluzioni.

55Come ben rappresentato dal Garante privacy nella recente guida al regolamento europeo: “il registro dei trattamenti non costituisce un adempimento formale bensì parte integrante di un sistema di corretta gestione dei dati personali”.

56Con il nuovo Regolamento n. 16/679 sia le imprese sia gli Enti avranno la possibilità di avere regole uniformi per sviluppare nuovi mercati e servizi digitali: avranno ad esempio semplificazioni mediante l’abrogazione dell’obbligo di notificazione al Garante ex art. 38 del codice della privacy, ma anche una maggiore responsabilità ed un inasprimento del sistema sanzionatorio con la previsione di sanzioni elevate, effettive, proporzionate e dissuasive.

57Il registro dei trattamenti costituisce una pietra angolare per guidare le nostre imprese e pubbliche amministrazioni in questa complessa e affascinante sfida che richiederà un cambiamento anche culturale e di un nuovo approccio proattivo che supera il semplice formale precedente rispetto delle regole privacy, e l’elenco delle misure minime di sicurezza contenuto nell’allegato al Codice privacy.

  • 10 Buttarelli, intervista a cura di Antonello Salerno: “Tanti compiti a casa per gli Stati e l’Ue”, c (...)

Ai titolari del trattamento nel settore pubblico e privato sarà richiesto non semplicemente di rispettare le norme, e quindi di fare una check-list degli adempimenti minimi, ma di tradurre in pratica questi princìpi con diversi “compiti a casa” in chiave di creatività e proattività. Dovranno dimostrare di aver distribuito responsabilità al proprio interno, di avere una risposta per i vari problemi, di aver valutato i rischi e le possibili conseguenze, e di quindi avere una strategia articolata e trasparente nei confronti dei soggetti cui si riferiscono le informazioni. Non sarà più una materia delegabile a un funzionario di turno, a un esperto di tecnologia o a un ufficio legale; sarà proprio l’approccio corporate che avrà importanza, anche perché si dovranno individuare anche linee di bilancio importanti.10

Bibliographie

Alovisio, M. (2016) Il nuovo regolamento europeo in materia di protezione dei dati personali Regole comuni per imprese, pa e professionisti per lo sviluppo del mercato unico digitale. Diritto e Giustizia.
- (2016) Nuovo regolamento privacy UE, ecco tutto ciò che cittadini e PA devono sapere. Agenda Digitale.

Biasotti, A. (2016) Il nuovo regolamento europeo sulla protezione dei dati Privacy. Roma: EPC Editore.

Bolognini, L., Pelino, E., & Bistolfi, C. (2016) Regolamento privacy europeo commentario alla nuova disciplina sulla protezione dei dati personali. Milano: Giuffrè editore.

Di Resta, F. (2016) Il nuovo regolamento generale sulla protezione dei dati personali: un continente una legge, ma occorre essere preparati. Diritto 24. Durant, M., Pagallo, U. (2012) Manuale di informatica giuridica e diritto delle nuove tecnologie. Torino: Utet.

Del Ninno, A. (2016) Il Regolamento UE Generale sulla protezione dei dati personali n.679/2016: analisi pratica del quadro generale di insieme e nuovi adempimenti privacy [Online] Consultabile su www.DirittoeGiustizia.it

Foà, S. (2005) Il trattamento dei dati personali per finalità di rilevante interesse pubblico, in G. Santaniello (diretto da), Trattato di diritto amministrativo, Vol. XXXVI, La protezione dei dati personali, pp. 343 -427. Padova: Cedam.

Garante privacy (2017) Guida all’applicazione del regolamento europeo in materia di protezione dei dati personali.

Gruppo Garanti art. 29, Parere 3/10 WP29.
- art. 29 (2016) Linee Guida \sul DPO.

Finocchiaro, G. (2017) Il nuovo Regolamento europeo sulla privacy e sulla protezione dei dati personali. Bologna: Zanichelli.
- (2017) Introduzione al Regolamento Europeo sulla protezione dei dati, «LE NUOVE LEGGI CIVILI COMMENTATE», pp. 1 – 18. Padova: Cedam.

Menicanti, L. P. (2017) Come costruire il registro dei trattamenti privacy in azienda secondo il GDPR [Online] Consultabile su http://www.orlandi.mobi/2017/06/21/guida-come-costruire-il-registro-dei-trattamenti-privacy-in-azienda-secondo-il-gdpr/.

Marini, P. (2017) Registro dei trattamenti privacy: ecco la check list [Online] Consultabile su https://www.altalex.com/articoli.
- (2016) Privacy: come, quando e perché si compila il registro del trattamento del titolare e del responsabile [Online] Consultabile su www.quotidianogiuridico.it.

Martinelli, S. (2016) Il nuovo Regolamento generale sulla protezione dei dati: alcune considerazioni informatico-giuridiche [Online] Consultabile su www.dimt.it.

Meuzzi, C. (2017) Riflessioni sui contenuti dei registri del trattamento art. 30 GDPR [Online] Consultabile su www.europrivacy.it.

Pagallo, U. (2014) Il diritto nell’età dell’Informazione. Torino: Giappichelli.
- (2008) La tutela della privacy negli Stati Uniti e in Europa. Milano: Giuffrè.

Pizzetti, F. (2016) Privacy ed il diritto europeo alla protezione dei dati personali. Torino: Giappichelli.

Sica, S., D’Antonio, V., & Riccio, G. M. (2016) La Nuova disciplina europea della Privacy. Padova: Cedam.

Soffientini, M. (2016) Protezione e trattamento dei dati. Milano: Ipsoa.

Tonucci & Partners (2017) Il nuovo obbligo di redazione e tenuta del Registro generale delle attività di trattamento [Online] Consultabile su http://tonucci.com.

Notes

1 Rodotà, S. (2014) Il mondo nella rete. Quali diritti, quali vincoli. Roma-Bari: Laterza.

2 Id.

3 Parere gruppo art. 29 dei Garanti privacy europei3/10consultabile al seguente link:

4 Bolognini, L., Pelino, E., Bistolfi, C. (2016) Regolamento Privacy Europeo Commentario alla Nuova disciplina sulla protezione dei dati personali, p. 413. Milano: Giuffrè editore.

5 Garante per la protezione dei dati personali, Guida all’applicazione del Regolamento europeo in materia di protezione dei dati personali [Online] Consultabile su http://www.garanteprivacy.it/guida-all-applicazione-del-regolamento-europeo-in-materia-di-protezione-dei-dati-personali.

6 Per la protezione Garante del dati personali, Guida all’applicazione del regolamento europeo in materia di protezione dei dati personali (2017) [Online] Consultabile su http://www.garanteprivacy.it/guida-all-applicazione-del-regolamento-europeo-in-materia-di-protezione-dei-dati-personali.

7 Linee Guida sui responsabili della protezione dei dati pag. 20.

8 Marini, P. (2016) Privacy: come, quando e perché si compila il registro del trattamento del titolare e del responsabile [Online] Consultabile su www.quotidianogiuridico.it [ultimo accesso 18/11/2016].

9 Il sopraccitato art. 32 individua tra le misure di sicurezza: la pseudonimizzazione dei dati personali, la cifratura dei dati, la capacità di assicurare su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico; una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. Detta lista, di cui al paragrafo 1 dell’art. 32 del Regolamento europeo, sebbene sia solo esemplificativa risulta fortemente indicativa delle misure che le Autorità di Controllo europee ritengano essenziali.

10 Buttarelli, intervista a cura di Antonello Salerno: “Tanti compiti a casa per gli Stati e l’Ue”, corriere delle comunicazioni, 2017.

Table des illustrations

URL http://books.openedition.org/ledizioni/docannexe/image/3949/img-1.jpg
Fichier image/jpeg, 72k

Auteurs

Mauro Alovisio è Presidente del Centro Studi di informatica Giuridica di Ivrea (Torino), fellow del Centro di ricerca Nexa su Internet e società del Politecnico di Torino

Costanza Mottino è membro del Centro studi di informatica giuridica

© Ledizioni, 2018

Conditions d’utilisation : http://www.openedition.org/6540

Acheter

Volume papier

amazon.fr
Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search