Trattamento dati — scheda di studio

Perimetro della materia

La materia riguarda la protezione dei dati personali, disciplinata da GDPR e Codice privacy. Si interseca con trasparenza (d.lgs. 33/2013) e accesso agli atti (L. 241/1990), ma con logiche diverse. È trasversale per un Comune, toccando ogni settore amministrativo.

Definizioni e principi (artt. 4 e 5 GDPR)

• Dato personale: qualsiasi informazione su persona fisica identificata o identificabile (art. 4 n. 1).
• Categorie particolari di dati: ex dati sensibili, rivelano origini, salute, vita sessuale, ecc. (art. 9).
• Dati giudiziari: relativi a condanne penali e reati (art. 10).
• Trattamento: qualsiasi operazione su dati personali, automatizzata o meno (art. 4 n. 2).
• Pseudonimizzazione: trattamento per cui dati non sono attribuibili senza info aggiuntive (art. 4 n. 5).
• Anonimizzazione: trattamento per cui dati non sono più riconducibili a interessato.

I sette principi fondamentali sono: liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione dei dati; esattezza; limitazione della conservazione; integrità e riservatezza; responsabilizzazione (art. 5 GDPR).

Basi giuridiche nella PA (art. 6 GDPR)

Nel settore pubblico, le basi giuridiche prevalenti sono l'obbligo legale (art. 6.1.c) e l'esecuzione di un compito di interesse pubblico (art. 6.1.e), con fondamento nel diritto interno (art. 2-ter Codice privacy). Il consenso è raramente la base appropriata per un Comune.

I soggetti: titolare, responsabile, DPO, autorizzati

• Titolare del trattamento: il Comune, che decide finalità e mezzi (art. 24 GDPR).
• Responsabile del trattamento: soggetto esterno che tratta dati per conto del titolare, con contratto (art. 28 GDPR).
• Contitolarità: due o più titolari che determinano congiuntamente finalità e mezzi (art. 26 GDPR).
• Autorizzati al trattamento: persone fisiche sotto autorità del titolare o responsabile (art. 29 GDPR, art. 2-quaterdecies Codice privacy).
• DPO (Data Protection Officer): obbligatorio per PA, funzione consultiva e di sorveglianza, indipendente, non responsabile (artt. 37-39 GDPR).

Diritti dell'interessato e termini

• Diritto di accesso (art. 15 GDPR).
• Diritto di rettifica (art. 16 GDPR).
• Diritto alla cancellazione (oblio) (art. 17 GDPR).
• Diritto di limitazione di trattamento (art. 18 GDPR).
• Diritto alla portabilità dei dati (art. 20 GDPR).
• Diritto di opposizione (art. 21 GDPR).
• Diritto relativo a decisioni automatizzate e profilazione (art. 22 GDPR).

Il titolare deve fornire riscontro all'interessato entro un mese dalla richiesta, prorogabile di due mesi in casi complessi (art. 12 GDPR). L'interessato può proporre reclamo al Garante (art. 77 GDPR), ricorso giurisdizionale (art. 79 GDPR) e chiedere risarcimento danni (art. 82 GDPR).

Sicurezza, registro, DPIA e data breach

• Registro dei trattamenti obbligatorio per la PA (art. 30 GDPR).
• Misure tecniche e organizzative adeguate al rischio (art. 32 GDPR).
• Privacy by design e by default: protezione dati fin dalla progettazione (art. 25 GDPR).
• DPIA obbligatoria per trattamenti ad alto rischio (es. videosorveglianza, larga scala) (art. 35 GDPR).
• Data breach notificato al Garante entro 72 ore (art. 33 GDPR); all'interessato se rischio elevato (art. 34 GDPR).

Privacy, trasparenza e accesso

Bilanciamento tra pubblicazione obbligatoria (d.lgs. 33/2013) e riservatezza. Principio di minimizzazione, oscuramento dati eccedenti negli atti. Divieto di diffondere dati su salute e vita sessuale. Pubblicazione di norma quinquennale.

Collegamenti con le altre materie

• Enti locali: DPO obbligatorio, gestione dati dei cittadini (art. 37 GDPR).
• Diritto amministrativo: Trasparenza, accesso, procedimento amministrativo (L. 241/1990).
• Pubblico impiego: Trattamento dati dei dipendenti, fascicolo personale (art. 88 GDPR).
• Trasparenza e anticorruzione: Pubblicazione dati, minimizzazione, accesso civico (d.lgs. 33/2013).
• Informatica: Misure di sicurezza tecniche, pseudonimizzazione, cifratura (art. 32 GDPR).
• Codice amministrazione digitale: Digitalizzazione, interoperabilità, sicurezza informatica (d.lgs. 82/2005).

Errori tipici e trappole d'esame

• Errore: Confondere titolare e responsabile. Corretto: Titolare decide finalità, responsabile tratta per conto (art. 4 GDPR).
• Errore: Ritenere il consenso sempre necessario nella PA. Corretto: Spesso base giuridica è interesse pubblico o obbligo legale (art. 6 GDPR).
• Errore: Confondere 72 ore (data breach) con il mese di riscontro (diritti interessato). Corretto: Data breach 72 ore (art. 33), riscontro un mese (art. 12).
• Errore: Confondere accesso civico generalizzato con accesso documentale. Corretto: Generalizzato mira a dati, documentale a documenti (L. 241/1990, d.lgs. 33/2013).
• Errore: Ritenere il DPO responsabile delle violazioni. Corretto: DPO consulente, titolare è responsabile (artt. 39, 24 GDPR).
• Errore: Confondere anonimizzazione con pseudonimizzazione. Corretto: Anonimizzazione irreversibile, pseudonimizzazione reversibile (art. 4 GDPR).
• Errore: Ritenere la DPIA sempre obbligatoria. Corretto: Obbligatoria solo per trattamenti ad alto rischio (art. 35 GDPR).
• Errore: Attribuire i dati giudiziari all'art. 9 GDPR. Corretto: Dati giudiziari sono all'art. 10 GDPR, non all'art. 9.
• Errore: Ritenere i dati sulla salute pubblicabili. Corretto: Dati sulla salute sono categorie particolari, vietata la diffusione (art. 9 GDPR).
• Errore: Confondere reclamo al Garante con il ricorso al giudice. Corretto: Reclamo al Garante (art. 77), ricorso al giudice (art. 79 GDPR).

Checklist di ripasso

1. Quali sono i principi del trattamento dei dati personali?
2. Chi è il titolare e chi il responsabile del trattamento?
3. Quali sono le basi giuridiche per il trattamento nella PA?
4. Quando è obbligatorio nominare un DPO?
5. Quali sono i diritti dell'interessato?
6. Entro quanto tempo va risposto all'interessato?
7. Cos'è un registro delle attività di trattamento?
8. Quando è necessaria una Valutazione d'Impatto (DPIA)?
9. Cosa fare in caso di data breach?
10. Qual è la differenza tra accesso civico e documentale?
11. Quali sono le sanzioni previste dal GDPR?
12. Come si bilancia trasparenza e protezione dei dati?