Perimetro della materia
- Reg. (UE) 2016/679 (GDPR): fonte primaria, applicabile dal 25/05/2018.
- D.lgs. 196/2003: Codice privacy, novellato dal d.lgs. 101/2018, integra il GDPR.
- Garante: autorità di controllo indipendente; vigilanza, reclami, sanzioni (artt. 51 ss. GDPR, 153 ss. Codice).
Nell’ente locale la materia tocca anagrafe, tributi, servizi sociali, polizia locale, edilizia e videosorveglianza, e va conciliata con il buon andamento e l’imparzialità dell’art. 97 Cost.
Principi e basi giuridiche
Principi del trattamento, art. 5 Reg. (UE) 2016/679:
- Liceità, correttezza, trasparenza (Art. 5, par. 1, lett. a).
- Limitazione finalità (Art. 5, par. 1, lett. b): finalità determinate, esplicite, legittime.
- Minimizzazione dati (Art. 5, par. 1, lett. c): dati adeguati, pertinenti, limitati al necessario.
- Esattezza (Art. 5, par. 1, lett. d): dati esatti e aggiornati.
- Limitazione conservazione (Art. 5, par. 1, lett. e): conservazione non oltre le finalità.
- Integrità, riservatezza (Art. 5, par. 1, lett. f): sicurezza adeguata.
- Responsabilizzazione (Art. 5, par. 2): il titolare deve poter dimostrare la conformità.
Basi giuridiche art. 6 GDPR, tipiche della PA:
- Obbligo legale (Art. 6, par. 1, lett. c).
- Compito interesse pubblico/pubblici poteri (Art. 6, par. 1, lett. e).
- Consenso (lett. a): residuale nella PA, non è la base ordinaria.
Categorie particolari dati (Art. 9 GDPR): origine razziale/etnica, politiche, religiose, sindacale, genetici, biometrici, salute, sessuale. Vietate salvo le deroghe dell'art. 9, par. 2.
Dati condanne penali/reati (Art. 10 GDPR): solo sotto controllo dell'autorità pubblica o se autorizzato dal diritto UE o nazionale.
Basi normative nazionali:
- Art. 2-ter d.lgs. 196/2003: trattamento per compito di interesse pubblico.
- Art. 2-sexies d.lgs. 196/2003: categorie particolari per rilevante interesse pubblico.
Soggetti e responsabilità
Ruoli e responsabilità nel trattamento dati.
| Soggetto | Riferimento | Cosa ricordare |
|---|---|---|
| Titolare | Art. 4 n.7, Art. 24 GDPR | Determina finalità e mezzi. |
| Contitolari | Art. 26 GDPR | Determinano congiuntamente. |
| Responsabile | Art. 28 GDPR | Tratta per conto titolare. |
| Persone autorizzate | Art. 29 GDPR, Art. 2-quaterdecies Codice | Agiscono sotto autorità diretta. |
| RPD/DPO | Artt. 37-39 GDPR | Obbligatorio PA. Consulente. |
| Rappresentante UE | Art. 27 GDPR | Designato da titolari/responsabili non UE. |
| Garante | Art. 51, Art. 58 GDPR | Autorità indipendente. |
Obblighi operativi del titolare pubblico
- Registro attività: Art. 30 GDPR. Obbligatorio PA. Contiene finalità, categorie di interessati e dati, destinatari, trasferimenti, tempi, misure.
- Misure tecniche/organizzative: Artt. 24, 32 GDPR. Pseudonimizzazione, cifratura. Riservatezza, integrità, disponibilità, resilienza. Ripristino dati. Test efficacia.
- Privacy by design/default: Art. 25 GDPR. Protezione da progettazione. Impostazioni predefinite max protezione.
- DPIA: Art. 35 GDPR. Obbligatoria per trattamenti a rischio elevato. Valutazione sistematica. Parere RPD obbligatorio.
- Consultazione Garante: Art. 36 GDPR. Obbligatoria se DPIA indica rischio elevato residuo.
- Data breach: Notifica autorità (Art. 33 GDPR) entro 72h. Comunicazione interessato (Art. 34 GDPR) solo se rischio elevato. Registro interno obbligatorio.
- Informativa: Artt. 13, 14 GDPR. Contenuti: identità titolare, finalità, base giuridica, destinatari, conservazione, diritti, reclamo Garante.
Diritti dell'interessato
Il Regolamento (UE) 2016/679 (GDPR) riconosce diritti sui dati personali.
| Diritto | Art. GDPR | Nota |
|---|---|---|
| Accesso | Art. 15 | Conferma, finalità, categorie. |
| Rettifica | Art. 16 | Correzione/integrazione. |
| Cancellazione/Oblio | Art. 17 | Cancellazione dati. Limitato per PA. |
| Limitazione | Art. 18 | Blocco trattamento. |
| Notifica destinatari | Art. 19 | Titolare comunica rettifiche. |
| Portabilità | Art. 20 | Dati in formato strutturato. Non per interesse pubblico. |
| Opposizione | Art. 21 | Opporsi al trattamento. |
| Decisione automatizzata | Art. 22 | Non sottoposto a decisioni automatizzate. |
Richieste senza formalità. Titolare risponde entro un mese (Art. 12 GDPR), prorogabile. Riscontro gratuito. Reclamo al Garante (Art. 77 GDPR) o ricorso autorità giudiziaria (Art. 79 GDPR; Art. 152 D.Lgs. 196/2003).
Collegamenti con le altre materie
- Trasparenza/Anticorruzione: D.lgs. 33/2013 accesso civico semplice e generalizzato, limite a tutela dei dati personali (art. 5-bis co. 2 lett. a); accesso documentale (L. 241/1990, artt. 22 ss.); minimizzazione nella pubblicazione; L. 190/2012.
- Enti locali: TUEL d.lgs. 267/2000 albo pretorio online (art. 32 L. 69/2009), accesso dei consiglieri (art. 43 co. 2) con obbligo di segreto.
- Contratti pubblici: D.lgs. 36/2023 digitalizzazione del ciclo di vita, accesso agli atti di gara (artt. 35 e 36).
- Pubblico impiego: D.lgs. 165/2001 dati dei dipendenti e procedimento disciplinare.
- Diritto urbanistico/Edilizia: D.P.R. 380/2001 dati dei richiedenti nelle pratiche edilizie.
- Ambiente: d.lgs. 152/2006; regime speciale di accesso alle informazioni ambientali (d.lgs. 195/2005).
- Videosorveglianza/Informatica/CAD: D.lgs. 82/2005 CAD, SPID e domicilio digitale.
Errori tipici e trappole d'esame
- Il consenso come base della PA: le basi sono l'obbligo legale (art. 6 lett. c) e il compito di interesse pubblico (art. 6 lett. e).
- Responsabile e RPD/DPO: il responsabile (art. 28) tratta per conto del titolare; il RPD (art. 37) è figura consultiva e di sorveglianza.
- Registro sotto i 250 dipendenti: l'esonero dell'art. 30, par. 5 non vale per le autorità pubbliche.
- Le 72 ore: notifica al Garante entro 72 ore (art. 33); comunicazione all'interessato senza ingiustificato ritardo (art. 34).
- Data breach sempre comunicato: l'art. 34 la impone solo in caso di rischio elevato per i diritti dell'interessato.
- Pseudonimizzazione e anonimizzazione: la pseudonimizzazione (art. 4 n. 5) lascia i dati personali; i dati anonimi sono fuori dal GDPR.
- DPIA come audit IT: la DPIA (art. 35) valuta i rischi per i diritti e le libertà degli interessati, non la sicurezza IT.
- Il DPO risponde delle violazioni: la responsabilità resta del titolare e del responsabile (artt. 24 e 28).
- Accesso documentale e civico: l'accesso documentale (artt. 22 e ss. L. 241/1990) richiede interesse diretto, concreto e attuale; l'accesso civico generalizzato (art. 5 co. 2 d.lgs. 33/2013) no.
- Pubblicare legittima tutto: valgono comunque i limiti dell'art. 5-bis co. 2 lett. a e il principio di minimizzazione.
- Dati sensibili: il GDPR parla di categorie particolari di dati personali (art. 9).
- Cancellazione assoluta: l'art. 17 cede davanti agli obblighi legali di conservazione della PA.
Checklist di ripasso
- Principi art. 5 GDPR.
- Basi giur. tratt. (art. 6 GDPR).
- Cond. consenso (art. 7 GDPR).
- Tratt. dati minori (art. 8 GDPR).
- Cat. part. dati (art. 9 GDPR).
- Diritti interessato (artt. 15-22 GDPR).
- Diritto oblio (art. 17 GDPR).
- Obblighi titolare (artt. 24-43 GDPR).
- DPO e compiti (artt. 37-39 GDPR).
- Sanzioni pec. (art. 83 GDPR).
- Ruolo Garante (artt. 51-59 GDPR).
- Novità D.Lgs. 101/2018.