Trattamento dati — scheda di studio

Perimetro della materia

La materia copre il Regolamento UE 2016/679 (GDPR) e il Codice privacy, d.lgs. 196/2003 come novellato dal d.lgs. 101/2018. Nella banca dati pesa circa il 3,6 per cento, 349 quesiti su circa 9.700.

I quesiti battono su definizioni (art. 4), principi (art. 5), diritti dell'interessato, adempimenti del titolare e poteri del Garante: conta la precisione sulle parole della norma. Per il geometra comunale il tema è quotidiano: pratiche edilizie, sportelli SUE e SUAP, visure catastali, accesso agli atti su permesso di costruire e SCIA, videosorveglianza, dati dei confinanti.

Definizioni che ricorrono nei quiz

• Dato personale: informazione su persona fisica identificata o identificabile (art. 4 n. 1).
• Trattamento: ogni operazione sui dati, dalla raccolta alla cancellazione (art. 4 n. 2).
• Profilazione: trattamento automatizzato per valutare aspetti personali (art. 4 n. 4).
• Pseudonimizzazione: dati non attribuibili senza informazioni aggiuntive; restano personali (art. 4 n. 5). L'anonimo esce dal GDPR.
• Dati genetici e biometrici: identificano in modo univoco (art. 4 nn. 13-14).
• Limitazione del trattamento: contrassegno per limitarne l'uso futuro (art. 4 n. 3).

I soggetti: il titolare determina finalità e mezzi (art. 4 n. 7), i contitolari li determinano insieme (art. 26), il responsabile tratta per suo conto su contratto (art. 28), autorizzati e designati operano sotto la sua autorità (art. 29; art. 2-quaterdecies Codice), il DPO dà consulenza, sorveglia ed è contatto col Garante (artt. 37-39).

I principi dell'articolo 5 e la responsabilizzazione

• Liceità, correttezza e trasparenza: base giuridica dell'art. 6 e informativa.
• Limitazione della finalità: i dati di una pratica edilizia non si riusano per fini incompatibili.
• Minimizzazione: si chiedono i soli dati necessari al procedimento.
• Esattezza: i dati inesatti si rettificano o cancellano senza ritardo.
• Limitazione della conservazione: dati identificabili per il tempo necessario.
• Integrità e riservatezza: misure contro accessi non autorizzati e perdita.

L'art. 5 par. 2 aggiunge la responsabilizzazione: il titolare deve rispettare i principi e saperlo dimostrare.

Basi giuridiche e consenso

Il trattamento è lecito solo con una delle basi dell'art. 6 par. 1. Nel Comune è quasi sempre l'obbligo legale (lett. c) o il compito di interesse pubblico (lett. e); il consenso (lett. a) è residuale. L'art. 2-ter del Codice pretende per i soggetti pubblici una base nel diritto dell'Unione o nazionale.

Il consenso (art. 7) è libero, specifico, informato e inequivocabile; la prova grava sul titolare; è revocabile con la stessa facilità con cui è stato prestato, senza pregiudicare i trattamenti già svolti; in una dichiarazione scritta che tocca altre questioni resta distinguibile (par. 2).

L'art. 9 vieta il trattamento delle categorie particolari (origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici e biometrici identificativi, salute, vita o orientamento sessuale), salvo le deroghe del par. 2. L'art. 2-septies del Codice affida al Garante misure di garanzia e vieta la diffusione dei dati genetici, biometrici e sulla salute.

I diritti dell'interessato

Riscontro entro un mese, prorogabile di due; gratuito salvo richieste infondate o eccessive (art. 12). L'opposizione va portata all'attenzione dell'interessato in modo esplicito e separato (art. 21 par. 4).

Adempimenti del titolare pubblico

• Privacy by design e by default (art. 25): misure adeguate dalla progettazione.
• Registro dei trattamenti (art. 30): sempre dovuto alle autorità pubbliche.
• Sicurezza (art. 32): pseudonimizzazione, cifratura, integrità, disponibilità.
• Data breach (art. 33): notifica al Garante ove possibile entro 72 ore dalla conoscenza, salvo rischio improbabile.
• Comunicazione all'interessato (art. 34): solo con rischio elevato (esclusioni al par. 3).
• Valutazione d'impatto (art. 35): prima del trattamento a rischio elevato; consultazione preventiva (art. 36) se il rischio residuo è elevato.
• DPO (artt. 37-39): obbligatorio per le autorità pubbliche, indipendente.
• Certificazione (art. 42): volontaria, non riduce responsabilità.
• Trasferimenti extra UE: adeguatezza (art. 45), garanzie (art. 46), deroghe (art. 49).
• Garante: poteri (art. 58), compiti (art. 154 Codice); sanzioni su due fasce (art. 83).

Collegamenti con le altre materie del concorso

• Accesso civico generalizzato: la privacy è un limite ex art. 5-bis co. 2 lett. a d.lgs. 33/2013.
• Trasparenza e anticorruzione: d.lgs. 33/2013 e L. 190/2012; art. 7-bis, niente dati eccedenti.
• Diritto amministrativo: L. 241/1990; l'art. 24 fa prevalere l'accesso difensivo.
• Contratti pubblici: d.lgs. 36/2023, dati degli operatori economici.
• Pubblico impiego: d.lgs. 165/2001, dati del dipendente; informatica: CAD d.lgs. 82/2005.
• Urbanistica ed edilizia: d.P.R. 380/2001, dati nei titoli abilitativi.
• Enti locali: TUEL d.lgs. 267/2000; accesso dei consiglieri ex art. 43, con segreto d'ufficio.
• Diritto costituzionale: art. 2 e art. 97 Cost.

Errori tipici e trappole d'esame

• Confondere anonimo e pseudonimizzato: il secondo resta dato personale (art. 4 n. 5).
• Credere il consenso base ordinaria nel Comune: prevalgono obbligo legale e interesse pubblico (art. 6 lett. c ed e).
• Ritenere retroattiva la revoca: non pregiudica il trattamento già svolto (art. 7 par. 3).
• Far decorrere le 72 ore dall'incidente: decorrono dalla conoscenza, e nulla è dovuto se il rischio è improbabile (art. 33).
• Equiparare notifica al Garante e comunicazione all'interessato: la seconda solo con rischio elevato (art. 34).
• Dire dati sensibili: il GDPR parla di categorie particolari (art. 9).
• Confondere DPIA e consultazione preventiva: la seconda solo se il rischio residuo resta elevato (artt. 35-36).
• Credere assoluto il diritto all'oblio: cede a obblighi legali e interesse pubblico (art. 17 par. 3).
• Addossare al DPO la conformità: risponde il titolare (artt. 37-39).

Checklist di ripasso

• Distinguo anonimo e pseudonimizzato (art. 4).
• Elenco i sei principi dell'art. 5 e la responsabilizzazione.
• Indico le basi dell'art. 6 e quella tipica del Comune.
• Descrivo requisiti e revoca del consenso (art. 7).
• Riconosco le categorie particolari dell'art. 9 e le deroghe.
• Elenco gli otto diritti degli artt. 15-22 con i limiti.
• Ricordo i termini di riscontro (art. 12).
• Spiego registro (art. 30) e sicurezza (art. 32).
• Distinguo tempi e soglie del data breach (artt. 33-34).
• So quando serve la DPIA (art. 35) e cosa fa il DPO (artt. 37-39).