Perimetro della materia
Questa materia copre il Regolamento UE 2016/679 (GDPR): principi generali, definizioni, ruoli e responsabilita, base giuridica, diritti dell'interessato, misure di sicurezza, data breach, DPIA e registro dei trattamenti, con un richiamo essenziale di sicurezza informatica (malware, phishing, autenticazione forte, backup, firewall, antivirus) in chiave di protezione dati. Non copre l'architettura di rete o dei sistemi operativi in se (vedi Reti e Sistemi operativi), ne il funzionamento tecnico dei database (vedi Database relazionali), ne gli aspetti generali di trasparenza amministrativa che non riguardano i dati personali (vedi Trasparenza e anticorruzione).
Nuclei tematici ricorrenti
I principi dell'articolo 5
Liceita, correttezza e trasparenza; limitazione della finalita; minimizzazione dei dati; esattezza; limitazione della conservazione; integrita e riservatezza. A questi si affianca l'accountability: il titolare deve poter dimostrare il rispetto degli altri principi, non solo rispettarli.
Dato personale e categorie particolari
Il dato personale e qualsiasi informazione riferita a persona fisica identificata o identificabile. Le categorie particolari (articolo 9) comprendono origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici, biometrici, sulla salute o sulla vita sessuale: il trattamento e vietato salvo eccezioni, con garanzie rafforzate.
Titolare, responsabile e DPO
Il Titolare decide finalita e mezzi del trattamento e ne risponde. Il Responsabile del trattamento (articolo 28) tratta i dati per conto del titolare in base a un atto vincolante che ne disciplina obblighi e garanzie. Il DPO (articoli 37-39) e una figura di sorveglianza indipendente, obbligatoria per gli enti pubblici, con compiti di consulenza e controllo, non di decisione sul trattamento.
La base giuridica del trattamento (articolo 6)
Consenso, esecuzione di un contratto, obbligo legale, salvaguardia di interessi vitali, esecuzione di un compito di interesse pubblico o connesso a pubblici poteri, interesse legittimo. Nella PA la base ricorrente e l'esecuzione di un compito di interesse pubblico previsto dalla legge, non il consenso.
I diritti dell'interessato (articoli 15-22)
Accesso, rettifica, cancellazione (oblio), limitazione, portabilita, opposizione e diritto a non essere sottoposto a decisioni basate unicamente su trattamento automatizzato con effetti significativi. Non sono diritti assoluti: incontrano eccezioni, ad esempio per obblighi di legge.
Misure di sicurezza tecniche e organizzative (articolo 32)
Misure adeguate al rischio, tenendo conto di stato dell'arte e costi: pseudonimizzazione e cifratura, capacita di assicurare riservatezza, integrita, disponibilita e resilienza dei sistemi, capacita di ripristinare tempestivamente i dati dopo un incidente, test periodici dell'efficacia delle misure.
Violazione dei dati e notifica (articoli 33-34)
In caso di data breach il titolare notifica il Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza, salvo rischio basso per i diritti degli interessati. Se il rischio e elevato, la violazione va comunicata anche direttamente agli interessati.
DPIA e registro dei trattamenti (articoli 30 e 35)
La DPIA e obbligatoria per trattamenti a rischio elevato (es. monitoraggio sistematico su larga scala, categorie particolari su larga scala). Il registro dei trattamenti (articolo 30) documenta finalita, categorie di dati, destinatari, tempi di conservazione e misure di sicurezza adottate.
Sicurezza informatica di base collegata alla protezione dei dati
Il phishing e il vettore principale di furto di credenziali; l'autenticazione a piu fattori riduce il rischio di accessi non autorizzati; il backup regolare e testato garantisce la disponibilita dei dati richiesta dall'articolo 32; firewall e antivirus aggiornati sono la prima difesa contro il malware, spesso origine tecnica di un data breach.
Riferimenti normativi e tecnici
I riferimenti principali da conoscere:
- Regolamento UE 2016/679 (GDPR): fonte primaria europea, direttamente applicabile senza recepimento.
- Decreto legislativo 196/2003 (Codice Privacy): normativa italiana previgente, vigente per le parti compatibili col GDPR.
- Decreto legislativo 101/2018: ha adeguato il Codice Privacy al GDPR, abrogando le disposizioni incompatibili.
- Garante per la protezione dei dati personali: Autorita di controllo italiana, competente per reclami, ispezioni, sanzioni e notifiche di breach.
Collegamenti con le altre materie
Questa materia si intreccia con diverse aree del programma:
- Reti locali e geografiche: firewall e protocolli sicuri concorrono alla sicurezza richiesta dall'articolo 32.
- Database relazionali: pseudonimizzazione e controllo accessi si applicano alle basi dati con dati personali.
- Backup e recovery: la disponibilita e resilienza dei dati si realizza con backup e disaster recovery.
- Codice dell'amministrazione digitale: disciplina l'uso digitale nella PA insieme al GDPR.
- Trasparenza e anticorruzione: bilanciamento tra pubblicazione degli atti e riservatezza dei dati.
- Ordinamento del lavoro pubblico: il trattamento dei dati dei dipendenti segue regole di minimizzazione e base giuridica specifiche.
- Intelligenza artificiale: il divieto di decisioni automatizzate e l'obbligo di DPIA riguardano i sistemi algoritmici che trattano dati personali.
Errori tipici e trappole d'esame
- Confondere il Responsabile del trattamento (articolo 28) con il DPO (controllo indipendente, non decide sul trattamento).
- Pensare che il consenso sia sempre necessario: nella PA la base tipica e il compito di interesse pubblico.
- Confondere il diritto di accesso GDPR con l'accesso agli atti amministrativi.
- Ritenere assoluto il diritto all'oblio: incontra eccezioni, ad esempio obblighi legali di conservazione.
- Sbagliare il termine di notifica del breach: 72 ore dalla conoscenza, non dall'accadimento.
- Credere che ogni breach vada comunicato agli interessati: solo se il rischio per le persone e elevato.
- Confondere pseudonimizzazione (dati ancora riconducibili con informazioni aggiuntive) e anonimizzazione (non piu riconducibili).
- Ritenere la DPIA sempre obbligatoria: lo e solo per trattamenti a rischio elevato.
- Confondere il Garante italiano con un'ipotetica autorita GDPR unica europea: il Garante e l'autorita nazionale.
- Pensare che il d.lgs 196/2003 sia stato abrogato integralmente: e stato modificato dal d.lgs 101/2018.
- Sottovalutare l'accountability: non basta rispettare i principi, occorre poterlo dimostrare.
- Confondere dato personale comune e categoria particolare: solo la seconda richiede garanzie rafforzate ex articolo 9.
- Ritenere l'autenticazione a piu fattori facoltativa: e una misura tecnica concreta richiesta dall'articolo 32.
Checklist di ripasso
- Sai elencare i principi dell'articolo 5, compresa l'accountability?
- Sai distinguere dato personale comune e categoria particolare ex articolo 9?
- Sai spiegare la differenza tra Titolare, Responsabile del trattamento e DPO?
- Sai indicare la base giuridica tipica dei trattamenti della PA?
- Sai elencare i diritti dell'interessato previsti dagli articoli 15-22?
- Sai descrivere le misure di sicurezza richieste dall'articolo 32?
- Sai indicare termine e condizioni della notifica di data breach al Garante?
- Sai quando scatta l'obbligo di DPIA?
- Sai a cosa serve il registro dei trattamenti dell'articolo 30?
- Sai spiegare il rapporto tra GDPR, d.lgs 196/2003 e d.lgs 101/2018?
- Sai riconoscere il phishing e le contromisure di base?
- Sai perche il backup e una misura di sicurezza ai fini della disponibilita dei dati?
Come usare la piattaforma
Utilizza la banca dati quiz con spiegazioni, la mappa concettuale, le flashcard per memorizzare, il riassunto generale per consolidare. Simula la prova d'esame e consulta i testi normativi.