Dispensa - Trattamento dati - Enti Locali Istruttori Amministrativi

Prima di entrare negli articoli conviene fissare la logica della materia, perche' e' la chiave per non confondersi fra Regolamento e Codice. La protezione delle persone fisiche in relazione al trattamento dei dati di carattere personale e' oggi riconosciuta come un diritto fondamentale: il diritto di controllare l'uso che altri fanno delle informazioni che riguardano il singolo individuo. Non si tratta di un diritto assoluto, perche' va bilanciato con altre esigenze, prima fra tutte la trasparenza dell'azione della pubblica amministrazione (basti pensare all'accesso civico generalizzato del d.lgs. 33/2013): la materia vive esattamente su questo bilanciamento, ed e' li' che si concentrano i quesiti piu' insidiosi.

Sul piano delle fonti, l'Italia si era gia' dotata nel 2003 di un Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196). L'architettura e' cambiata radicalmente con il Regolamento (UE) 2016/679 del 27 aprile 2016, universalmente noto come GDPR (General Data Protection Regulation), le cui disposizioni sono divenute obbligatorie in tutta l'Unione dal 25 maggio 2018. Un regolamento europeo, a differenza di una direttiva, non ha bisogno di essere recepito per produrre effetti: si applica direttamente. Ma l'Italia ha comunque dovuto riscrivere il proprio Codice del 2003 per renderlo coerente col nuovo assetto, ed e' quello che ha fatto il d.lgs. 10 agosto 2018, n. 101. Il risultato e' un sistema a due livelli che va tenuto sempre distinto nelle risposte: il GDPR detta le regole sostanziali comuni a tutta l'Unione, il Codice privacy italiano (196/2003 come modificato dal 101/2018) le completa dove il Regolamento stesso lascia margine agli Stati membri, e disciplina soprattutto l'assetto interno del Garante e alcune fattispecie nazionali.

Quanto all'ambito di applicazione, il Regolamento si applica al trattamento interamente o parzialmente automatizzato di dati personali, nonche' al trattamento non automatizzato di dati contenuti in un archivio o destinati a figurarvi. Restano fuori i trattamenti effettuati da una persona fisica per l'esercizio di attivita' a carattere esclusivamente personale o domestico, quelli della politica estera e sicurezza comune degli Stati membri, e quelli delle autorita' competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati, disciplinati da una normativa distinta. Sul piano territoriale la novita' piu' rilevante e' che il Regolamento si applica anche a soggetti stabiliti fuori dall'Unione quando trattano dati di persone che si trovano nell'UE per offrire loro beni o servizi o per monitorarne il comportamento: la tutela segue quindi la persona fisica, non il confine geografico dell'operatore.

Un ultimo aspetto definitorio da fissare fin da subito riguarda proprio il concetto di dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile, direttamente (nome, codice fiscale) o indirettamente, tramite un riferimento a un identificativo come un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o piu' elementi caratteristici della sua identita' fisica, fisiologica, genetica, psichica, economica, culturale o sociale. E' una nozione volutamente ampia, che comprende anche un indirizzo IP o una targa, se collegabili a una persona identificabile con mezzi ragionevoli. Il concetto complementare e' quello di trattamento: qualsiasi operazione o insieme di operazioni compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'estrazione, la consultazione, l'uso, la comunicazione, il raffronto, la cancellazione o la distruzione. Chi immagina il trattamento come sinonimo di "elaborazione informatica" restringe indebitamente il concetto: anche l'archiviazione cartacea di un fascicolo, se organizzata secondo criteri che ne consentano la ricerca, rientra nella nozione di trattamento e nell'ambito applicativo del Regolamento tramite il concetto di archivio.

Vale infine la pena chiarire, gia' in apertura, come si distribuiscono i ruoli fra le fonti quando si tratta di adattare il Regolamento alle specificita' nazionali. Il GDPR non e' un testo monolitico che esaurisce da solo la disciplina: in piu' punti rinvia esplicitamente al diritto degli Stati membri, per esempio quando si tratta di individuare la base normativa dell'obbligo legale o del compito di interesse pubblico, di fissare l'eta' del consenso dei minori entro la cornice europea, o di disciplinare aspetti specifici del rapporto di lavoro. Il Codice della privacy italiano riformato dal d.lgs. 101/2018 e' proprio lo strumento con cui l'Italia ha esercitato questi margini di adattamento nazionale, oltre a mantenere le norme sull'organizzazione del Garante e alcune fattispecie sanzionatorie penali complementari a quelle amministrative del Regolamento. Un quesito che presenti il Codice privacy come "superato" o "abrogato" dal GDPR e' impreciso: il Codice resta pienamente vigente, ma nella sua versione riformata, e continua a svolgere un ruolo complementare e non sostitutivo rispetto al Regolamento.

Da ricordare per i quiz. Il GDPR e' un regolamento, quindi direttamente applicabile senza bisogno di recepimento; il d.lgs. 101/2018 non ha introdotto un nuovo Codice, ha modificato quello del 2003 per adeguarlo al GDPR. La tutela riguarda le sole persone fisiche: le persone giuridiche restano fuori, incluso il loro nome e la loro forma giuridica. Il dato personale include anche gli identificativi indiretti (IP, targa, dati di ubicazione); il trattamento comprende anche operazioni non automatizzate su archivi strutturati, non solo l'elaborazione informatica.

L'articolo 5 del Regolamento enuncia i principi che devono orientare qualunque trattamento, e nella pratica dei quiz e' uno degli articoli piu' citati in assoluto perche' si presta a domande secche di individuazione. Il primo blocco riguarda liceita', correttezza e trasparenza: i dati devono essere trattati in modo lecito nei confronti dell'interessato, la liceita' e' garantita dalle condizioni dell'articolo 6 e la trasparenza richiede che le informazioni sul trattamento siano facilmente accessibili e comprensibili. Segue la limitazione della finalita': i dati devono essere raccolti per finalita' determinate, esplicite e legittime, e i trattamenti ulteriori devono essere compatibili con quelle finalita' originarie. Poi la minimizzazione: i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alle finalita' del trattamento, quello che nella prassi si chiama principio di essenzialita'. Segue l'esattezza: i dati devono essere esatti e, se necessario, aggiornati, e quelli inesatti vanno cancellati o rettificati tempestivamente.

Il quinto principio e' la limitazione della conservazione: i dati sono conservati in una forma che consenta l'identificazione degli interessati per un arco di tempo non superiore a quello necessario al conseguimento delle finalita' per le quali sono trattati. Periodi di conservazione piu' lunghi sono ammessi solo se i dati sono trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, e sempre con adeguate garanzie. L'ultimo dei principi elencati e' l'integrita' e riservatezza: il trattamento deve garantire una sicurezza adeguata dei dati, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali, mediante misure tecniche o organizzative adeguate.

A chiudere il quadro c'e' il paragrafo dedicato all'accountability, la responsabilizzazione: il titolare del trattamento e' competente per il rispetto dei principi appena elencati e deve essere in grado di comprovarlo. E' probabilmente il concetto piu' rappresentativo dell'intero impianto del GDPR, perche' rovescia la logica del vecchio Codice del 2003: non basta piu' rispettare le regole, occorre essere in grado di dimostrarlo in ogni momento, con misure organizzative concrete, documentazione, procedure interne. Non e' un principio a se stante ma la cerniera che lega tutti gli altri: chi deve dimostrare la minimizzazione deve poter mostrare, per esempio, che ha effettivamente ridotto i campi raccolti in un modulo, non semplicemente affermarlo.

Un corollario operativo dell'accountability, che i quiz collegano spesso a questo capitolo pur essendo disciplinato in un articolo distinto, e' la protezione dei dati fin dalla progettazione e per impostazione predefinita (privacy by design e by default, art. 25). Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, come la pseudonimizzazione, per attuare in modo efficace i principi di protezione dei dati (fra cui la minimizzazione) fin dal momento in cui si decidono i mezzi del trattamento, non solo quando il trattamento e' gia' in corso. Per impostazione predefinita, poi, il titolare deve garantire che siano trattati solo i dati personali necessari per ogni specifica finalita': l'obbligo riguarda la quantita' dei dati raccolti, la portata del trattamento, il periodo di conservazione e l'accessibilita', e in particolare deve impedire che, senza l'intervento della persona fisica, i suoi dati siano resi accessibili a un numero indefinito di persone. E' il motivo per cui, per esempio, un modulo online ben progettato non deve avere impostazioni di default che condividano piu' dati di quanto strettamente necessario.

Da ricordare per i quiz. I principi dell'articolo 5 vanno saputi come elenco chiuso e ordinato: liceita'-correttezza-trasparenza, limitazione della finalita', minimizzazione, esattezza, limitazione della conservazione, integrita' e riservatezza, piu' la responsabilizzazione come principio-cornice. Un distrattore frequente scambia minimizzazione ed esattezza, oppure presenta la conservazione illimitata come regola generale anziche' come eccezione per archiviazione, ricerca o statistica. Privacy by design riguarda la fase di progettazione dei mezzi del trattamento, privacy by default riguarda le impostazioni operative di default: sono due facce dello stesso articolo 25, spesso confuse fra loro nei distrattori.

Il trattamento e' lecito solo se e nella misura in cui ricorre almeno una delle condizioni elencate dall'articolo 6 del Regolamento. Sono sei, e vanno tenute distinte perche' i quesiti chiedono spesso quale sia quella applicabile in un caso concreto. La prima e' il consenso dell'interessato per una o piu' specifiche finalita'. La seconda e' l'esecuzione di un contratto di cui l'interessato e' parte, o l'esecuzione di misure precontrattuali adottate su richiesta dello stesso. La terza e' l'adempimento di un obbligo legale cui e' soggetto il titolare. La quarta e' la salvaguardia degli interessi vitali dell'interessato o di un'altra persona fisica. La quinta e' l'esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri di cui e' investito il titolare. La sesta e' il legittimo interesse del titolare o di terzi, purche' non prevalgano gli interessi o i diritti fondamentali dell'interessato, specie se minore; ed e' lo stesso Regolamento a precisare che questa sesta base non si applica al trattamento effettuato dalle autorita' pubbliche nell'esecuzione dei loro compiti.

Per un'amministrazione pubblica italiana le basi giuridiche di riferimento sono quasi sempre la terza e la quinta: l'obbligo legale e il compito di interesse pubblico o connesso all'esercizio di pubblici poteri. Il consenso, che nel rapporto fra privati e' la base piu' familiare, nel rapporto fra cittadino e amministrazione e' residuale, perche' l'amministrazione tratta i dati non perche' il cittadino acconsente ma perche' la legge glielo impone o le affida quel compito: pensare che il consenso sia la base ordinaria dei trattamenti amministrativi e' uno degli errori piu' comuni nei quiz su questa materia.

Sul consenso il Regolamento richiede, all'articolo 4, che sia una manifestazione di volonta' libera, specifica, informata e inequivocabile, espressa mediante dichiarazione o azione positiva inequivocabile. Deve essere libero, senza intimidazioni o condizionamenti; specifico, riferito alla singola finalita' (con piu' finalita' serve un consenso per ciascuna); informato, nel senso che l'interessato deve sapere che cosa viene trattato e con quali modalita'; e revocabile in qualsiasi momento, senza che la revoca debba essere motivata. Per le categorie particolari di dati (art. 9) e per i processi decisionali automatizzati, compresa la profilazione, il consenso deve essere esplicito, un livello di rigore superiore al semplice consenso inequivocabile richiesto per i dati comuni.

Il Regolamento stesso, all'articolo 6, precisa che quando la base giuridica e' l'obbligo legale o il compito di interesse pubblico, quella base deve essere stabilita dal diritto dell'Unione o dal diritto dello Stato membro cui e' soggetto il titolare: non basta una prassi amministrativa o una circolare interna priva di fondamento normativo. La finalita' del trattamento deve essere determinata in quella stessa base giuridica, e la norma che la stabilisce deve perseguire un obiettivo di interesse pubblico ed essere proporzionata a tale obiettivo. E' il punto in cui il Regolamento lascia esplicitamente spazio al legislatore nazionale, ed e' esattamente quello che il Codice della privacy italiano riformato ha fatto per i soggetti pubblici, richiedendo che il trattamento sia sempre ricondotto a una specifica base normativa nazionale o europea, non semplicemente all'appartenenza dell'ente al perimetro pubblico.

Da ricordare per i quiz. Le sei basi dell'articolo 6 vanno padroneggiate come elenco, con enfasi su obbligo legale e compito di interesse pubblico per la PA italiana; il legittimo interesse non vale mai per le autorita' pubbliche nell'esercizio dei loro compiti; il consenso e' revocabile in ogni momento e senza motivazione, ma la revoca non e' retroattiva rispetto al trattamento gia' svolto lecitamente prima della revoca stessa. Obbligo legale e compito di interesse pubblico devono sempre poggiare su una base normativa, non su una semplice prassi amministrativa.

L'articolo 9 del Regolamento vieta, come regola generale, il trattamento dei dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonche' il trattamento di dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona. Il GDPR ha sostituito la vecchia formula dei "dati sensibili" del Codice del 2003 con quella di categorie particolari di dati: un dettaglio terminologico che i quiz amano verificare, perche' rispondere "dati sensibili" come se fosse la dizione ufficiale del Regolamento e' impreciso.

Il divieto non e' assoluto: l'articolo 9, paragrafo 2, elenca le condizioni che lo derogano, fra cui il consenso esplicito dell'interessato per una o piu' finalita' specifiche, il trattamento necessario per assolvere obblighi ed esercitare diritti in materia di diritto del lavoro e della sicurezza sociale se autorizzato dal diritto dell'Unione o degli Stati membri o da un contratto collettivo, oltre a ulteriori ipotesi legate a motivi di interesse pubblico rilevante, alla medicina preventiva o diagnostica, alla ricerca scientifica o storica e a finalita' statistiche. Per i dati sulla salute in particolare, l'interesse pubblico nel settore sanitario o le esigenze di medicina preventiva possono fondare il trattamento anche senza consenso, ma restano soggetti a garanzie rafforzate.

Sul fronte dell'informativa, gli articoli 13 e 14 del Regolamento impongono al titolare di fornire all'interessato, al momento della raccolta (art. 13) o entro un termine ragionevole comunque non superiore a un mese quando i dati non sono raccolti presso l'interessato (art. 14), un set di informazioni: l'identita' e i contatti del titolare, le finalita' e la base giuridica del trattamento, gli eventuali destinatari, il periodo di conservazione o i criteri per determinarlo, l'esistenza dei diritti dell'interessato. L'informativa e' lo strumento che rende concreto il principio di trasparenza dell'articolo 5: senza informativa adeguata, anche un trattamento fondato su una base giuridica corretta resta viziato sotto il profilo della trasparenza.

Un concetto che i quiz amano collegare a questo capitolo e' quello di pseudonimizzazione, definito dall'articolo 4 del Regolamento come il trattamento dei dati personali in modo tale che i dati non possano piu' essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive, a condizione che tali informazioni aggiuntive siano conservate separatamente e soggette a misure che ne impediscano la ricongiunzione ai dati pseudonimizzati. Il punto su cui i distrattori insistono di piu' e' che il dato pseudonimizzato resta un dato personale a tutti gli effetti, sottoposto per intero al Regolamento: la pseudonimizzazione riduce il rischio, non fa uscire il dato dall'ambito applicativo del GDPR. Cio' che esce dal perimetro del Regolamento e' solo il dato reso anonimo in modo irreversibile, quando cioe' non sia piu' possibile, con nessun mezzo ragionevole, ricondurlo a una persona identificata o identificabile: un'operazione ben piu' radicale della semplice pseudonimizzazione.

Accanto alla pseudonimizzazione va ricordata la profilazione, anch'essa definita dall'articolo 4: qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere aspetti riguardanti il rendimento professionale, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilita', il comportamento, l'ubicazione o gli spostamenti di quella persona. La profilazione non e' vietata in se', ma e' sottoposta a un regime rafforzato: richiede consenso esplicito quando ricade fra le basi giuridiche fondate sul consenso, ed e' oggetto specifico sia del diritto di opposizione dell'articolo 21 sia del divieto di decisioni automatizzate dell'articolo 22 quando produce effetti giuridici o incide in modo analogamente significativo sulla persona.

Un'ulteriore distinzione fra i due articoli sull'informativa riguarda proprio il momento e il contenuto minimo aggiuntivo richiesto. L'articolo 13 si applica quando i dati sono raccolti direttamente presso l'interessato, e l'informativa va fornita nel momento stesso della raccolta: e' la situazione tipica di un modulo compilato dal cittadino. L'articolo 14 si applica invece quando i dati non sono raccolti presso l'interessato ma provengono da altra fonte (per esempio un altro ente pubblico che trasmette dati per un procedimento connesso), e in questo caso il titolare deve fornire, oltre alle informazioni comuni a entrambi gli articoli, anche l'indicazione della fonte da cui i dati personali hanno origine e, se del caso, l'indicazione che i dati provengono da fonti accessibili al pubblico. E' una precisazione che i quiz chiedono per verificare se il candidato sa individuare correttamente quale articolo si applica a seconda che i dati vengano dal diretto interessato o da un terzo.

Da ricordare per i quiz. Il GDPR parla di categorie particolari di dati, non di dati sensibili (terminologia superata del Codice del 2003). Il divieto dell'articolo 9 e' derogabile in presenza delle condizioni del paragrafo 2, fra cui il consenso esplicito e specifiche basi normative per lavoro e sicurezza sociale. L'informativa quando i dati non sono raccolti presso l'interessato va data entro un mese dall'ottenimento dei dati. Il dato pseudonimizzato resta un dato personale soggetto al GDPR; solo l'anonimizzazione irreversibile fa uscire il dato dall'ambito di applicazione del Regolamento.

Il Regolamento attribuisce all'interessato, negli articoli da 15 a 22, un ventaglio di diritti esercitabili direttamente nei confronti del titolare. Il diritto di accesso (art. 15) consente di ottenere conferma che sia o meno in corso un trattamento dei propri dati e, in caso positivo, di accedervi conoscendo finalita', destinatari e periodo di conservazione. Il diritto di rettifica (art. 16) consente di ottenere la correzione dei dati inesatti o l'integrazione di quelli incompleti. Il diritto alla cancellazione, detto anche diritto all'oblio (art. 17), consente di chiedere la cancellazione dei dati quando sia venuta meno la necessita' del trattamento, in caso di revoca del consenso, di opposizione o di illiceita' del trattamento; non e' pero' un diritto assoluto, perche' non e' esercitabile quando il trattamento e' necessario, fra l'altro, per adempiere un obbligo legale o per l'esercizio del diritto di espressione e informazione, o per accertare, esercitare o difendere un diritto in sede giudiziaria.

Il diritto di limitazione (art. 18) consente di ottenere il congelamento del trattamento, per esempio in attesa che il titolare verifichi l'esattezza dei dati contestati o valuti un'opposizione. Il diritto alla portabilita' (art. 20) consente di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati forniti al titolare e di trasmetterli a un altro titolare: opera solo sui dati trattati sulla base del consenso o di un contratto, e forniti attivamente dall'interessato, non su qualunque trattamento. Il diritto di opposizione (art. 21) consente di opporsi al trattamento fondato sull'interesse pubblico o sul legittimo interesse del titolare, inclusa la profilazione; e' un diritto assoluto quando riguarda il marketing diretto, mentre negli altri casi il titolare puo' proseguire se dimostra motivi legittimi cogenti che prevalgono sugli interessi dell'interessato. Infine l'articolo 22 riconosce il diritto a non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo analogamente significativo sulla persona, salvo che la decisione sia necessaria per un contratto, autorizzata dal diritto dell'Unione o degli Stati membri, o basata sul consenso esplicito.

Un obbligo strumentale, che i quiz collegano a rettifica, cancellazione e limitazione ma che vive in un articolo distinto, e' quello di notifica ai destinatari (art. 19): il titolare del trattamento comunica a ciascuno dei destinatari cui sono stati trasmessi i dati personali le eventuali rettifiche, cancellazioni o limitazioni del trattamento effettuate, salvo che cio' si riveli impossibile o implichi uno sforzo sproporzionato. Il titolare comunica poi all'interessato l'elenco di questi destinatari, se l'interessato lo richiede. E' un obbligo spesso trascurato nello studio ma frequente nei quesiti, perche' completa la logica dei diritti di rettifica e cancellazione: non basta correggere il dato presso di se', occorre anche propagare la correzione a chi lo ha ricevuto, salvo l'impossibilita' o la sproporzione dello sforzo.

Sui tempi di risposta interviene l'articolo 12: il titolare fornisce all'interessato le informazioni relative all'azione intrapresa senza ingiustificato ritardo e, comunque, al piu' tardi entro un mese dal ricevimento della richiesta. Quel termine puo' essere prorogato di due mesi, se necessario, tenuto conto della complessita' e del numero delle richieste, ma il titolare deve informare l'interessato della proroga e dei motivi del ritardo entro il primo mese. Le informazioni e le azioni intraprese sono di regola gratuite; solo se le richieste sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare puo' addebitare un contributo spese ragionevole o rifiutare di dare seguito alla richiesta.

Vale la pena ripercorrere con maggiore precisione i motivi che, secondo l'articolo 17, fanno scattare l'obbligo di cancellazione, perche' un quesito puo' chiedere di individuarne uno specifico: i dati non sono piu' necessari rispetto alle finalita' per cui erano stati raccolti; l'interessato revoca il consenso su cui si basava il trattamento e non sussiste altro fondamento giuridico che lo legittimi; l'interessato si oppone al trattamento ai sensi dell'articolo 21 e non vi sono motivi legittimi prevalenti; i dati sono stati trattati illecitamente; oppure i dati devono essere cancellati per adempiere un obbligo legale previsto dal diritto dell'Unione o dello Stato membro cui e' soggetto il titolare. Si nota subito l'apparente paradosso, in realta' del tutto coerente: l'obbligo legale puo' sia imporre la cancellazione (motivo di cancellazione) sia impedirla quando la legge richiede la conservazione dei dati per un periodo determinato (limite al diritto all'oblio, gia' visto sopra). Non c'e' contraddizione: dipende da che cosa dispone in concreto la norma di riferimento nel singolo caso.

Da ricordare per i quiz. Il termine di riscontro e' un mese, prorogabile di due mesi in caso di complessita': attenzione a non confonderlo col termine per la comunicazione di una violazione dei dati, che e' un istituto diverso. Il diritto all'oblio non e' mai assoluto: cede davanti a un obbligo legale o alla necessita' di difesa in giudizio. Il diritto di opposizione al marketing diretto, invece, e' l'unico caso in cui il titolare non puo' opporre alcun bilanciamento. I cinque motivi di cancellazione dell'articolo 17 vanno tenuti distinti: cessazione della necessita', revoca del consenso senza altra base, opposizione accolta, illiceita' del trattamento, obbligo legale di cancellazione.

La distinzione fra titolare e responsabile e' uno dei cardini dell'intero impianto e va saputa a memoria. Il titolare del trattamento e' la persona fisica o giuridica, l'autorita' pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalita' e i mezzi del trattamento di dati personali. E' dunque chi decide perche' e come i dati vengono trattati, e risponde giuridicamente dell'adempimento degli obblighi normativi. Il responsabile del trattamento e' invece la persona fisica o giuridica, l'autorita' pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento: elabora i dati su istruzioni altrui, non decide autonomamente finalita' e mezzi. Il rapporto fra i due va disciplinato da un contratto o da un atto giuridico che vincola il responsabile a trattare i dati soltanto su istruzione documentata del titolare.

Quando due o piu' titolari determinano congiuntamente finalita' e mezzi del trattamento si parla di contitolari (art. 26): devono stabilire tramite accordo interno, in modo trasparente, le rispettive responsabilita' in ordine all'osservanza degli obblighi derivanti dal Regolamento, con particolare riguardo all'esercizio dei diritti dell'interessato e ai rispettivi obblighi di fornire le informazioni di cui agli articoli 13 e 14. Una figura ulteriore, di rilievo pratico nella PA, sono le persone autorizzate al trattamento (o designate) che operano sotto l'autorita' diretta del titolare o del responsabile e trattano i dati solo su istruzione di questi, senza assumere una posizione giuridica autonoma paragonabile a quella del responsabile esterno.

Un dettaglio dell'articolo 26 spesso oggetto di quesito riguarda le conseguenze della contitolarita' verso l'esterno: l'accordo interno fra contitolari non e' opponibile all'interessato. Indipendentemente da come i contitolari abbiano ripartito fra loro le responsabilita', l'interessato puo' esercitare i propri diritti nei confronti di e contro ciascun titolare del trattamento, anche se l'accordo interno ne addossasse la gestione a uno solo dei due. L'accordo puo' designare un punto di contatto unico per comodita' pratica, ma questo non limita in alcun modo la facolta' dell'interessato di rivolgersi a chiunque dei contitolari. E' un punto che smentisce un'inferenza intuitiva ma sbagliata: pensare che, se l'accordo assegna a un contitolare il compito di gestire i diritti degli interessati, l'altro contitolare sia esonerato da ogni responsabilita' verso l'esterno.

Titolari e responsabili sono obbligati a tenere un registro delle attivita' di trattamento (art. 30) svolte sotto la propria responsabilita'. Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono un registro che contiene, fra le altre informazioni, il nome e i dati di contatto del titolare (e dell'eventuale contitolare, rappresentante e DPO) e le finalita' del trattamento. Il registro deve essere tenuto in forma scritta, anche elettronica, ed esibito su richiesta all'autorita' di controllo: e' lo strumento con cui il titolare puo' dimostrare concretamente la propria accountability. Per le organizzazioni con meno di 250 dipendenti l'obbligo puo' essere escluso in via generale, salvo che il trattamento comporti un rischio per i diritti e le liberta' degli interessati, non sia occasionale, o riguardi le categorie particolari di dati o dati relativi a condanne penali: le autorita' pubbliche, in pratica, tengono il registro a prescindere dal numero di dipendenti, proprio perche' i loro trattamenti quasi sempre coinvolgono compiti non occasionali.

Un profilo che i quiz verificano volentieri riguarda il sub-responsabile: quando un trattamento deve essere effettuato per conto del titolare, quest'ultimo ricorre unicamente a responsabili che presentino garanzie sufficienti in termini di misure tecniche e organizzative adeguate. Il responsabile del trattamento, a sua volta, non puo' ricorrere a un altro responsabile (un sub-responsabile) senza la previa autorizzazione scritta, specifica o generale, del titolare del trattamento. Se l'autorizzazione e' generale, il responsabile deve comunque informare il titolare di eventuali modifiche riguardanti l'aggiunta o la sostituzione di sub-responsabili, dando cosi' al titolare l'opportunita' di opporsi. E' una catena di responsabilita' e di controllo che replica, un livello piu' in basso, la stessa logica gia' vista fra titolare e responsabile: nessun soggetto della catena puo' delegare senza che il titolare ne resti informato e possa intervenire.

Da ricordare per i quiz. Il titolare decide finalita' e mezzi e risponde giuridicamente; il responsabile tratta su istruzione del titolare, senza autonomia decisionale sulle finalita'; i contitolari condividono la determinazione di finalita' e mezzi e vanno tenuti distinti sia dal responsabile sia dalle semplici persone autorizzate. Il registro dei trattamenti si tiene in forma scritta, anche elettronica, e va esibito al Garante su richiesta. Il sub-responsabile richiede sempre un'autorizzazione scritta del titolare, specifica o generale: senza quella, il responsabile non puo' subaffidare il trattamento.

L'articolo 32 impone al titolare e al responsabile di mettere in atto misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell'arte, dei costi di attuazione e della natura del trattamento. Fra le misure che il Regolamento indica espressamente rientrano la pseudonimizzazione e la cifratura dei dati personali, oltre alla capacita' di assicurare su base permanente la riservatezza, l'integrita', la disponibilita' e la resilienza dei sistemi e dei servizi di trattamento, e la capacita' di ripristinare tempestivamente la disponibilita' e l'accesso dei dati in caso di incidente fisico o tecnico.

Quando, nonostante queste misure, si verifica una violazione dei dati personali (data breach), scattano due obblighi distinti che i quiz mettono costantemente a confronto. Il primo e' la notifica al Garante (art. 33): il titolare del trattamento notifica la violazione all'autorita' di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne e' venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le liberta' delle persone fisiche. Se la notifica non e' effettuata entro 72 ore, deve essere corredata dei motivi del ritardo. Il responsabile del trattamento, dal canto suo, informa il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione: e' un obbligo di comunicazione interna, propedeutico alla notifica del titolare verso il Garante.

Il secondo obbligo e' la comunicazione agli interessati (art. 34), che scatta solo quando la violazione e' suscettibile di presentare un rischio elevato per i diritti e le liberta' delle persone fisiche: in questo caso il titolare comunica la violazione all'interessato senza ingiustificato ritardo. Non c'e' un termine numerico fisso analogo alle 72 ore: la comunicazione puo' essere omessa se il titolare ha applicato misure tecniche e organizzative adeguate che rendono i dati incomprensibili a chi non e' autorizzato ad accedervi, come la cifratura, oppure se ha successivamente adottato misure che escludono il sopravvenire del rischio elevato, o se la comunicazione richiederebbe sforzi sproporzionati (nel qual caso si ricorre a una comunicazione pubblica o misura analoga).

La valutazione d'impatto sulla protezione dei dati (DPIA, art. 35) e' un adempimento preventivo, distinto dalla gestione di un data breach gia' avvenuto: quando un tipo di trattamento, considerate la natura, l'oggetto, il contesto e le finalita', puo' presentare un rischio elevato per i diritti e le liberta' delle persone fisiche, il titolare effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti. Se ha designato un DPO, il titolare si consulta con lui nello svolgimento della valutazione. Se dalla DPIA risulta che il rischio residuo resta elevato nonostante le misure di mitigazione, il titolare deve consultare preventivamente il Garante prima di procedere. Questa consultazione preventiva (art. 36) e' quindi un passaggio eventuale e successivo alla DPIA, non un adempimento autonomo che si affianca ad essa in ogni caso: scatta solo se la valutazione d'impatto, nonostante le misure di attenuazione gia' individuate dal titolare, continua a segnalare un rischio elevato per i diritti e le liberta' delle persone fisiche.

Da ricordare per i quiz. Le 72 ore riguardano la notifica al Garante e decorrono dalla conoscenza della violazione, non dal momento in cui si e' verificata; la comunicazione agli interessati scatta solo con rischio elevato e non ha un termine numerico fisso; la DPIA e' preventiva rispetto al trattamento, la notifica di data breach e' successiva a un incidente gia' avvenuto: sono due momenti diversi del ciclo di vita del rischio, spesso scambiati nei distrattori.

Il responsabile della protezione dei dati (DPO, Data Protection Officer) e' la figura disciplinata dagli articoli 37-39 del Regolamento, incaricata di assistere il titolare o il responsabile nell'osservanza della normativa. La designazione e' obbligatoria, secondo l'articolo 37, in tre ipotesi tassative: quando il trattamento e' effettuato da un'autorita' pubblica o da un organismo pubblico, eccettuate le autorita' giurisdizionali quando esercitano le loro funzioni giurisdizionali; quando le attivita' principali del titolare o del responsabile consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala; quando le attivita' principali consistono nel trattamento su larga scala di categorie particolari di dati (art. 9) o di dati relativi a condanne penali e reati (art. 10). Un gruppo imprenditoriale puo' nominare un unico DPO purche' sia facilmente raggiungibile da ciascuno stabilimento, e piu' autorita' pubbliche possono condividere un unico DPO tenuto conto della loro struttura organizzativa e dimensione.

Il DPO deve possedere una qualificazione professionale e, in particolare, una conoscenza specialistica della normativa e delle prassi in materia di protezione dei dati. Il Regolamento gli garantisce indipendenza: non riceve istruzioni per quanto riguarda l'esecuzione dei suoi compiti, riferisce direttamente al vertice gerarchico del titolare o del responsabile, e non puo' essere rimosso o penalizzato per l'assolvimento dei propri compiti. I suoi compiti includono informare e consigliare il titolare, il responsabile e i dipendenti che eseguono il trattamento, sorvegliare l'osservanza del Regolamento, fornire pareri sulla DPIA quando richiesto e cooperare con l'autorita' di controllo, fungendo anche da punto di contatto per la stessa.

Sui trasferimenti verso paesi terzi extra-UE o extra-SEE, il Regolamento richiede garanzie adeguate. Gli strumenti principali sono le decisioni di adeguatezza della Commissione europea, che riconoscono a un paese terzo un livello di protezione sostanzialmente equivalente a quello garantito nell'Unione, consentendo trasferimenti senza necessita' di autorizzazioni ulteriori; le clausole contrattuali tipo approvate dalla Commissione, che esportatore e importatore possono inserire nei propri accordi; e le norme vincolanti d'impresa (BCR), politiche interne approvate dall'autorita' di controllo per i trasferimenti infragruppo di gruppi multinazionali. In assenza di questi strumenti, il trasferimento resta possibile solo entro le deroghe specifiche previste dal Regolamento per situazioni particolari, come il consenso esplicito dell'interessato informato dei rischi.

Il Garante per la protezione dei dati personali e' l'autorita' di controllo italiana. Gli articoli 51 e seguenti del Regolamento disciplinano le autorita' di controllo degli Stati membri, incaricate di sorvegliare l'applicazione del Regolamento, tutelare i diritti e le liberta' fondamentali con riguardo al trattamento e agevolare la libera circolazione dei dati personali all'interno dell'Unione. In Italia il Garante e' individuato dal Codice della privacy, come modificato dal d.lgs. 101/2018.

Sui poteri del Garante interviene l'articolo 58 del Regolamento, che distingue tre categorie. I poteri di indagine comprendono, fra gli altri, la facolta' di ingiungere al titolare e al responsabile di fornire ogni informazione necessaria per l'esecuzione dei propri compiti, di condurre indagini sotto forma di attivita' di revisione sulla protezione dei dati, e di notificare al titolare o al responsabile le presunte violazioni del Regolamento. I poteri correttivi comprendono l'ammonimento, il richiamo, l'ordine di conformare il trattamento alle disposizioni del Regolamento, l'ordine di rettifica o cancellazione dei dati, la limitazione provvisoria o definitiva del trattamento (incluso il divieto), e le sanzioni amministrative pecuniarie dell'articolo 83. Vi sono infine i poteri autorizzativi e consultivi, che riguardano per esempio l'approvazione delle clausole contrattuali e delle norme vincolanti d'impresa per i trasferimenti extra-UE, e l'emissione di pareri su proposte legislative. Questa tripartizione va tenuta a mente perche' un quesito puo' chiedere se una determinata misura (per esempio l'ordine di cancellazione dei dati) sia correttiva o di indagine: l'ordine di cancellazione e' correttivo, la richiesta di informazioni e' di indagine.

Da ricordare per i quiz. I tre casi di DPO obbligatorio: autorita' o organismo pubblico (con l'eccezione delle autorita' giurisdizionali nell'esercizio delle loro funzioni tipiche); monitoraggio regolare e sistematico su larga scala; trattamento su larga scala di categorie particolari o di dati giudiziari. Il DPO non decide al posto del titolare: consiglia, sorveglia, coopera con il Garante, ma la responsabilita' della conformita' resta in capo al titolare. I trasferimenti extra-UE richiedono sempre una delle garanzie previste, non basta l'accordo fra le parti privo di base normativa.

Vale la pena raccogliere in un capitolo a se' i tratti che rendono il trattamento dei dati nella PA italiana un capitolo particolare rispetto alla disciplina generale pensata per il mercato privato, perche' e' l'angolo da cui la prova RIPAM guarda con maggiore insistenza a questa materia. Il primo tratto e' proprio quello gia' visto sulle basi giuridiche: mentre un'impresa privata puo' spesso appoggiarsi al legittimo interesse o al consenso, l'amministrazione pubblica tratta i dati quasi sempre in forza di un obbligo legale o di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri, e quella base deve sempre risalire a una norma di legge o di regolamento, non a una prassi. Questo significa, in pratica, che un funzionario comunale non deve (e spesso non puo') chiedere il consenso del cittadino per trattare i dati necessari a un procedimento amministrativo di cui e' incaricato dalla legge: il consenso sarebbe superfluo, perche' la legittimazione discende gia' dalla norma attributiva della funzione.

Il secondo tratto e' la designazione del DPO, che per le autorita' e gli organismi pubblici e' obbligatoria in modo pressoche' automatico, salva l'eccezione delle autorita' giurisdizionali nell'esercizio delle loro funzioni tipiche: non serve, a differenza che nel settore privato, valutare se il trattamento sia su larga scala o comporti monitoraggio sistematico, perche' la sola natura pubblica del titolare fa scattare l'obbligo. Il Regolamento consente pero' alle amministrazioni di condividere un unico DPO fra piu' autorita' pubbliche, tenendo conto della loro struttura organizzativa e dimensione: una soluzione pensata proprio per i piccoli Comuni, che raramente hanno le risorse per un DPO dedicato in via esclusiva.

Il terzo tratto riguarda il registro delle attivita' di trattamento: mentre le piccole imprese private sotto i 250 dipendenti possono essere esonerate in mancanza di rischi particolari, un'amministrazione pubblica tiene il registro pressoche' sempre, perche' i suoi trattamenti non sono quasi mai occasionali e spesso riguardano categorie particolari di dati (si pensi ai servizi sociali, alla sanita', all'anagrafe). Il registro, oltre a essere un obbligo, e' anche lo strumento con cui l'ufficio competente puo' rispondere in modo puntuale a una richiesta del Garante o a un accesso agli atti che tocchi la protezione dei dati.

Il quarto tratto e' il continuo bilanciamento con la trasparenza amministrativa. Il d.lgs. 33/2013 impone la pubblicazione di una mole crescente di dati e documenti sui siti istituzionali, e l'accesso civico generalizzato consente a chiunque di chiedere dati e documenti ulteriori rispetto agli obblighi di pubblicazione. La protezione dei dati personali e' pero' uno dei limiti espressamente previsti a questo accesso: un'amministrazione non puo' pubblicare o divulgare indiscriminatamente dati personali di terzi solo perche' relativi a un procedimento pubblico, e deve valutare caso per caso se l'interesse alla conoscibilita' prevale su quello alla riservatezza, specie quando si tratta di categorie particolari di dati. Analogamente, in materia di accesso agli atti amministrativi ai sensi della legge 241/1990, l'accesso cosiddetto difensivo, cioe' necessario per curare o difendere i propri interessi giuridici, tende a prevalere sulle esigenze di riservatezza di terzi, ma sempre nei limiti di quanto strettamente necessario a quella difesa.

Il quinto tratto e' la videosorveglianza, presente in molti procedimenti tipici degli enti locali (sicurezza urbana, controllo di accessi a edifici pubblici): richiede un'informativa chiara e visibile, una base giuridica adeguata (tipicamente il compito di interesse pubblico legato alla sicurezza), e un bilanciamento stretto fra le esigenze di sicurezza e la minimizzazione del trattamento, evitando per esempio la ripresa continua di aree non necessarie al fine perseguito.

Da ricordare per i quiz. Nella PA la base giuridica tipica non e' il consenso ma l'obbligo legale o il compito di interesse pubblico; il DPO e' obbligatorio quasi automaticamente per la sola natura pubblica del titolare, salvo le autorita' giurisdizionali nelle loro funzioni tipiche; il registro dei trattamenti si tiene quasi sempre, a prescindere dalle dimensioni dell'ente; la trasparenza amministrativa incontra sempre il limite della protezione dei dati personali di terzi.

Questo capitolo raccoglie, senza aggiungere contenuti nuovi, i punti su cui si concentrano gli errori piu' frequenti nei quiz su questa materia. Conviene ripercorrerlo a ridosso della prova.

Notifica al Garante vs. comunicazione agli interessati. E' la coppia piu' insidiosa dell'intera materia. La notifica al Garante ha un termine indicativo preciso, 72 ore dalla conoscenza della violazione, e va fatta salvo che sia improbabile un rischio per i diritti e le liberta' delle persone; se il termine non e' rispettato va motivato il ritardo. La comunicazione agli interessati, invece, scatta solo quando il rischio e' elevato (non un rischio qualsiasi) e non ha un termine numerico fisso, solo la clausola "senza ingiustificato ritardo". Un distrattore tipico attribuisce le 72 ore anche alla comunicazione agli interessati, o fa scattare quest'ultima per qualunque violazione anziche' solo per quelle a rischio elevato.

Il termine di riscontro all'interessato. Un mese dal ricevimento della richiesta, prorogabile di due mesi in caso di complessita' o numero elevato di richieste, con obbligo di informare l'interessato della proroga entro il primo mese. Non va confuso con le 72 ore del data breach: sono istituti diversi, applicati a situazioni diverse (esercizio di un diritto dell'interessato contro gestione di un incidente di sicurezza).

Le sanzioni amministrative pecuniarie (art. 83). Il Regolamento prevede due fasce. La prima, fino a 10 milioni di euro o, per le imprese, fino al 2% del fatturato mondiale totale annuo dell'esercizio precedente se superiore, colpisce le violazioni degli obblighi del titolare e del responsabile relativi soprattutto agli aspetti organizzativi e procedurali: fra gli altri, gli obblighi di cui agli articoli da 25 a 39 (che comprendono, per esempio, la sicurezza del trattamento, il registro, la notifica di violazione, la DPIA e la designazione del DPO), oltre agli obblighi degli organismi di certificazione e di controllo. La seconda fascia, fino a 20 milioni di euro o fino al 4% del fatturato mondiale totale annuo se superiore, colpisce le violazioni piu' gravi: i principi di base del trattamento, comprese le condizioni relative al consenso (artt. 5, 6, 7 e 9), i diritti degli interessati (artt. da 12 a 22), i trasferimenti di dati personali verso paesi terzi (artt. da 44 a 49), nonche' l'inosservanza di un ordine dell'autorita' di controllo. La logica e' che la seconda fascia protegge il nucleo sostanziale dei diritti dell'interessato e la liceita' stessa del trattamento, mentre la prima riguarda gli obblighi piu' organizzativi del titolare: confondere le due fasce, per esempio collocando la violazione del principio di liceita' nella fascia da 10 milioni, e' uno degli errori piu' frequenti.

L'eta' del consenso dei minori per i servizi della societa' dell'informazione (art. 8). Il Regolamento fissa la soglia generale a 16 anni: sopra quell'eta' il minore puo' prestare da solo il consenso ai servizi della societa' dell'informazione; sotto, il trattamento e' lecito solo se il consenso e' prestato o autorizzato dal titolare della responsabilita' genitoriale. Gli Stati membri possono abbassare per legge questa soglia, ma non sotto i 13 anni. In Italia, il Codice della privacy come modificato dal d.lgs. 101/2018 ha fissato l'eta' a 14 anni: questo dato specifico sulla scelta italiana non e' rintracciabile testualmente nel Regolamento (che disciplina solo la cornice UE fra 13 e 16 anni), ma e' comunque il dato operativo rilevante per un quiz sulla normativa italiana.

Titolare vs. responsabile vs. contitolari. Il titolare decide finalita' e mezzi e risponde giuridicamente; il responsabile tratta i dati per conto del titolare, su sue istruzioni documentate, senza autonomia decisionale sulle finalita'; i contitolari determinano insieme finalita' e mezzi e devono ripartire per accordo le rispettive responsabilita'. Le persone autorizzate operano sotto l'autorita' diretta di titolare o responsabile e non vanno confuse con un responsabile esterno.

DPO obbligatorio: i tre casi. Autorita' o organismo pubblico (eccetto le autorita' giurisdizionali nelle loro funzioni tipiche); monitoraggio regolare e sistematico su larga scala; trattamento su larga scala di categorie particolari di dati o di dati giudiziari. Per una PA italiana il primo caso rende la nomina quasi sempre obbligatoria a prescindere dalle dimensioni dell'ente.

Data breach: chi fa cosa. Il responsabile del trattamento informa il titolare senza ingiustificato ritardo appena viene a conoscenza della violazione; il titolare notifica il Garante entro 72 ore, se il rischio non e' improbabile; il titolare comunica agli interessati solo se il rischio e' elevato. Non e' il responsabile a notificare direttamente il Garante: la catena passa sempre dal responsabile al titolare, e solo il titolare notifica all'esterno.

Categorie particolari, non dati sensibili. Il GDPR usa la dizione "categorie particolari di dati personali" (art. 9): la vecchia formula "dati sensibili" apparteneva al Codice del 2003 pre-riforma. Un quesito che chiede la dizione esatta del Regolamento va risposto con "categorie particolari".

Diritto all'oblio non assoluto. La cancellazione (art. 17) cede quando il trattamento e' necessario per adempiere un obbligo legale, per l'esercizio del diritto di espressione e informazione, o per accertare, esercitare o difendere un diritto in sede giudiziaria: presentarlo come diritto senza eccezioni e' un errore da matita blu. Simmetricamente, un obbligo legale puo' anche imporre proprio la cancellazione: la stessa espressione normativa serve sia da limite sia da fondamento del diritto, a seconda di cosa dispone in concreto la legge di riferimento.

Contitolarita' e responsabilita' verso l'esterno. L'accordo interno fra contitolari, per quanto dettagliato, non e' mai opponibile all'interessato: questi puo' rivolgersi a ciascun contitolare indipendentemente da come i due si siano ripartiti i compiti. Un quesito che chieda "se l'accordo affida a un solo contitolare la gestione dei diritti, l'altro e' esonerato" ha sempre risposta negativa.

Sub-responsabile: mai senza autorizzazione scritta. Il responsabile del trattamento non puo' mai avvalersi di un altro responsabile (sub-responsabile) senza l'autorizzazione scritta, specifica o generale, del titolare. Anche con autorizzazione generale, resta l'obbligo di informare il titolare di ogni aggiunta o sostituzione, per dargli la possibilita' di opporsi.

Notifica ai destinatari (art. 19). Rettifica, cancellazione e limitazione vanno comunicate anche a chi ha gia' ricevuto i dati, salvo impossibilita' o sforzo sproporzionato: un dettaglio spesso dimenticato ma facilmente verificabile con un quesito puntuale.

Informativa: art. 13 o art. 14? Se i dati sono raccolti direttamente dall'interessato, l'informativa segue l'articolo 13 e va data al momento della raccolta. Se i dati provengono da un'altra fonte, si applica l'articolo 14 e serve anche l'indicazione della fonte di provenienza, oltre a un termine entro un mese dall'ottenimento dei dati (o, se antecedente, al momento della prima comunicazione dei dati o del primo contatto con l'interessato). Confondere i due articoli, o applicare i termini dell'uno alla fattispecie dell'altro, e' un errore ricorrente.

Sanzioni: la logica dietro le due fasce, non solo i numeri. Conviene ragionare, oltre che memorizzare le cifre, sul perche' il legislatore europeo abbia scelto quella ripartizione: la fascia piu' severa (20 milioni o 4%) protegge cio' che sta a monte di ogni trattamento lecito, cioe' i principi base e le condizioni di liceita', i diritti sostanziali dell'interessato e la sicurezza dei trasferimenti extra-UE; la fascia piu' contenuta (10 milioni o 2%) sanziona le carenze piu' organizzative del titolare, quelle legate agli obblighi accessori di conformita' (sicurezza, registro, DPIA, DPO, certificazioni). Ragionare sulla ratio, e non solo sul numero, aiuta a rispondere anche quando il quesito descrive una fattispecie concreta senza citare l'articolo esatto: se la violazione riguarda il fondamento stesso della liceita' del trattamento o un diritto dell'interessato, la fascia e' quella piu' alta; se riguarda un adempimento organizzativo del titolare, e' quella piu' bassa.

Il metodo di studio piu' efficace resta la lettura diretta degli articoli richiamati in questa dispensa, uno per uno, con particolare attenzione ai numeri (72 ore, un mese/due mesi, 10 e 20 milioni di euro, 2% e 4%, 16 e 13 anni): sono quelli su cui i distrattori costruiscono le varianti piu' plausibili, spostando una cifra o invertendo una condizione.