La geolocalizzazione, quale misura di prevenzione del contagio da Covid-19, è possibile, ma solo a tre condizioni: deve avere una base giuridica normativa; deve rispettare i principi di proporzionalità; deve essere garantito il diritto di difesa in via giudiziale. Questa la sintesi della dichiarazione ufficiale del Comitato Europeo per la protezione dei dati (Edpb), che è intervenuto il 16 marzo 2020 con una dichiarazione ufficiale del presidente Andrea Jelinek, il quale ha indicato i parametri generali per bilancio l’interesse alla salute pubblica e il diritto alla protezione dei dati personali.

Dirigenti e amministratori pubblici alla cassa per pagare il conto delle sanzioni privacy irrogate all’ente di appartenenza. Se, a causa della loro negligenza, il Garante ha comminato una sanzione pecuniaria alla P.A., scatta la responsabilità erariale e, quindi, la condanna del responsabile da parte della Corte dei Conti a rimborsare l’ente pubblico.

Nel marketing il legittimo interesse va usato con il contagocce, mentre la regola base è il consenso, salvi i casi, previsti dalla legge, di “opt out” e di “soft spam”. È quanto è lecito desumere dal provvedimento del Garante per la protezione dei dati personali n. 7 del 15 gennaio 2020.

Alert sulle inquiry bancarie improprie, da inquadrare nella privacy by design e nella privacy by default. Il Gdpr connota, infatti, in maniera nuova gli adempimenti “vecchi” del provvedimento 192/2011 del Garante della privacy, in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie. Il nuovo inquadramento è, ovviamente, da valutare alla luce delle ricadute sanzionatorie, dilatate in maniera incommensurabile proprio dal Gdpr.

L’avvocato non è obbligato a dare l’informativa privacy alle controparti dei suoi clienti. È quanto discende da una lettura sistematica del Gdpr (Regolamento 2016/679) e del Codice della privacy, che si propone pur nella consapevolezza della complessità della questione. Il problema è sorto, nella prassi, in relazione all’articolo 14 del Gdpr, relativo all’atto di informazione dovuto qualora i dati non siano stati ottenuti presso l'interessato. In tale disposizione, infatti, non è scritto esplicitamente che la finalità difensiva esonera o esclude l’adempimento dell’atto di informazione a favore dell’avversario.

Stop alla elusione della protezione della privacy: è questa la sintesi più appropriata delle Linee Guida del Comitato europeo per la protezione dei dati, dedicate all’analisi e illustrazione dell’articolo 3 del Regolamento generale sulla protezione dei dati n. 2016/679 (universalmente noto come GDPR), su cui Federprivacy ha emanato la Circolare 4-2019.

Rispondendo a 16 quesiti è possibile individuare chi è titolare e chi è responsabile del trattamento. È un dubbio che crea incertezze e contenzioso, anche a fronte della vaghezza dei parametri giuridico e della non esaustività delle indicazioni interpretative. Così se non c’è nessun problema nel caso in cui il soggetto è identificato titolare/responsabile da una norma o dall’Autorità di controllo, una relativa certezza (nel senso della titolarità del trattamento) c’è quando la legge affida a un determinato soggetto il compito, o imponga l'obbligo, a qualcuno, di raccogliere e trattare certi dati. La check-list nella Circolare 3/2019 di Federprivacy.

Il modello dell’accountability del Gdpr richiede un sistema di assicurazione generale della responsabilità civile. Lo stato delle cose ci fa dire che, ormai, bisogna essere pronti a discutere della necessità/opportunità di un sistema di assicurazione obbligatoria della responsabilità civile per danni derivanti dal data processing. Così come bisogna essere pronti a meccanismi di indennizzo forfettizzato e a procedure apposite di media-conciliazione delle controversie in materia di sinistri da circolazione dei dati.

La delega sindacale, per i lavoratori iscritti ad un sindacato, e la contrattazione collettiva, per i non iscritti, sono le basi giuridiche più idonee per disciplinare la comunicazione da parte dei datori di lavoro di dati personali dei dipendenti alle organizzazioni sindacali. È quanto si desume da un esame sistematico degli orientamenti del Garante per la protezione dei dati personali confrontati con le norme contenute nel GDPR - General Data Protection Regulation. Qual è la posizione della giurisprudenza sull’eventuale rifiuto del datore di lavoro di dare informazioni alle rappresentanze sindacali?

Stop alla pesca a strascico di nomine di Dpo e maggiore cura nella stesura dei contratti con chi deve effettuare il servizio. Sono questi gli effetti desumibili dalla sentenza del Tar Puglia, sezione di Lecce, n.1468/2019 pubblicata il 13 settembre 2019, che è intervenuta in materia di procedura di designazione del responsabile della protezione dei dati.